Risk değerlendirmesi

Açılış

Envanter tamamlandıktan bir hafta sonra teknisyen, Defne Hanım'a renkli bir tablo getirdi. Beşe beşlik bir ızgaraydı: yatay eksende olasılık, dikey eksende etki. Kutular sağ üst köşeye doğru yeşilden sarıya, sarıdan kırmızıya dönüyordu. Her kutuya bir ya da iki risk yazılmıştı.

Kırmızı bölgede üç yazı vardı: fidye yazılımı, büro e-postasına yabancı birinin girmesi ve yangın. Sarı bölgede "yedek cihazının arızası" duruyordu.

Defne Hanım tabloya uzun uzun baktı. Güzeldi, anlaşılırdı; ama iki soru sordu ve teknisyen ikisine de tablodan cevap veremedi.

Birincisi: "Fidye yazılımı kırmızı. Ama hangi bilgisayarımızı, hangi dosyamızı kastediyoruz? Muhasebe arşivini mi, stajyerin dizüstüsünü mü? İkisi aynı şey değil."

İkincisi: "E-posta ele geçirilmesi ile yangın aynı kutuda. Bunlar gerçekten aynı büyüklükte mi, yoksa sadece aynı kutuya düştükleri için mi aynı renkteler?"

Teknisyen tabloyu katladı. Soru, renklerin arkasında neyin durması gerektiğiydi.

Tek fikir

Risk değerlendirmesi, bir tehdidin hangi zafiyeti kullanarak hangi varlığa hangi zararı verebileceğini bir senaryo olarak yazmak ve onu olasılık ve etkiyle ölçmektir. Isı haritası bu ölçümün özetidir; senaryonun yerini tutmaz ve aynı renk her zaman aynı büyüklük demek değildir.

Nasıl çalışır

İlk iki ders riskin iki boyutunu ölçmeyi ve korunan şeyleri listelemeyi anlattı. Bu ders ikisini birleştiriyor: envanterdeki her önemli varlık için, ona ne olabileceğini sormak.

Bir riski "fidye yazılımı" gibi tek bir sözcükle yazmak, Defne Hanım'ın ilk sorusunun gösterdiği gibi, onu ölçülemez kılar. Ölçülebilir bir risk, bir hikâye gibi yazılır.

Bir değerlendirmenin bu senaryoları adım adım kurmasını isteyen rehber, önceki derslerde başvurduğumuz rehberin kendisidir; bu kez değerlendirmenin yürütülmesini anlatan bölümüne bakıyoruz.

Altı görev bir cümleye sığar: kim, ne yapabilir, hangi açıktan, ne kadar olası, ne kadar zararlı, dolayısıyla ne kadar riskli? Defne Hanım'ın tablosu yalnız son cevabı gösteriyordu.

Rehberin üçüncü görevindeki bir kavram, zafiyetten daha geniştir.

Defne Hanım'ın bürosunda mali mühürlerin ve şifrelerin tek bir kıdemli çalışanda toplanması, bir önceki derste insan varlığı olarak gördüğümüz şeyin risk değerlendirmesindeki karşılığıdır: bir ön koşul.

Senaryolar yazıldıktan ve ölçüldükten sonra, sonuçlar çoğu zaman tek bir şekilde gösterilir.

Bu tablonun gücü kadar sınırları da incelenmiştir.

Defne Hanım'ın ikinci sorusu, bu çalışmanın ilk bulgusuydu: e-posta ele geçirilmesi ile yangın aynı kutuya düşebilir, ama aynı büyüklükte olmak zorunda değildir. Kutu, iki farklı riski aynı renge sıkıştırır.

Sahada

Savunma

Risk değerlendirmesi, bir kurumun savunmasını nereye yönelteceğini belirler; yanlış yapılmış bir değerlendirme, doğru önlemleri yanlış yerlere yerleştirir.

Önleme açısından ilk kural, riski bir senaryo olarak yazmaktır. "Fidye yazılımı" bir risk değil, bir tehdit türüdür. "Bir suç grubunun oltalama yoluyla girip desteği bitmiş istasyon üzerinden görüntüleme arşivini şifrelemesi" bir risktir: kaynağı, yolu, varlığı ve etkisi bellidir. Senaryo, aynı zamanda önlemin nereye konacağını da gösterir: oltalamayı durdurmak, istasyonu ayırmak ya da arşivi yedeklemek, aynı zincirin farklı halkalarını kırar.

İkinci kural, senaryoyu envanterdeki kritik varlıklara bağlamaktır. Bir önceki derste kritikliği yüksek işaretlenen her varlık için en az bir senaryo yazılır. Kaan'ın üç yüz satırı altı senaryoya inebildi, çünkü senaryolar en kritik varlıklardan başlıyordu.

Üçüncü kural, ön koşulları ayrıca aramaktır. Zafiyet taramaları düzeltilebilir kusurları bulur; ama tek bir kişiye bağlı bir iş, tek bir binada toplanmış sistemler ya da değiştirilemeyen eski bir cihaz bir tarama raporunda görünmez. Bunlar, sürecin kendisine bakarak bulunur.

