Informācijas drošības risku novērtēšana ar praktisku piemēru
Risku novērtējums ir izmantojams tad, ja no tā var pieņemt lēmumu. Ierakstam jāpaskaidro, kas var notikt, kāpēc tas ir svarīgi, kas jau pasargā un kurš atbild par turpmāko rīcību.
Sāciet ar lēmumiem un vērtēšanas kritērijiem
Pirms aizpildāt reģistru, nosakiet tvērumu un vienojieties par kritērijiem. Ko organizācijai nozīmē būtiska pakalpojuma nepieejamība, datu izpaušana vai nepareizs maksājums? Kādi riski ir pieņemami, kurš tos drīkst pieņemt un kuros gadījumos vajadzīgs vadības lēmums?
ISO/IEC 27005:2022 sniedz vadlīnijas informācijas drošības risku pārvaldībai, atbalstot ISO/IEC 27001 ieviešanu. Papildu metodisks avots ir NIST SP 800-30. Šajā ceļvedī piedāvāta vienkāršota darba pieeja, kuru organizācija var pielāgot savai metodei.
Skaitliska matrica nav vienīgais iespējamais risinājums. Var izmantot skaidri definētas kvalitatīvas kategorijas, ja dažādi vērtētāji tās saprot vienādi un lēmumus var salīdzināt. Reizinot punktus, neveidojiet šķietamu precizitāti: svarīgi saglabāt vērtējuma pamatojumu un nenoteiktību.
Formulējiet konkrētu scenāriju
Ieraksts “pikšķerēšana” nosauc apdraudējumu, bet vēl nepasaka, kāds ir organizācijas risks. Noderīgāks formulējums sasaista pakalpojumu, notikumu, vājumu un iespējamo ietekmi. Piemēram: nozogot finanšu darbinieka kontu, uzbrucējs var mainīt piegādātāja maksājuma rekvizītus, ja izmaiņas neapstiprina neatkarīgā kanālā.
- Nosauciet ietekmēto darbību un informāciju: piegādātāju apmaksa un maksājuma rekvizīti.
- Aprakstiet notikumu: konta pārņemšana un neatļauta rekvizītu nomaiņa.
- Nosauciet apstākļus: koplietoti konti, nepilnīga autentifikācija vai izmaiņu apstiprināšanas trūkums, ja tādi faktiski pastāv.
- Nosakiet sekas: naudas pārskaitījums nepareizajam saņēmējam, izmeklēšana un pakalpojuma aizkavēšanās.
Iesaistiet pareizo riska īpašnieku
IT komanda var novērtēt piekļuves aizsardzību, bet finanšu procesa īpašnieks labāk izprot maksājuma kļūdas sekas. Izvērtējumu veiciet kopā. Riska īpašniekam jāspēj organizēt rīcību vai nodot lēmumu personai ar vajadzīgajām pilnvarām.
Sagatavojieties sarunai ar pieejamajiem faktiem: iepriekšēji incidenti, piekļuves iestatījumi, darījumu apjoms, pārbaudes un piegādātāju atbildības. Ja faktu nav, atzīmējiet pieņēmumu un nepieciešamo pārbaudi. “Nav informācijas” nav tas pats, kas “zems risks”.
Viena riska reģistra ieraksta piemērs
| Lauks | Piemēra saturs |
|---|---|
| Scenārijs | Pārņemts finanšu darbinieka konts tiek izmantots neatļautai piegādātāja rekvizītu maiņai. |
| Esošie pasākumi | Maksājumu apstiprina divi cilvēki, bet rekvizītu izmaiņas atsevišķi nepārbauda. |
| Ietekmes pamatojums | Iespējams pārskaitījums nepareizajam saņēmējam; apmēru precizē pēc faktiskajiem darījumiem. |
| Iespējamības pamatojums | Jāizvērtē konta aizsardzība, piekļuves tiesības un līdzīgu mēģinājumu pieredze. |
| Plānotā rīcība | Ieviest neatkarīgu rekvizītu izmaiņu apstiprināšanu un pārbaudīt kontu aizsardzību. |
| Atbildīgais | Finanšu procesa īpašnieks sadarbībā ar IT atbildīgo. |
| Rezultāta pārbaude | Izvēlētu rekvizītu izmaiņu izlase un kontrolēta procesa pārbaude. |
| Atlikušais risks | Pārvērtēt pēc pasākumu ieviešanas un dokumentēt pilnvarotās personas lēmumu. |
Pārvērtiet plānoto rīcību par izpildāmu darbu
Rīcībai jābūt pietiekami konkrētai, lai atbildīgais zinātu, ko izdarīt. “Uzlabot piekļuves” sadaliet atsevišķos darbos: noteikt pārbaudāmos kontus, pārskatīt tiesības, ieviest nepieciešamo autentifikāciju un pārbaudīt izņēmumus. Piešķiriet termiņu un vienojieties par rezultāta pieņemšanu.
