Jak kwantyfikować ryzyko cyber, żeby zarząd zaczął słuchać

dlaczego czerwony/żółty/zielony nie działa na zarząd

Mapy cieplne w formacie czerwony/żółty/zielony są intuicyjne. Nie potrafią jednak odpowiedzieć na pytania, których potrzebuje zarząd. Zarząd pyta: jak prawdopodobna jest istotna strata w ciągu najbliższych 12 miesięcy, ile taka strata by kosztowała i czy obecne inwestycje w bezpieczeństwo zmniejszają tę ekspozycję. Kolor na siatce nie odpowiada na żadne z tych pytań.

Są dwa strukturalne problemy. Pierwszy to fakt, że macierze jakościowe używają skal porządkowych. Wysoki, średni i niski to rankingi, nie wielkości. Nie da się ich dodawać, mnożyć ani porównywać między kategoriami. Mapa cieplna z siedmioma pozycjami wysokiego ryzyka nie powie, czy te siedem budzi większy niepokój niż dwie pozycje średniego ryzyka gdzie indziej. Drugi problem to subiektywność: dwie osoby patrzące na to samo ryzyko ocenią je inaczej, zależnie od doświadczenia, apetytu na ryzyko i sposobu przedstawienia sprawy. Głębszy problem polega na tym, że raporty jakościowe opisują zagrożenia, nie ekspozycję biznesową. Powiedzenie zarządowi, że ransomware to wysokie ryzyko, komunikuje, że ransomware istnieje. Nie mówi, ile kosztowałby taki incydent, jak prawdopodobny jest w tym roku ani czy kontrole zmniejszyły to prawdopodobieństwo.

zagrożenie, podatność i ryzyko: definicje, na których to się opiera

Zagrożenie to aktor albo zdarzenie, które może wyrządzić szkodę: grupy ransomware, kampanie phishingowe, nadużycia wewnętrzne, awaria sprzętu. Podatność to słabość, którą zagrożenie może wykorzystać: niezałatany system operacyjny, źle skonfigurowany bucket w chmurze, konto bez MFA. Ryzyko to potencjał straty wynikający z połączenia zagrożenia, podatności i zasobu wartego ochrony. Ryzyko ma prawdopodobieństwo i skutek, wyrażone jako to, ile kosztowałoby zdarzenie i jak prawdopodobne ono jest.

Ta różnica ma praktyczne znaczenie w rejestrze. "Ransomware" to zagrożenie, nie ryzyko. "Przestarzały system, którego nie da się załatać" to podatność, nie ryzyko. Ryzykiem jest: aktor zagrożenia wykorzystuje niezałatany system, żeby wdrożyć ransomware w systemie produkcyjnym, co skutkuje przestojem operacyjnym i kosztami reakcji szacowanymi w konkretnym przedziale przy określonym prawdopodobieństwie. Rejestru pełnego zagrożeń i podatności nazwanych ryzykami nie da się priorytetyzować. Kiedy przeformułujesz obie kategorie jako ryzyka z policzonym prawdopodobieństwem i skutkiem, priorytetyzacja staje się obliczeniem, a nie sporem.

ryzyko to prawdopodobieństwo razy skutek

Wzór brzmi Ryzyko = Prawdopodobieństwo x Skutek, a precyzja w jego stosowaniu ma znaczenie. Prawdopodobieństwo to liczba między zerem a jeden, wyrażająca szansę, że konkretne zdarzenie powodujące stratę wystąpi w określonym horyzoncie czasu. Prawdopodobieństwo 20 procent oznacza, że zdarzenia można się spodziewać mniej więcej raz na pięć lat. Skutek to finansowa skala straty, obejmująca koszty bezpośrednie (reakcja, odtworzenie, powiadomienia) i pośrednie (przestój, kary, kary umowne, szkody wizerunkowe). W modelu skwantyfikowanym skutek wyraża się jako przedział, nie jako pojedynczą liczbę.

Oczekiwana strata to iloczyn prawdopodobieństwa i skutku. Prawdopodobieństwo 20 procent dla straty w przedziale od 500 000 do 2 000 000 EUR daje oczekiwaną roczną stratę w przedziale od 100 000 do 400 000 EUR. Można to porównać z kosztem proponowanej kontroli. Jeśli kontrola kosztuje 80 000 EUR rocznie i zmniejsza prawdopodobieństwo z 20 do 5 procent, to zmniejsza oczekiwaną stratę o mniej więcej 75 000 do 300 000 EUR. Takie porównanie to już biznesowe uzasadnienie. Jedno rozróżnienie poprawia precyzję: ocena jakościowa mówi, że zdarzenie ransomware jest "prawdopodobne", prawdopodobieństwo liczbowe mówi, że szansa w ciągu najbliższych 12 miesięcy wynosi 30 procent. Używanie ich zamiennie zaciera to, jaki rodzaj twierdzenia właśnie padł.

