Artık Risk Nedir? 2023'te Neden Önemli?

Artık risk, tüm risk tedavisi ve iyileştirme çabaları uygulandıktan sonra kalan tehdit veya güvenlik açığıdır.

Zeki bir güvenlik açığı sanitasyon programıyla bile, her zaman kalan risklerin izleri olacaktır, bunlar artık risklerdir.

Her zaman mevcut olacakları için, artık riski yönetme süreci, kabul edilebilir bir eşik belirlemeyi ve ardından bu eşiğin altındaki tüm riskleri azaltmak için programlar ve çözümler uygulamayı içerir.

Dijital yüzeylerinizdeki artık riskleri nasıl belirleyeceğinizi ve kontrol edeceğinizi öğrenmek için okumaya devam edin.

2023'te Artık Risk Neden Bu Kadar Önemli?

Artık risk önemlidir çünkü azaltılması ISO 27001 düzenlemelerinin zorunlu bir gerekliliğidir. Bu, ISO/IEC 2700 en iyi güvenlik uygulamaları ailesi içinde yer alan ve kuruluşların varlıkları satıcılarla paylaşmadan önce ve sonra güvenliğini ölçmelerine yardımcı olan popüler bir bilgi güvenliği standardıdır.

ISO 27001 ile uyumlu olmak için kuruluşlar, verileri herhangi bir satıcıyla paylaşmadan önce, doğal güvenlik süreçlerine ek olarak artık bir güvenlik kontrolünü tamamlamalıdır.

Ancak 2021'de, Başkan Biden'ın Siber Güvenlik Yürütme Emri'ni imzalamasından bu yana artık risk daha da yüksek bir önem kazandı. Artık kuruluşların, ulus devlet tehdit aktörlerinin üçüncü taraf ihlallerinin etkisini sınırlamak için tedarik zincirleri boyunca kalan riskleri önemli ölçüde azaltmaları bekleniyor.

ISO/IEC 27001 ve Biden'ın Yürütme emrinin katı uyumluluk beklentisini karşılamak için kuruluşların saldırı yüzeyi izleme çözümlerini artık risk değerlendirmesiyle birleştirmesi gerekir.

Doğal Risk ile Artık Risk Arasındaki Fark Nedir?

Doğal risk, kontrollerin yokluğunda bir BT ekosistemindeki risk miktarıdır ve kalan risk, siber güvenlik kontrolleri uygulandıktan sonra var olan risk miktarıdır.

Doğal risk değerlendirmeleri, bilgi güvenliği ekiplerinin ve CISOS'un gerekli güvenlik kontrollerinin tasarımı için bir gereksinim çerçevesi oluşturmasına yardımcı olur. Bu üst düzey değerlendirmenin ötesinde, doğal risk değerlendirmelerinin çok az değeri vardır. Gerçek değer, siber suçlular tarafından istismar edilmeden önce maruziyetleri belirlemeye ve düzeltmeye yardımcı olan artık risk değerlendirmelerinden gelir.

İçsel ve Artık Risk Değerlendirmeleri

Doğal ve artık risk değerlendirmeleri arasındaki temel fark, ikincisinin kontrollerin ve diğer azaltma çözümlerinin etkisini hesaba katmasıdır. Beklendiği gibi, bir olayın meydana gelme olasılığı a

Aşağıdaki tanımlar her bir değerlendirme programı için önemlidir.

Doğal olasılık - Güvenlik denetimlerinin olmadığı bir ortamda bir olayın meydana gelme olasılığı.

Doğal etki - Bir olayın, güvenlik denetimlerinin olmadığı bir ortam üzerindeki etkisi.

Artık olasılık - Güvenlik denetimlerinin yerinde olduğu bir ortamda bir olayın meydana gelme olasılığı.

Artık Etki - Bir olayın güvenlik kontrollerinin yerinde olduğu bir ortam üzerindeki etkisi.