Dördüncü kural, ısı haritasını özet olarak kullanmaktır. Harita, riskleri yöneticilere tek bakışta göstermek için iyidir; ama Cox'un gösterdiği gibi, aynı hücredeki riskler çok farklı büyüklükte olabilir ve harita, kaynak dağıtımının tek dayanağı olamaz. Haritanın yanında her riskin senaryosu, gerekçesi ve mümkünse kabaca bir maliyet tahmini durmalıdır. Selin'in ekibinin eklediği not sütunu, haritanın sakladığını görünür kılar.

Uygulama

Kendi dijital hayatın için, kritik varlıklarına dayanan üç tehdit senaryosu yazacak ve onları bir ısı haritasına yerleştireceksin.

Senaryoyu yazarken önlemin nereye konacağını görmeye başlarsan, değerlendirme işini yapıyor demektir.

Defter: Risk bölümüne üç tehdit senaryosu (beş parçalı cümleler), olasılık ve etki değerleri ve gerekçeleri, beşe beşlik ısı haritası ve haritanın yanında aynı hücredeki farkları ve ön koşulları söyleyen not sütunu.

Hata köşesi

Etik ve sınırlar

Bir risk değerlendirmesi, bir saldırganın yol haritası gibi okunabilecek ayrıntılar içerir: hangi varlığın en değerli olduğu, hangi zafiyetin düzeltilmediği, hangi kişinin tek anahtar olduğu. Bu belge, kurumun yetkili kişileri dışında paylaşılmaz ve senaryolar, saldırının nasıl yapılacağını değil neyin korunması gerektiğini anlatacak düzeyde yazılır. Bir başka kurum için risk değerlendirmesi yapmak, o kurumun yazılı izni ve tanımlanmış bir görevle olur; ve değerlendirmenin bulguları, kurumun izni olmadan ne yayımlanır ne de üçüncü kişilerle paylaşılır. İnsanlarla ilgili ön koşulları yazarken de dikkatli olmak gerekir: "kıdemli çalışan tek anahtardır" bir süreç bulgusudur, o kişi hakkında bir yargı değildir.

Kapanış

1. Risk değerlendirmesi, bir tehdit kaynağının hangi zafiyet ya da ön koşul üzerinden hangi varlığa hangi zararı verebileceğini bir senaryo olarak yazmak ve onu olasılık ve etkiyle ölçmektir; NIST'in rehberi bunu altı göreve böler.
2. Tehditleri ve zafiyetleri birebir eşleştirmek büyük sayılarda okunamaz hâle gelir; kritik varlıklara dayanan az sayıda tehdit senaryosu karar verilebilir bir belge üretir, ve ön koşullar tarama raporlarında değil süreçte aranır.
3. Isı haritası bir özettir: aynı hücredeki riskler çok farklı büyüklükte olabilir ve harita kaynak dağıtımının tek dayanağı olamaz; yanında senaryo, gerekçe ve büyüklük notu durmalıdır.

Üç soru

1. Defne Hanım'ın tablosundaki "fidye yazılımı" satırı neden ölçülemezdi ve bir senaryo olarak nasıl yazılabilirdi?
2. Gülay Hanım Kaan'ın üç yüz satırlık listesini neden altı senaryoya indirdi?
3. Selin'in şirketindeki iki turuncu risk, risk matrislerinin hangi sınırını gösteriyordu?

Yanıtlar

1. Satır yalnız bir tehdit türünü adlandırıyordu; hangi varlığın, hangi yoldan, hangi sonuçla etkileneceği yazılı değildi, bu yüzden muhasebe arşivi ile bir stajyer dizüstüsü aynı satıra sığıyordu. Senaryo olarak yazılması için tehdit kaynağı, olay, zafiyet ya da ön koşul, varlık ve sonuç birlikte söylenmeliydi; örneğin bir suç grubunun oltalama yoluyla girip muhasebe arşivini şifrelemesi ve büronun beyanname dönemini kaçırması.
2. Birebir eşleştirme, NIST'in de belirttiği gibi, tehdit ve zafiyet sayısının büyüklüğü nedeniyle okunamaz ve karar verilemez bir liste üretir. Kritik varlıklara dayanan altı senaryo, yönetimin karar verebileceği bir belgeydi; ayrıntı kaybolmadı, senaryoların altında ek olarak kaldı.
3. Cox'un gösterdiği gibi, matrisler nicel olarak çok farklı riskleri aynı düzeyde gösterebilir. Bir test sunucusunun bir günlük kesintisi ile ödeme sayfasından kart bilgisinin sızması aynı hücreye düşmüştü, ama biri birkaç bin, öteki milyonlarca liralık bir riskti. Ekip bu yüzden her hücrenin yanına büyüklük farkını söyleyen bir not ekledi.

Sonraki derse köprü

Bir risk ölçüldükten sonra asıl soru gelir: onunla ne yapılacak? Riskle ne yapılır dersi dört seçeneği ele alıyor: riski azaltmak, başkasına aktarmak, bilerek kabul etmek ya da riski doğuran işten kaçınmak, ve siber sigortanın bu seçenekler arasındaki yeri.