dlaczego wyłącznie jakościowa punktacja wprowadza w błąd

Punktacja jakościowa jest szybka i wystarcza do wstępnej selekcji. Problem pojawia się, gdy staje się ostatecznym wynikiem. Skal porządkowych nie da się sensownie mnożyć ani agregować. Jeśli jedno ryzyko ma ocenę 4 w prawdopodobieństwie i 4 w skutku, czy jest pilniejsze niż dwa ryzyka ocenione na 3 i 3? Nie ma na to zasadnej odpowiedzi, bo te liczby to etykiety. Macierze ryzyka pomijają też tempo: wysokie prawdopodobieństwo w tym kwartale zasługuje na inne traktowanie niż to samo prawdopodobieństwo rozłożone na trzy lata. Najostrzejszy jest problem komunikacji z zarządem: mapa cieplna z dwunastoma pozycjami wysokiego ryzyka i siedmioma średniego nie daje zarządowi podstawy do decyzji, które z nich wymagają budżetu. Raportowanie ilościowe daje zarządowi przedział i prawdopodobieństwo. Decyzja wynika z tego naturalnie.

jak kwantyfikować: przedziały, prawdopodobieństwo i oczekiwana strata

Kwantyfikacja nie wymaga idealnych danych historycznych, wymaga uporządkowanych szacunków. Zamień pojedyncze liczby na przedziały: dolna granica, wartość najbardziej prawdopodobna i górna granica. Przedział taki jak 200 000 do 1 500 000 EUR z centralnym szacunkiem 600 000 EUR uczciwie oddaje niepewność. Szacunki prawdopodobieństwa działają na tej samej zasadzie: przypisz przedział, na przykład 10 do 30 procent rocznie, oparty na branżowych danych o stratach od aktuariuszy ubezpieczeń cyber, strukturach z NIST i ISO 27005, danych o naruszeniach z uznanych badań (Verizon DBIR, Ponemon, IBM Cost of a Data Breach) jako bazowych wskaźnikach na poziomie populacji oraz na wewnętrznych danych historycznych, jeśli takie istnieją. Pomnóż centralne prawdopodobieństwo przez centralny skutek, żeby uzyskać główny wskaźnik oczekiwanej rocznej straty, a końce przedziałów wykorzystaj do zbudowania wokół niego przedziału.

FAIR po prostu

FAIR (Factor Analysis of Information Risk) to publicznie dostępny standard kwantyfikacji ryzyka cyber, utrzymywany przez FAIR Institute, który rozkłada ryzyko na komponenty szacowane osobno, a potem łączone. FAIR dzieli prawdopodobieństwo na dwa elementy: jak często aktor zagrożenia próbuje wykorzystać podatność oraz jakie jest prawdopodobieństwo, że próba się powiedzie, biorąc pod uwagę możliwości atakującego względem twoich kontroli. Skutek obejmuje sześć kategorii: utratę produktywności, koszty reakcji, koszty odtworzenia, utratę przewagi konkurencyjnej, kary i wyroki oraz szkody wizerunkowe. Rozdzielenie tych kategorii wymusza przemyślenie każdego typu straty. Praktyczna wartość na poziomie praktyka polega na wykorzystaniu tej struktury do zadawania lepszych pytań, niezależnie od tego, czy korzystasz z pełnego modelu wspieranego oprogramowaniem. Na poziomie podstawowym stosowanie FAIR nie wymaga narzędzi zastrzeżonych.

Monte Carlo po prostu

Symulacja Monte Carlo modeluje scenariusze ryzyka, w których dane wejściowe są niepewne. Zamiast jednej liczby definiujesz rozkład dla każdej zmiennej, a symulacja uruchamia tysiące scenariuszy losowanych z tych rozkładów. Wynikiem jest rozkład możliwych wyników. Model może przyjąć prawdopodobieństwo między 10 a 35 procent i skutek między 200 000 a 2 000 000 EUR, uruchomić dziesięć tysięcy scenariuszy i wygenerować rozkład częstości, który da się odczytać: 90 procent szans na stratę mniejszą niż 800 000 EUR w danym roku i 10 procent szans na stratę większą. Wartość polega na tym, że uczciwie oddaje niepewność zamiast ukrywać ją za fałszywą pojedynczą liczbą. Oprogramowanie sięga od dodatków do arkuszy kalkulacyjnych po dedykowane platformy.