Etkili güvenlik kontrolleri uygulandığında, doğal ve artık risk değerlendirmeleri arasında bariz bir tutarsızlık vardır. Bu sonuçlar uygunluğu doğrulamak için yeterli değildir ve her zaman bağımsız bir iç denetim ile doğrulanmalıdır.

İçsel ve artık riskler arasındaki yörünge ne kadar uzun olursa, yerleşik iç kontrollere olan bağımlılık ve dolayısıyla etkinlik o kadar büyük olur.

Artık risk değerlendirmeleri hakkında daha fazla bilgi edinin

Artık Risk Nasıl Hesaplanır

Bir risk yönetimi planı tasarlanmadan önce, dijital ortamınıza özgü tüm artık riskleri ölçmeniz gerekir. Bu, yönetim planınız için özel gereksinimi tanımlamanıza yardımcı olacak ve ayrıca azaltma çabalarınızın başarısını ölçmenize olanak tanıyacaktır.

Bir ekosistem içindeki artık risklerin ölçülmesi oldukça karmaşık bir hesaplamadır. Yüksek düzeyde, formül aşağıdaki gibidir:

Artık risk=Doğal riskler - risk kontrollerinin etkisi.

Kurtarma planlarının etkinliğini değerlendirmek için kalan riskler, risk toleransına (veya risk iştahına) göre de değerlendirilebilir. Bu, uygulanan tüm güvenlik kontrollerinin denetlenmesini zorunlu kılacak ve aşırı doğal risklere izin veren herhangi bir gecikmeyi belirleyecektir. Bu tür paha biçilmez analizlerle güvenlik ekipleri, iç kaynakların verimli bir şekilde dağıtılmasını destekleyen hedefli iyileştirme kampanyaları yürütebilir.

Üçüncü Taraf Risk Yönetimi programınız için risk iştahını nasıl hesaplayacağınızı öğrenin.

Modern saldırı yüzeyi genişlemeye ve ek risk değişkenleri oluşturmaya devam ettiğinden, doğruluğu sağlamak için bu hesaplama akıllı çözümlere daha iyi emanet edilir. Bununla birlikte, artık risk profilinizin bir ön değerlendirmesini elde etmek için aşağıdaki hesaplama süreci takip edilebilir.

Adım 1: İçsel Risk Faktörünüzü hesaplayın.

Kritik iş birimleri için RTO'ları hesaplayın

Doğal risk faktörü, en düşük RTO'lara sahip olan kritik süreçler için Kurtarma Süresi Hedeflerinin (RTO) bir fonksiyonudur. Bu, önce her bir departman için RTO'ların hesaplanmasını gerektirir.

Kurtarma Süresi Hedeflerini nasıl hesaplayacağınızı öğrenin

Her RTO Kategorisinin Potansiyel Etkisini Hesaplayın

Her bir iş biriminin RTO'su hesaplandıktan sonra, bu liste olası iş etkisi düzeyine göre sıralanmalıdır. Daha düşük RTO'lar daha yüksek bir kritiklik seviyesine sahiptir ve bu nedenle bir kuruluş üzerinde en büyük olumsuz etkiye sahip olacaktır.

Her RTO'ya aşağıdaki gibi bir iş etkisi puanı atanmalıdır:

1=Önemsiz Etki
2=Minimum Etki
3=Orta Etki
4=Kritik Etki
5=Katastrofik Etki

mesela:

A iş birimi, 12 saat, 24 saat ve 36 saatlik RTO'ları olan 1, 2 ve 3 işlemlerinden oluşuyorsa; iş kurtarma planı yalnızca işlem 1 için değerlendirilmelidir. Bunun nedeni, süreç 1'in en düşük RTO'ya sahip olması ve bu da onu iş birimi kategorisindeki en kritik iş süreci haline getirmesidir.