Riska apstrāde var nozīmēt tā mazināšanu, riskantās darbības pārtraukšanu, riska sadali ar citām pusēm vai pamatotu pieņemšanu. Līgums un apdrošināšana nemaina visus iespējamos zaudējumus un neatceļ pašas organizācijas pienākumus. Lēmumā pierakstiet, ko izvēlētais variants atrisina un kas paliek.
Ja jāvienojas par to, kurus trūkumus novērst vispirms, OffSeq gatavības novērtējums un trūkumu novēršanas plāns palīdz sasaistīt esošās kontroles ar ieviešanas prioritātēm.
Atlikušais risks jāvērtē pēc pierādījumiem
Plānotas kontroles vēl nav ieviestas kontroles. Ja dokumentā norādāt sagaidāmo atlikušo risku, skaidri atzīmējiet, ka tas ir prognozēts. Pēc darba izpildes pārbaudiet rezultātu un atjaunojiet vērtējumu. Saglabājiet pilnvarotās personas lēmumu par atlikušo risku.
Izvēlētās kontroles un to pamatojumu sasaistiet ar piemērojamības paziņojumu. Tas ļauj izsekot no riska līdz pasākumam un no pasākuma līdz pierādījumam, nemeklējot sakarību vairākos nesaistītos dokumentos.
Kad atgriezties pie novērtējuma
Nosakiet pārskatīšanas kārtību un ierosinātājus: būtiska pakalpojuma izmaiņa, jauns piegādātājs, incidents, audita konstatējums vai jauna piemērojama prasība. Saglabājiet iepriekšējā vērtējuma pamatojumu, lai būtu redzams, kāpēc lēmums mainījies.
Avoti un atsauces
- ISO/IEC 27005:2022 Informācijas drošības risku pārvaldības vadlīniju mērķis un tvērums.
- Guide for Conducting Risk Assessments, SP 800-30 Rev. 1 Papildu metodisks avots risku novērtēšanai; NIST nav ISO/IEC 27001 prasību aizstājējs.
- ISO/IEC 27001:2022 Risku pārvaldības loma informācijas drošības pārvaldības sistēmā.
- NIS2 & ISO 27001 Readiness Vietnes uzturētāja pakalpojums: gatavības novērtējums, trūkumu novēršanas plāns, politikas, pierādījumi un audita atbalsts. Komerciāls avots.
Saistītie jautājumi
Vai ISO 27001 obligāti prasa konkrētu riska matricu?
Standarts neprasa vienu universālu punktu skalu. Organizācijai vajadzīga piemērota, konsekventa metode, riska kritēriji un dokumentēti rezultāti, kurus var izmantot lēmumiem.
Vai ievainojamību saraksts ir risku novērtējums?
Tas ir viens no ievaddatu avotiem. Lai pieņemtu riska lēmumu, ievainojamība jāsasaista ar pakalpojumu, izmantošanas apstākļiem, esošajiem pasākumiem un iespējamo ietekmi.
Jautājums par šo ieviešanas soli?
Atstājiet e-pastu – OffSeq atbildēs par jūsu organizācijas situāciju.
Paldies, pieprasījums saņemts.
Atbildēsim uz norādīto e-pasta adresi.
Pieprasījumu neizdevās nosūtīt. Mēģiniet vēlreiz vai rakstiet uz support@offseq.com.