Care este riscul de conformitate?

Deschideți registrul de risc și vă dați seama că este o foaie de calcul pe care cineva a completat-o în urmă cu 18 luni și nu a atins-o de atunci.

Sound familiar?

Înainte de a putea gestiona riscurile, trebuie să înțelegeți ce este de fapt un risc.

Risk = threat × vulnerability

În securitatea informației, un risc nu este doar "ceva rău care s-ar putea întâmpla".

• A threat: ceva periculos sau dăunător care ar putea apărea (un atac cibernetic, o scurgere de date, un incendiu în camera serverului).

• A vulnerability: o slăbiciune care ar putea fi exploatată (fără backup-uri, fără control de acces, fără criptare).

Îndepărtați oricare dintre ele și riscul dispare.

Nu există niciun risc.Nu există niciun risc de avalanșă în centrul Londrei.

Un atacator fără punct de intrare este doar o persoană care stă în afara unei clădiri blocate fără uși.

Acest lucru contează deoarece cele mai multe echipe se concentrează pe amenințări fără a-și audita vulnerabilitățile sau patch-uri vulnerabilități fără a verifica dacă există într-adevăr o amenințare credibilă.

A concrete example

Spuneți că unul dintre dezvoltatorii dvs. părăsește compania. Nimeni nu își revocă accesul la GitHub. O amenințare potențială: un fost angajat nemulțumit. O vulnerabilitate: acreditări active fără expirare.

Riscul rezultat: baza dvs. de coduri este manipulată sau scurtată.

ThreatVulnerabilityRisk Lectură de cod sau sabotaj, deteriorare a reputației și a contractelor.
| ----------------- | ---------------------------------------------------------- |
| | Disgruntled ex-employee |
| | Active credentials post-offboarding |
|

Simplu de scris, dar merită reparat?

Probabilitatea și impactul: cele două întrebări care contează cu adevărat

Să punem cifre pe asta:

Angajezi și pierzi aproximativ 5 persoane pe an. Fiecare plecare fără decolare corespunzătoare presupune o expunere estimată de 20.000 € (investigație de încălcare, taxe legale, notificare a clientului). Probabilitatea că se întâmplă rău: o dată la 4 ani.

Annual loss (ALE): €5,000/year.

Costul unei platforme de gestionare automată a identității: €800/month = €9,600/year.

Un instrument de 9.600 €/an pentru a acoperi un risc de 5.000 €/an nu are sens.O soluție mai bună: o listă de verificare offboarding de o pagină și o reamintire Slack către IT.

Un atac ransomware lovește infrastructura dvs. și nu aveți backup-uri offline:

ThreatVulnerabilityRisk In acest scenariu, pierderea completă a datelor, închiderea operațiunilor, plata cu răscumpărare.
| ----------------- | ------------------------------------------------------- |
| | Ransomware attack |
| | No immutable backups |
|

Probability: Atacurile ransomware asupra SMB-urilor sunt în creștere în fiecare an.

Impact: Cererea medie de răscumpărare pentru o companie mică se situează în jurul valorii de 80.000 € – înainte de a face o săptămână de întreruperi, churnarea clienților și potențialele amenzi GDPR.

Cost of a proper immutable backup solution: €200/month = €12,000 over 5 years.

Acesta este un beneficiu de 488.000 de euro pe o perioadă de cinci ani.

Cele patru modalități de a trata un risc

Odată ce ați evaluat un risc, aveți patru opțiuni:

1. Reduce it — implement a control (backup system, access policy, encryption).

2. Transfer it - obțineți asigurare cibernetică, utilizați un SaaS care absoarbe răspunderea.

3. Avoid it - opriți complet activitatea care creează riscul.

4. Accept it - document că ați luat o decizie conștientă de a trăi cu ea.

Cele mai multe cadre (ISO27001, SOC2) necesită să alegeți una dintre ele pentru fiecare risc identificat. „Nu ne-am gândit la asta” nu este o opțiune.

De ce este importantă conformitatea

ISO27001 este construit literalmente în jurul managementului riscurilor. întregul cadru există pentru a vă permite să vă identificați riscurile, să le evaluați și să le tratați sistematic.

Un audit de conformitate nu verifică dacă aveți riscuri zero, ci verifică dacă aveți un proces rațional pentru a le înțelege și a le gestiona.

Ceea ce înseamnă că un registru de risc plin de evaluări "înalte" și fără decizii de tratament este mai rău decât inutil: arată auditorului că ați identificat probleme și le-ați ignorat.

A practical starting point

Înainte de următorul audit, întrebați-vă:

• Avem o listă de active care contează? (date, sisteme, oameni, procese)

• Pentru fiecare dintre ele, care este amenințarea credibilă și unde este vulnerabilitatea?

• Am estimat probabilitatea și impactul, cu cifre reale?

• Am luat o decizie explicită cu privire la modul de tratare a fiecărui risc?

Dacă răspunsul la oricare dintre acestea este "nu cu adevărat", nu gestionați riscul așa cum ar trebui.