krzywa przekroczenia straty: jak zobaczyć ogon rozkładu

Krzywa przekroczenia straty pokazuje na osi poziomej stratę finansową, a na osi pionowej prawdopodobieństwo przekroczenia tej straty. Krzywa zaczyna się w lewym górnym rogu i opada w prawo. Stroma krzywa wskazuje, że scenariusze wysokiej straty są realnie prawdopodobne, a płaska krzywa z długim ogonem wskazuje, że większość scenariuszy jest umiarkowana, choć bardzo duże straty są możliwe, tylko rzadkie. Dwie krzywe na tym samym wykresie, ryzyko nieodłączne przed kontrolami i ryzyko rezydualne po nich, pokazują wartość inwestycji w bezpieczeństwo: różnica między nimi na dowolnym poziomie straty pokazuje, o ile kontrole zmniejszyły prawdopodobieństwo osiągnięcia tej kwoty. Naniesienie apetytu na ryzyko organizacji jako poziomego progu pokazuje, czy ryzyko rezydualne leży powyżej czy poniżej apetytu. Jeśli krzywa rezydualna wciąż przecina próg, potrzeba więcej działań.

apetyt na ryzyko, tolerancja i limity

Apetyt na ryzyko to ogólny poziom ryzyka, jaki organizacja jest gotowa zaakceptować w dążeniu do swoich celów, decyzja polityczna podejmowana przez kierownictwo wyższego szczebla albo zarząd. Tolerancja ryzyka to akceptowalny zakres odchylenia wokół apetytu, opisujący, jak duże odchylenie jest dopuszczalne, zanim wymaga formalnego przeglądu. Limit ryzyka to bezwzględny sufit; ryzyko, które go przekracza, wymaga natychmiastowego działania. Bez wszystkich trzech elementów nie da się ocenić ryzyka rezydualnego. Ustalenie apetytu nie wymaga długiego procesu: moderowana rozmowa z kierownictwem, w której pytasz, jaka strata finansowa w ciągu jednego roku wymagałaby zmiany planów strategicznych, jaki przestój operacyjny jest nie do zaakceptowania i jaka kara regulacyjna stanowiłaby istotne zdarzenie, osadza deklarację apetytu w kategoriach biznesowych.

cztery sposoby traktowania ryzyka

Mitygacja oznacza zmniejszanie prawdopodobieństwa albo skutku przez kontrole. Pytanie brzmi, ile kosztuje kontrola i o ile zmniejsza oczekiwaną roczną stratę. Transfer oznacza przeniesienie konsekwencji finansowych na stronę trzecią, najczęściej przez ubezpieczenie cyber; zamienia bezpośrednią ekspozycję na koszt ubezpieczenia plus ekspozycję rezydualną powyżej limitów polisy. Unikanie oznacza wyeliminowanie działania, które tworzy ryzyko, właściwe podejście dla konkretnych działań wysokiego ryzyka, w których korzyść biznesowa nie uzasadnia ekspozycji. Akceptacja oznacza uznanie ryzyka i decyzję o niepodejmowaniu działań, albo dlatego że ryzyko rezydualne mieści się w apetycie, albo dlatego że koszt mitygacji przewyższa zmniejszenie oczekiwanej straty. Akceptacja nie jest bierna, wymaga udokumentowanej decyzji z nazwanym właścicielem. Obowiązuje jedna konkretna zasada: formalnie zaakceptować ryzyko może tylko osoba, która za nie odpowiada. Szef jednostki biznesowej, który mówi "akceptuję to ryzyko" w sprawie niezałatanego systemu, zaakceptował operacyjną niedogodność związaną z łataniem, nie finansowe, prawne i wizerunkowe ryzyko, jakie tworzy naruszenie.

jak zbudować praktyczny rejestr ryzyk

Praktyczny wpis w rejestrze potrzebuje identyfikatora ryzyka, opisu zdarzenia i jego konsekwencji, zasobu, którego dotyczy, szacunku prawdopodobieństwa jakościowego (etap wstępny), szacunku prawdopodobieństwa liczbowego (tam, gdzie jest dostępny), szacunku skutku w kategoriach finansowych, oceny ryzyka nieodłącznego, aktualnych kontroli, oceny ryzyka rezydualnego, decyzji o sposobie traktowania, nazwanego właściciela i daty przeglądu. Ryzyko nieodłączne to ekspozycja przed kontrolami, ryzyko rezydualne to ekspozycja po nich. Różnica między nimi to to, co kupuje twoja inwestycja w bezpieczeństwo. Stosuj tę samą metodykę punktacji konsekwentnie we wszystkich wpisach. Każde ryzyko potrzebuje nazwanego właściciela odpowiedzialnego za decyzję o traktowaniu, cykl przeglądów i eskalacje. Ryzyka o wysokiej dotkliwości powinny być przeglądane co najmniej raz na kwartał, a cały rejestr raz w roku, z dodatkowymi przeglądami wywołanymi istotną zmianą. Utrzymywanie osobnego inwentarza zasobów i rejestru zagrożeń obok rejestru ryzyk ułatwia utrzymanie każdego z tych elementów.