A iş birimi 12 saat veya daha kısa bir RTO'ya sahip olduğundan, son derece kritik bir süreç olarak sınıflandırılır ve bu nedenle 4 veya 5 etki puanı atanmalıdır.

Departmana Tehdit Düzeyi Puanı Atama

Daha sonra her bir iş biriminin siber tehdit ortamının haritalandırılması gerekecektir. Güvenlik açıklarının doğru bir şekilde tespit edilmesini sağlamak için bu, bir saldırı yüzeyi izleme çözümü ile yapılmalıdır.

Daha sonra her birime güvenlik açığı sayısına ve açıktan yararlanma riskine göre bir tehdit düzeyi puanı atanmalıdır.

Tehdit düzeyi puanlama sistemi aşağıdaki gibidir:

1=Düşük
2=En az
3=Orta
4=Yüksek
5=Kritik

İş Biriminin İçsel Risk Faktörünü Tahmin Edin

Doğal riskin tahmini aşağıdaki formülle hesaplanabilir:

Doğal risk=[ (İş Etki Puanı) x (Tehdit Ortamı puanı) ]/5

Ortaya çıkan doğal risk puanı 2.0 ile 5.0 arasında olacaktır ve daha sonra aşağıdaki gibi sınıflandırılabilir:

2 ile 3 arası=Düşük doğal risk
3 ile 3.9 arasında=Orta düzeyde doğal risk
4 ile 5 arasında - Yüksek doğal risk

2. Adım: Kabul Edilebilir Risk Düzeylerini Belirleyin

Kabul edilebilir risklerin seviyeleri, her kuruluşun mevzuata uygunluk gereksinimlerine bağlıdır. Yüksek düzeyde, kabul edilebilir tüm risklerin gelir, iş hedefleri, hizmet sunumu ve saldırı yüzeyi yönetimi üzerinde minimum etkisi olmalıdır.

Kabul Edilebilir Risk Seviyeleri Nasıl Tanımlanır?

Her bir varlık için kabul edilebilir risklerin tanımlanması gerekir. Bu, kapsamlı bir varlık envanteri ile ezici bir ön koşul haline gelebilir. Aşağıdaki kabul edilebilir risk analizi çerçevesi, çabanın dağıtılmasına ve sürecin hızlandırılmasına yardımcı olacaktır.

Bu, aşağıdaki kabul edilebilir risk analizi çerçevesi ile başarılabilir:

Dijital ayak izi haritalaması ile tüm varlıkları tanımlayın.
Her varlığı veya varlık grubunu bir sahibe atayın.
Her varlığın mevcut ve potansiyel güvenlik açıklarını belirleyin.
Bu güvenlik açıklarından yararlanma olasılığının miktarı
Aşağıdaki formülü kullanarak her bir varlığın riskini ölçün:
Risk=Olasılık x Etki
Nerede:
- Olasılık, güvenlik açıklarının, maruz kalmanın ve tehditlerin bir fonksiyonudur.
- Etki, iş kritikliğinin bir işlevidir.

Kabul edilebilir risk seviyeleri, aşağıdaki durumlarda yüzde olarak tanımlanmalıdır:

Doğal risk faktörü 3'ten düşükse=%20 kabul edilebilir risk (yüksek risk toleransı).
Doğal risk faktörü 3 ile 3.9 arasındaysa =% 15 kabul edilebilir risk (orta risk toleransı).
4 ile 5 arasında doğal bir risk faktörü=%10 (düşük risk toleransı).

Yüzde ne kadar düşükse, siber güvenlik risk kontrol gereksinimleri o kadar ciddi olur. Risk kontrolleri ne kadar iyi olursa, bir siber saldırıdan sonra kurtarma şansı o kadar yüksek olur.

Maksimum risk toleransı aşağıdaki formülle hesaplanabilir:

Maksimum risk toleransı=Doğal risk toleransı yüzdesi x Doğal risk faktörü

Ve nihai risk tolerans eşiği aşağıdaki gibi hesaplanır:

Risk toleransı eşiği=Doğal risk faktörü - maksimum risk toleransı.

