Što je procjena rizika računalne sigurnosti?

Sveobuhvatna procjena rizika računalne sigurnosti procjenjuje više slojeva stanja sigurnosti tvrtke ili ustanove, od tehničke infrastrukture do ljudskih čimbenika. To tvrtkama ili ustanovama omogućuje sustavno prepoznavanje rizika i razvoj ciljanih strategija za njihovo ublažavanje.

Osnovni elementi procjene rizika računalne sigurnosti

Dobro strukturirana procjena rizika uključuje nekoliko ključnih koraka:

1. Definirajte opseg

Procjena rizika računalne sigurnosti započinje definiranjem opsega. To znači točno utvrditi koji će se dio tvrtke ili ustanove procjenjivati, bilo da je riječ o određenoj poslovnoj jedinici, aplikaciji ili cijelom IT okruženju poduzeća. Jasno definiran opseg sprječava slijepe točke i pomaže održati fokus. Trebao bi obuhvaćati:
 

• Fizička infrastruktura, poput poslužitelja, stolnih računala, mobilnih uređaja i IoT krajnjih točaka.
• Softverski sustavi kao što su interni alati, platforme u oblaku, aplikacije trećih strana i baze podataka.
• Mrežni sloj, uključujući segmentaciju, daljinski pristup i javno izložene servise.
• Osobe, uključujući korisničke uloge, razine pristupa i digitalne aktivnosti zaposlenika, izvođača i dobavljača.
   

2. Identificirajte resurse

Nakon što se opseg utvrdi, sljedeći korak je identifikacija resursa. To uključuje popisivanje svega vrijednog unutar definiranog opsega što podržava poslovne operacije. Resursi uključuju:
 

• Fizički hardver, poput prijenosnih računala, poslužitelja, usmjerivača i uređaja za pohranu.
• Softverski sustavi kao što su operacijski sustavi, aplikacije za poslovne procese, sigurnosni alati i prilagođeni kod.
• Mrežna infrastruktura, uključujući bežične pristupne točke, VPN-ove, vatrozide i DNS sustave.
• Osobe, kao što su zaposlenici, administratori, korisnici trećih strana i njihovi povezani identiteti i vjerodajnice za pristup.
   

Svaki resurs trebalo bi klasificirati prema tome koliko je važan za poslovanje.

3. Precizno određivanje prijetnji

Prijetnja je svaki potencijalni događaj, izvršitelj ili stanje koje može prouzročiti štetu iskorištavanjem ranjivosti u sustavu, mreži, aplikaciji ili procesu. To je dio scenarija rizika "što bi moglo poći po zlu".

Prijetnje mogu biti:

• Namjerne, poput računalnog zločinca koji pokreće napad za krađu identiteta ili insajdera koji zloupotrebljava svoj pristup.
• Nenamjerne, kao što su pogrešno konfiguriran vatrozid ili zaposlenik koji šalje povjerljive podatke pogrešnoj osobi.
• Okolišne, uključujući požare, poplave ili nestanke električne energije koji ometaju operacije ili oštećuju opremu.

Mogu ciljati hardver (primjerice krađu prijenosnog računala), softver (iskorištavanje pogreške u aplikaciji), mreže (presretanje nezaštićenog prometa) ili osobe (navođenje korisnika da podijele lozinke).

4. Procijenite ranjivosti

Ranjivost je slabost u sustavu, aplikaciji, procesu ili ljudskom ponašanju koju prijetnja može iskoristiti kako bi prouzročila štetu ili neovlaštene ishode. To je dio scenarija rizika "kako bi nešto moglo poći po zlu".

Ranjivosti se mogu pojaviti na mnogo načina:
 

• Hardver. Nešifrirana prijenosna računala, zastarjela oprema ili nesigurni priključci.
• Softver. Aplikacije bez zakrpa, zadane vjerodajnice ili kod koji nije siguran.
• Mreže. Otvoreni priključci, slabo šifriranje ili loša segmentacija.
• Ljudski čimbenici. Ponovno korištene lozinke, nedostatak obuke ili prevelike ovlasti pristupa.
   

Ranjivost ne mora automatski dovesti do incidenta, ali kada se kombinira s odgovarajućom prijetnjom, otvara put riziku. Na primjer, web-poslužitelj na kojem je instaliran zastarjeli softver ranjiv je. Ako zlonamjerni akter skenira tu ranjivost i iskoristi je, tvrtka ili ustanova se može suočiti s kršenjem sigurnosti podataka.

5. Procijenite postojeće kontrole

Nakon što se identificiraju prijetnje i ranjivosti, vrijeme je da se procijene kontrole koje su trenutačno na snazi za njihovo ublažavanje. Kontrole se svrstavaju u tri široke kategorije:
 

• Preventivno. Kao što su vatrozidi, antivirusni softver i višestruka provjera autentičnosti.
• Detektiv. Uključujući sustave za otkrivanje upada i alate za upravljanje sigurnosnim informacijama i događajima (SIEM).
• Korektivne. Primjeri uključuju sigurnosne kopije i planove za oporavak od katastrofe.
   