jak zamienić dane o ryzyku w narrację gotową na zarząd

Zarząd odpowiada za nadzór, nie za operacje. Pytania, na które potrzebuje odpowiedzi, to: jaka jest nasza obecna ekspozycja finansowa, jak się zmienia, czy obecna inwestycja daje mierzalne zmniejszenie ryzyka i czy są decyzje wymagające wkładu na poziomie zarządu. Zarząd nie musi wiedzieć, ile maili phishingowych zablokowano w zeszłym miesiącu, to jest operacyjny KPI. KPI mierzy, jak działa funkcja bezpieczeństwa (pokrycie łatkami, średni czas do wykrycia, ukończenie szkoleń). KRI sygnalizuje, czy środowisko ryzyka się poprawia czy pogarsza (ryzyko rezydualne jako procent apetytu, oczekiwana roczna strata w podziale na kategorie, skuteczność kontroli wobec ryzyk najwyższego priorytetu). Zarząd powinien dostawać KRI, zespoły bezpieczeństwa powinny dostawać KPI.

Przykładowa narracja dla zarządu przynosi na kwartalny przegląd trzy elementy: trzy najważniejsze ryzyka według oczekiwanej rocznej straty, z prawdopodobieństwem i przedziałem straty dla każdego; linię trendu pokazującą, czy ryzyko rezydualne przesunęło się względem apetytu w ciągu ostatnich czterech kwartałów; i jedną decyzję, jakiej potrzeba od zarządu. Zarząd rozumie wtedy ekspozycję finansową, widzi, czy program się poprawia, i ma konkretną decyzję do podjęcia. Mapa cieplna z dwunastoma czerwonymi polami daje efekt odwrotny.

częste błędy

Wpisywanie zagrożeń jako ryzyk. Przepisz każdy wpis jako zdarzenie, prawdopodobną konsekwencję, zasób, którego dotyczy, i szacowaną ekspozycję finansową.

Używanie prawdopodobieństwa jakościowego i liczbowego zamiennie. Oba należą do oceny ryzyka; traktowanie ich jako tego samego zaciera różnicę między oceną eksperta a mierzalnym twierdzeniem.

Pozwalanie właścicielom jednostek biznesowych na akceptację ryzyka. Szef działu, który mówi "akceptuję to ryzyko", zwykle zaakceptował koszt kontroli albo niedogodność operacyjną, nie pełną ekspozycję, która wykracza poza jego kompetencje.

Prowadzenie przeglądów dostępów bez łączenia wyników z rejestrem. Wyniki przeglądów dostępów, zwłaszcza privilege creep, konta osierocone i nieprzejrzane konta serwisowe, to często najbardziej praktyczne źródło danych o ryzyku wysokiego prawdopodobieństwa i wysokiego skutku. Jeśli rejestr nie odzwierciedla tego, co znajdują przeglądy dostępów, działa na założeniach.

Wysyłanie zarządowi metryk operacyjnych bez ujęcia finansowego. Przełóż każdą metrykę kierowaną do zarządu na to, co oznacza dla ekspozycji finansowej.

Dążenie do zerowego ryzyka. Zerowe ryzyko jest nieosiągalne i nie jest celem. Celem jest ryzyko rezydualne mieszczące się w apetycie.

Nadmierna kwantyfikacja. Stosuj kwantyfikację tam, gdzie wymaga tego decyzja, a ocenę jakościową jako mechanizm wstępnej selekcji, który wskazuje, które ryzyka wymagają pełniejszego traktowania.

jak to się ma do standardów

NIST SP 800-30 opisuje siedmiostopniowy proces oceny ryzyka obejmujący te same pojęcia, z naciskiem na elementy kwantyfikacji, które ten framework dopuszcza, ale ich nie narzuca. ISO 27005 to dedykowany standard zarządzania ryzykiem bezpieczeństwa informacji w rodzinie ISO 27001; skwantyfikowany rejestr spełnia wymagania dokumentacyjne, jakich oczekuje on i załącznik A do ISO 27001, w tym zapisy traktowania ryzyka i przypisanie właściciela ryzyka. COSO ERM traktuje ryzyko cyber jako element ryzyka korporacyjnego; skwantyfikowany rejestr mówiący językiem skutku biznesowego integruje się z nim bezpośrednio. NIS2 i DORA wymagają środków zarządzania ryzykiem obejmujących identyfikację, kwantyfikację i traktowanie. Artykuł 21 NIS2 określa analizę ryzyka i polityki bezpieczeństwa informacji; artykuł 6 DORA i powiązane standardy techniczne wymagają ram zarządzania ryzykiem ICT z udokumentowaną tolerancją ryzyka i decyzjami o traktowaniu.