Kvantitativní analýza kybernetických rizik: základní distribuční funkce

V této části se zaměříme na to, jak posbíraná data idealizovat (aproximovat) křivkou funkce hustoty pravděpodobnosti (Probability Density Function – PDF), tj. rozpoznat z rozložení dat typ distribuce.

Odhad správné distribuce je klíčovým krokem, protože nám umožní matematicky pracovat s neurčitostí a v případě těch notoricky známých (spojitých) distribučních funkcí i elegantně a správně odhadnout pravděpodobnosti (vzácných) extrémních událostí, které nám v posbíraných datech budou zcela jistě chybět.

Štítky:
celý článek

TIBER-EU: Jak se bude v praxi ověřovat kybernetická odolnost finančních institucí

TIBER-EU (Threat Intelligence-Based Ethical Red Teaming) je rámec vyvinutý Evropskou centrální bankou (ECB) pro testování kybernetické odolnosti finančních institucí.

Jde o specifický typ testování na základě hrozeb (Threat-Led Penetration Testing, TLPT), kdy dochází simulaci reálných kybernetických útoků na organizace s  využitím TTP (Tactics, Techniques, and Procedures) používaných reálnými útočníky.

Štítky:
celý článek

Řízení informační bezpečnosti v podmínkách dokonalé a nedokonalé nejistoty – 2. díl

V minulém díle jsme si ukázali, v jakých doménách nejistoty se můžeme pohybovat.

Na první pohled se může zdát, že pokud neznáme pravděpodobnost nebo dopad, tj. máme jednostranně/částečně/neúplně definované riziko, jde jen o přechodný stav a s určitým úsilím se vždy nakonec dostaneme do prvního sektoru s plně popsaným rizikem.

celý článek

CRQ – kvantifikace kybernetických rizik

V této nové sérii příspěvků se podíváme na to, jakým způsobem můžeme kvantifikovat kybernetická rizika (Cyber Risk Quantification, zkr. CRQ) a systematicky odhadnout finanční dopady kybernetických hrozeb.

Jsme přesvědčeni, že jedině tak lze učinit informované rozhodnutí, zvolit vhodnou metodu zvládání rizika, zavést účinné bezpečnostní opatření k jeho snížení, a ochránit tak investice a přispět k naplnění a dosažení mise a vize organizace.

Štítky: ,
celý článek

Používáte matici rizik a mohl bych ji vidět? – 4. díl

Je s podivem, že i přes existenci řady vědeckých článků a předložení matematických důkazů a odstrašujících příkladů o nevhodnosti risk matic k hodnocení rizik, se risk matice stále těší takové oblibě.

Použití kvalitativních risk matic v organizacích se bohužel stalo naprosto běžnou záležitostí. A musíme si přiznat, že snaha o zjednodušení problematiky řízení rizik v minulých letech se nám prostě vymstila.

Štítky: ,
celý článek

Jak kognitivní zkreslení ovlivňuje naše odhady a co s tím?

Jedním z nejčastějších mýtů, proč se nepustit do kvantitativní analýzy kybernetických rizik (CRQ) je údajný nedostatek informací (dat, údajů, evidence).

Vychází ze „školních“ představ, že se daná věc na milimetr přesně opakovaně „změří“ a na výsledky aplikujeme tradiční statistiku ze století páry, kterou nám nevybíravě a nezáživně vtloukali do hlavy a kazili nám tak naše studentská léta.

Štítky:
celý článek

Breach life cycle v roce 2024

Průměrný breach life cycle v roce 2024 nám poklesl na 258 dnů, což je nejnižší hodnota za posledních sedm let. Ale není důvod kvůli tomu jásat.

Tato hodnota zahrnuje průměrně 204 dnů na identifikaci útoku a 54 dnů na jeho částečné řešení. Nicméně, a teď čtěte pozorně, plné zotavení organizaci často trvá mnohem déle.

Štítky: ,
celý článek

Řízení informační bezpečnosti v podmínkách dokonalé a nedokonalé nejistoty – 1. díl

V oblasti řízení informační bezpečnosti a kybernetických rizik se organizace často ocitají v situacích, kdy musí rozhodovat v podmínkách nejistoty (uncertainty).

Zatímco frameworky jako NIST CSF, FAIR nebo ISO 31000 problematiku nejistoty zcela opomíjejí, britský framework M_o_R ji zahrnuje, byť jen okrajově. Právě na tento framework navážu a pokusím se koncept nejistoty hlouběji rozpracovat.

Štítky:
celý článek

Jaké kybernetické hrozby můžeme očekávat v roce 2025

Přichází konec roku a tak opět nastává čas se zamyslet nad tím, jakým kybernetickým hrozbám budeme čelit v průběhu roku 2025.

Vzhledem k pokročilejším bezpečnostním řešením se budeme stále častěji setkávat s vícefázovými a déle trvajícími útoky, které budou mít větší šanci uniknout pokročilým detekcím.

Štítky:
celý článek

Používáte matici rizik a mohl bych ji vidět? – 3. díl

anatomie risk maticeZnovu musíme zopakovat, že risk matice jest pro valuaci rizik naprosto nevhodný nástroj.

Nyní se podíváme na to, jak moc je risk matice, kterou používáte, špatná a o kolik miliónů můžete v důsledku jejího používání přijít.

Štítky: ,
celý článek