Mesela:

Doğal risk faktörü 3 olduğunda, karşılık gelen doğal risk toleransı %15'tir. Maksimum risk toleransı:

3 x %15=0,45 olur.

Risk tolerans eşiği daha sonra şu hale gelir:

3 - 0.45 = 2.55.

Bu, azaltıcı önlemlerin tolerans dahilinde olması için yeteneklerinin toplamının 2,55 veya daha yüksek olması gerektiği anlamına gelir.

Bu riskleri azaltmanın maliyeti, işletme üzerindeki etkisinden daha fazladır.

Çözümler mevcut olsa bile, yeni veri sızıntısı riski gibi yeni artık riskler eşiğin üzerinde ortaya çıkmaya devam edecektir.

Bu risklerin azaltılması, eşiği aşan yeni riskleri hızla belirleyen ve uygun iyileştirme yanıtlarıyla bunları geri iten dinamik bir köstebek vurma yönetimi tarzı gerektirir. Amaç, kalan tüm riskleri mümkün olduğu kadar uzun süre kabul edilebilir risk eşiğinin altında tutmaktır.

3. Adım: Tüm Azaltıcı Kontroller için Ağırlıklar Atayın

Kurtarma planını koruyan tüm denetimlere önem derecesine göre bir ağırlık atanmalıdır. En kritik kontroller genellikle şunlardır:

Kurtarma stratejisi - Olay Müdahale Planı olarak da bilinir.
Kurtarma egzersizleri - Kurtarma stratejisini test etme konusundaki deneyim düzeyi

Diğer yaygın kontroller şunları içerir:

Siber olay eğitimi ve farkındalığı
Üçüncü taraf risk analizi
Veri sızıntısı tespiti ve düzeltmesi.

Şimdi, İş Etki Analizinize (BIA) dayalı olarak her risk azaltma denetimi için ağırlıklı bir puan atayın.

Genel azaltıcı denetim durumunuzu belirlemek için her azaltıcı denetleyici denetimin ağırlıklı puanlarını ekleyin

Adım 4: Artık riskinizi hesaplayın.

Artık risk formülünü tamamlamak için, genel azaltıcı kontrol durumu numaranızı risk toleransı eşiğinizle karşılaştırın.

Azaltıcı denetim durumu numaranız risk tolerans eşiğine eşit veya daha yüksekse tolerans aralığındasınız demektir.

Azaltıcı denetim durumu numaranız risk toleransı eşiğinden düşükse, tolerans aralığınızın dışındasınız demektir.

Sonuç ne kadar düşükse, iş kurtarma planınızı geliştirmek için o kadar fazla çaba gerekir. Tersine, sonuç ne kadar yüksek olursa, kurtarma planınız o kadar etkili olur.

Artık Risk hakkında SSS

Artık Risk Ne Demektir?

Artık riskler, güvenlik kontrolleri ile doğal olarak azaltıldıktan sonra kalan risklerin tümüdür.

Bazı Artık Risk Örnekleri Nelerdir?

Artık risk örnekleri şunları içerir:

Üçüncü Taraf ihlalleri riski
Tedarik zinciri saldırıları riski
Etki alanını ele geçirme riski
Kimlik avı saldırısı riski
Açıkta kalan S3 kovaları

Bankacılıkta Artık Risk Nedir?

Bankacılıkta artık risk örnekleri şunları içerir:

Borcu temizleyememe
Kredi başvurusunda bulunan bir kişinin işini kaybetme riski
Varlık tasfiyesi riski

Artık Riske Katkıda Bulunan Faktörler Nelerdir?

Artık riskler, etkisiz güvenlik kontrollerinden veya güvenlik kontrollerinin kendisinden kaynaklanabilir - bunlar ikincil riskler olarak bilinir.