Važno je procijeniti pokrivenost u sljedećim područjima:
 

• Hardver. Postoje li mjere fizičke sigurnosti kao što su pristup značkama, šifriranje uređaja ili postupci sigurnog odlaganja?
• Softver. Postoje li uspostavljeno upravljanje zakrpama i sigurne razvojne prakse?
• Mreže. Segmentirate li promet, vodite li odgovarajuće zapisnike i upotrebljavate li TLS za šifrirane komunikacije?
• Osobe. Jesu li zaposlenici obučeni za prepoznavanje krađe identiteta? Pridržavaju li se pravila pristupa načela najmanjih privilegija?
   

Ova procjena daje uvid u to koliko su trenutačne obrane učinkovite i gdje još postoje praznine.

6. Identificirajte vjerojatnost i utjecaj

Za svaki identificirani scenarij rizika procijenite:
 

• Vjerojatnost. Kolika je vjerojatnost prijetnje s obzirom na trenutačne kontrole?
• Utjecaj. Što bi se dogodilo kada bi uspjela – financijski gubitak, izlaganje podataka, prekid rada?
   

Uzmite u obzir prekid poslovanja, regulatorne novčane kazne, štetu za ugled i operativne troškove. Kvarovi hardvera ili mreže, primjerice, mogu uzrokovati široko rasprostranjene prekide, dok bi napad krađe identiteta mogao dovesti do gubitka podataka zbog kompromitiranih vjerodajnica.

7. Izračunajte rizik

Sada kombinirajte vjerojatnost i utjecaj kako biste odredili ocjenu rizika za svaki scenarij.

Na primjer:

Scenarij rizika	Vjerojatnost	Učinak	Razina rizika
Ucjenjivački softver na zastarjelim poslužiteljima	Visoki	Visoki	Kritični
Pogrešno konfigurirano pravilo vatrozida	Srednji	Srednji	Umjereni
E-pošta za krađu identiteta koja zaobilazi filtre	Visoki	Niski	Umjereni

To pomaže odrediti koje probleme treba hitno riješiti, a koji su prihvatljivi ili podnošljivi.

8. Preporučite ublažavanja

Za svaki visoki ili kritični rizik predložite mjere za njegovo smanjenje. Preporuke mogu uključivati:
 

• Hardver. Primijenite šifriranu pohranu, postavke sigurnog pokretanja sustava i zaključajte neiskorištene priključke.
• Softver. Uvedite redovito primjenjivanje zakrpa i upotrebljavajte alate za skeniranje koda u razvojnom kanalu.
• Mreže. Uvedite mrežnu segmentaciju i implementirajte sustave za sprečavanje upada.
• Osobe. Proširite obuku za podizanje svijesti o sigurnosti i primijenite strože kontrole pristupa i provjeru identiteta.
   

Preporuke bi trebale uravnotežiti smanjenje rizika s troškovima, složenošću i utjecajem na upotrebljivost.

9. Dokument i izvješće

Temeljita procjena rizika trebala bi biti jasno dokumentirana i podijeljena sa zainteresiranim stranama na više razina. Izvješće obično uključuje sažetak na visokoj razini za rukovoditelje, detaljna tehnička otkrića za IT i sigurnosne timove te prioritetne stavke za djelovanje. Vizualni elementi poput toplinskih karata, arhitekturnih dijagrama i tablica često pomažu učinkovitije prenijeti složene rizike. Dokumentacija bi trebala uključivati popis resursa, utvrđene prijetnje i ranjivosti, trenutačne kontrole, ocjene rizika i preporučene mjere ublažavanja. Izvješće bi također trebalo navesti tko je odgovoran za svaku aktivnost i kada su planirane naknadne procjene. Transparentnost i jasnoća pomoći će osigurati podršku i uskladiti timove.

10. Pregledajte i ponovite

Procjene rizika nisu jednokratne – one su dio kontinuiranog ciklusa. Tehnologija se razvija, poslovni procesi se mijenjaju, a nove prijetnje stalno nastaju. Evo nekoliko savjeta koji će vam pomoći da ostanete otporni i spremni.
 

• Zakažite redovite procjene (tromjesečno, godišnje ili nakon većih promjena).
• Automatizirajte gdje god je to praktično (kontinuirano skeniranje ranjivosti, nadzor krajnjih točaka).
• Prilagodite kontrole kako se pojavljuju novi rizici – posebno u vezi s radom na daljinu, ovisnostima u opskrbnom lancu ili alatima za generativni AI.

Procjena rizika računalne sigurnosti jaka je onoliko koliko je dobar proces iza nje. Slijeđenje najboljih praksi pomaže osigurati da procjene budu učinkovite, ponovljive i usklađene s poslovnim prioritetima.

Započnite s jasnim ciljevima

Prije nego što počnete, važno je definirati što bi procjena trebala postići. To može značiti utvrđivanje kritične imovine i potencijalnih prijetnji, ispunjavanje zahtjeva usklađenosti, smanjenje vjerojatnosti incidenata ili informiranje budućih sigurnosnih ulaganja. Postavljanje jasnih ciljeva od samog početka pomaže osigurati da procjena ostane usmjerena, relevantna i primjenjiva tijekom cijelog procesa.

