V kvantitativním hodnocení kybernetických rizik často začínáme velmi prostou otázkou: jak často může daná událost nastat?

Jinými slovy potřebujeme stanovit roční frekvenci výskytu události (annualized rate of occurrence, zkr. ARO) nebo také frekvenci ztrátové události (loss event frequency, zkr. LEF), kterou pak násobíme očekávanou ztrátou při jedné události (single loss expectancy, zkr. SLE), abychom získali roční očekávanou ztrátu (annualized loss expectancy, zkr. ALE). A tady začíná problém.

Od reakcie na udalosti k prediktívnemu bezpečnostnému monitoringu

Analytik SOC sedí pred obrazovkou a SIEM mu práve zobrazil červený alert. Nastala korelácia udalostí, ktorá naznačuje incident. Napríklad sa niekto neoprávnene dostal tam, kam nemal. Monitorovací systém urobil presne to, na čo bol postavený – upozornil na útok vo chvíli, keď už prebiehal, alebo tesne po tom, čo skončil. Otázka, ktorá by mala analytika zaujímať oveľa viac, znie inak: mohol to systém vedieť skôr?

Norma ISO/IEC 27001 v článku 6.1.2 požaduje, aby proces hodnocení rizik produkoval konzistentní, validní a srovnatelné výsledky. ISO/IEC 27005 pak v informativní části upozorňuje, že provádění matematických operací nad čísly, která jsou ve skutečnosti pouze kódy kvalitativního hodnocení, může být metodicky neplatné.

Výklad není tak jednoduchý, jak by se na první pohled mohlo zdát. Risk matice sama o sobě nemusí být automaticky neshodou.

Jelikož ty zatracené matice rizik stále nedávají některým z vás spát, tak se k nim opět na chvíli vrátíme.

Mnozí z vás se totiž celkem logicky ptají: „Dobře, když je problém v tom, že se v klasické matici rizik nesmí sčítat nebo násobit ordinální hodnoty, tak je prostě nahradíme kardinálními reprezentanty a problém je vyřešen, ne?“

Používají ji všichni a tak ani my nemůžeme zůstat mimo, pomyslí si nejeden CEO, protože přeci kdo chvíli stál, za chvíli stojí opodál.

Jasně, jenže pak zjistíme, že největší problém není, zda vůbec AI začít používat, ale kde a jak nastavit pravidla. Protože AI se dá nasadit skoro kdekoliv. Otázka ovšem je, co to udělá s firmou, když ji nacpeme i tam, kde se vůbec, ale vůbec nehodí. A přesně tady to začíná.

V CRQ často modelujeme dopad pomocí lognormálního rozdělení. Lognormal je ale neomezený, má nekonečný pravý ocas, což někdy nechceme, protože chceme zabránit tomu, aby model generoval ekonomicky nemožné škody.

V zásadě máme dvě jednoduché možnosti, jak k tomuto problému prakticky přistoupit v rámci lognormálního modelu, a to truncaci (oříznutí) a capování (zastropování). V tomto článku si rozebereme oba tyto přístupy.

S hodnocením zranitelností pomocí standardu CVSS jste se na těchto stránkách mohli setkat již několikrát. Etičtí hackeři jej používají pro stanovení závažnosti zranitelnosti, kterou v hodnoceném systému nalezli, a firmy jej pak následně používají pro prioritizaci oprav.

Všichni jaksi předpokládají, že CVSS skóre je objektivní, konzistentní a že stejné zranitelnosti povedou u různých hodnotitelů ke stejnému nebo alespoň velmi podobnému výsledku. Jenže ono to tak jednoduché není.

Krizové plány často vypadají dobře, dokud je nikdo nemusí použít. Mají kapitoly, tabulky, kontakty, odpovědnosti i formální schválení. Jenže ve chvíli, kdy se incident začne měnit v krizi, rozhoduje něco úplně jiného: kdo má právo plán aktivovat, kdo má poslední slovo a podle čeho se určí priority.

Pokud krizový plán na tyto otázky neodpovídá, není to nástroj řízení. Je to jen další dokument, který uklidňuje organizaci přesně do okamžiku, kdy začne být opravdu potřeba.

Přechod od kvalitativních metod ke kvantitativní analýze rizik nebývá jednoduchý. Nejjednodušší cesta obvykle vede přes semikvantitativní přístup. Místo slov a barev začneme pracovat s čísly, ale pořád ještě ne s celým pravděpodobnostním rozložením.

V této fázi často přichází lákavé zjednodušení. Vezmeme intervaly, které už máme někde v metodice definované, použijeme jejich středy a máme krásné číslo. Asi už tušíte, že s tím bude spojený nějaký problém.

V okamžiku, kdy máme stanovit škodu, která by mohla vzniknout v důsledku určitého kybernetického útoku popsaného v rámci konkrétního rizikového scénáře, stojíme před otázkou, jak ji vlastně vyjádřit.

Pokud bychom škodu popsali jediným číslem, získali bychom jen zjednodušený obraz reality. Ve skutečnosti totiž může nastat celé spektrum různých následků a ani průměr, ani medián samy o sobě tuto variabilitu nevystihnou.