Uključite relevantne zainteresirane strane

Procjena rizika nije samo IT zadatak – potrebni su doprinosi iz cijele tvrtke ili ustanove. Sigurnosni i IT timovi donose tehničku stručnost, dok pravni odjel i odjel za usklađenost nude smjernice o regulatornom riziku. Operacije i ljudski resursi mogu istaknuti zabrinutosti povezane s procesima i osobljem, dok je rukovodstvo odgovorno za usklađenost s poslovnim ciljevima. Uključivanje više perspektiva pomaže osigurati da procjena obuhvati širok raspon rizika, od pogrešnih konfiguracija softvera do ljudskog ponašanja.

Odlučite se za internu ili vanjsku procjenu

Ne postoji jedan najbolji pristup provođenju procjene rizika. Interna procjena obično je isplativija i koristi se institucionalnim znanjem, ali može propustiti skrivena mjesta ili nemati specijalizirane alate. Vanjske procjene nude svjež, nepristran pogled i dublju stručnost, iako mogu biti skuplje, a osobe koje provode procjenu obično su manje upoznate s internim sustavima. Mnoge tvrtke ili ustanove odabiru hibridni pristup: koriste interne timove za redovite preglede i uključuju vanjske stručnjake za dublje analize ili kada to zahtijeva usklađenost.

Odaberite pravu strategiju tretiranja rizika

Nakon što se rizici utvrde, tvrtke ili ustanove moraju odlučiti kako će na njih odgovoriti. Neki se rizici mogu prihvatiti ako su unutar tolerancije tvrtke. Drugi se mogu potpuno izbjeći uklanjanjem sustava ili aktivnosti koje ih uvode. Rizici se također mogu prenijeti na treću stranu, primjerice putem osiguranja ili ugovornih sporazuma. Tvrtke ili ustanove najčešće odlučuju ublažiti rizike primjenom kontrola koje smanjuju vjerojatnost ili utjecaj na prihvatljivu razinu. Prava strategija ovisi o poslovnim ciljevima, apetitu za rizikom i dostupnim resursima.

Dokumentirajte sve

Održavanje točne dokumentacije ključno je za kratkoročni i dugoročni uspjeh. Pomaže tvrtkama ili ustanovama da ostanu usklađene s industrijskim propisima, prate promjene i trendove tijekom vremena te donose brže i bolje utemeljene odluke. Dobra dokumentacija također pojednostavljuje revizije, olakšava sigurnosne preglede i održava kontinuitet čak i kada se timovi ili sustavi mijenjaju.

Djelujte prema nalazima

Vrijednost procjene rizika leži u načinu na koji se rezultati upotrebljavaju. Ranjivosti visokog rizika treba rješavati prve, a koraci sanacije trebaju biti usklađeni sa širim sigurnosnim ciljevima. Dodijelite odgovornost za svaku radnju, pratite napredak i redovito ponovno procjenjujte kako biste osigurali da poboljšanja ostanu trajna. Rezultate tretirajte kao dio kontinuiranog procesa – ne kao jednokratnu aktivnost – i ugradite dosljedno praćenje u svoju sigurnosnu kulturu.

Procjenjujte pri odgovarajućoj učestalosti

Tehnologija se brzo razvija, a isto vrijedi i za aktivnost prijetnji. To znači da bi se procjene rizika trebale provoditi više od jednom godišnje, osobito u okruženjima s visokim rizikom. Industrije kao što su financije i zdravstvo često ponovno procjenjuju stanje tromjesečno ili polugodišnje. Manja poduzeća to mogu činiti jednom godišnje ili nakon većih promjena infrastrukture. Tvrtke koje su usmjerene na oblak ili brzo rastu možda će trebati još češće procjene kako bi držale korak s promjenjivim površinama napada. Pametno je ponovno procijeniti stanje i nakon velikih događaja kao što su spajanja, povrede ili regulatorna ažuriranja.

Kako biste ostali korak ispred novih prijetnji i uključili računalnu sigurnost u ukupne poslovne odluke, u svoje sigurnosne operacije uvrstite redovitu procjenu računalnog rizika. Nekoliko rješenja može vam pomoći uspostaviti učinkovit proces. Rješenja za upravljanje sigurnosnim informacijama i događajima (SIEM), kao što je Microsoft Sentinel, pomažu povezivati događaje, identificirati anomalije i davati prioritet upozorenjima uz ugrađenu analitiku i obavještavanje o sigurnosnim prijetnjama. Rješenja za prošireno otkrivanje i odgovor (XDR) pružaju duboku vidljivost potencijalnih putova napada na krajnje točke, identitete, e-poštu i aplikacije u oblaku. Kombiniranje SIEM-a i XDR-a u jedinstveno rješenje za SecOps pomaže braniteljima uočiti rizike u cijelom digitalnom imovinskom portfelju i brže usklađeno djelovati. Rješenja za umjetnu inteligenciju za računalnu sigurnost, kao što je Microsoft Security Copilot, imaju smisla za signale kako bi istaknula uvide i preporučila sljedeće korake.