Řízení informační bezpečnosti v podmínkách dokonalé a nedokonalé nejistoty
2. díl

V minulém díle jsme si ukázali, v jakých doménách nejistoty se můžeme pohybovat.

Na první pohled se může zdát, že pokud neznáme pravděpodobnost nebo dopad, tj. máme jednostranně/částečně/neúplně definované riziko, jde jen o přechodný stav a s určitým úsilím se vždy nakonec dostaneme do prvního sektoru s plně popsaným rizikem. V praxi tomu tak však nemusí být. Což na nás v době informační exploze může působit trochu zvláštně, že? Jak bychom vůbec mohli hovořit o epistemické nejistotě (nejistota způsobená nedostatkem informací), když s možnostmi, které máme k dispozici, by pro nás neměl být problém tyto nedokonalé nejistoty transformovat do dobře popsaných rizikových scénářů s jasně definovanou pravděpodobností výskytu negativní události včetně výše způsobené škody. Morgan, Henrion a Small (2004) zdůrazňují, že systematický sběr dat a jejich analýza jsou klíčové pro transformaci nejistoty na kvantifikovaná rizika, i když to nemusí vždy zcela eliminovat chyby při odhadu.

Otázkou však je, nakolik by byl tento odhad reálně spolehlivý a užitečný pro rozhodování. I za předpokladu, že aktivně vyhledáváme data, využíváme správné metodiky a máme kapacity k jejich systematickému sběru a vyhodnocování, může přetrvávat určitá nejistota ohledně jejich kvality. A pokud je míra nejistoty kolem takového odhadu příliš velká, může být odhad pro účely řízení rizik nevyužitelný. Chybné odhady mohou totiž vést k podhodnocování i nadhodnocování rizik, jak podrobně rozebírá Hubbard (2020). A to nechceme.

Dále je třeba si uvědomit, že v kybernetické bezpečnosti se prostředí neustále vyvíjí (na trh vstupují zcela nové technologie, vznikají nové APT skupiny, objevují se nové zero-day zranitelnosti) a může se tak snadno stát, že odhad vypracovaný na základě historických dat už zítra nemusí platit. Vždy tak budeme čelit aleatorické nejistotě.

U zcela nových hrozeb historická data pravděpodobnostní analýzu také moc neusnadní. Reálné incidenty jsou buď ojedinělé, nebo naopak příliš časté, a takováto data jsou často nevalidní či zkreslená, a tudíž naprosto nevhodná ke statistickým závěrům.

Rovněž užití analogie může být v hodnocení kybernetického rizika velice ošidné, protože analogie fungují dobře tam, kde je vnitřní mechanika rizika podobná. U zcela nových nebo disruptivních hrozeb se analogie často rozpadne.

Musíme se smířit s tím, že občas narazíme na přelomové nebo naprosto neprobádané jevy, jak uvádí Taleb (2010). I při maximální snaze jsou nepredikovatelné, protože nemáme mentální model, kam data zařadit. Velmi schopné expertní týmy se tak musí smířit s ontologickou nejistotou.

Něco jiného by to samozřejmě bylo, pokud by potřebná data ke stanovení četnosti hrozeb a škod existovala v lozích nebo u dodavatelů, ale nikdo by je z nich nedokázal získat. Pak by se mohlo jednat o latentní nejistotu. Pokud by se však nikdo o analýzu ani nepokusil, poukazovalo by to na neschopnost, nedostatek zdrojů nebo ignoraci.

Následující obrázek znázorňuje 4 kvadranty nejistoty, kde na ose X je známá nebo neznámá pravděpodobnost a na ose Y je známý nebo neznámý následek. Každý kvadrant odpovídá jinému druhu nejistoty: epistemická, ontologická, aleatorická a latentní. Šipky mezi kvadranty znázorňují, jak lze určité druhy nejistoty transformovat nebo redukovat za určitých podmínek. Obrázek napomáhá pochopení dynamiky mezi jednotlivými kategoriemi nejistoty a ukazuje jejich vzájemnou provázanost.

Typy nejistoty a jejich charakteristika

Epistemická nejistota
Epistemická nejistota vyplývá z nedostatku znalostí nebo informací o určitém jevu. Tuto nejistotu lze snížit (nebo dokonce odstranit) prostřednictvím lepšího výzkumu, sběru dat nebo analýz. Provádějte pravidelné audity zdrojového kódu a penetrační testy, které mohou odhalit zranitelnosti. Systematický sběr dat o incidentech a jejich analýza jsou klíčové. Investujte také do vzdělávání odborníků, aby měli aktuální znalosti o nových hrozbách a technologiích. Je subjektivní a závisí na znalostech pozorovatele.

Možnost redukce: Ano, získáním nových informací.
Příklad: Nejistota ohledně přesného rozsahu zranitelnosti lze snížit auditem zdrojového kódu nebo testováním.

Ontologická nejistota
Ontologická nejistota vychází z podstaty samotného světa a jeho nepredikovatelnosti. Jedná se o nejistotu spojenou s existencí neočekávaných jevů, které nelze předem předvídat ani pochopit. Předpokládejte, že dojde k průniku, a zaměřte se na rychlou detekci a reakci. Plánujte scénáře pro případ neočekávaných útoků a pravidelně je testujte pomocí simulací. Implementujte redundanci kritických systémů a diverzifikujte bezpečnostní opatření, aby selhání jednoho prvku neohrozilo celek. Například objev nového druhu kybernetického útoku, který využívá neznámé zranitelnosti v dosud neprozkoumané technologii, je typickým příkladem ontologické nejistoty. Takové situace vyžadují přístup „assume breach“, kdy se předpokládá, že k průniku dojde, a systémy jsou navrženy tak, aby minimalizovaly dopady.

Možnost redukce: Ne.
Příklad: Objev zcela nového druhu kybernetického útoku, který využívá dosud neznámé zranitelnosti.

Aleatorická nejistota
Aleatorická nejistota se týká inherentní náhodnosti nebo variability událostí. Tato nejistota je spojená s přírodními nebo systémovými jevy, které jsou ze své podstaty nepředvídatelné. Hubbard (2020) definuje aleatorickou nejistotu jako variabilitu, kterou lze kvantifikovat pomocí statistických metod a historických dat, ale nikoli eliminovat. Doporučuje použít Monte Carlo simulace a modelování k predikci a zvládání těchto nejistot. Využití pokročilých statistických metod, jako je kriging nebo prostorová interpolace, může pomoci efektivněji modelovat variabilitu a zlepšit předpovědi dopadů náhodných událostí. Nasazujte nástroje pro automatizované detekování anomálií a hrozeb a sledujte trendy ve vývoji kybernetických hrozeb, abyste mohli přizpůsobit svá opatření. Používejte statistické modely a metody Monte Carlo pro odhad možných scénářů a jejich pravděpodobností.

Možnost redukce: Ano, pomocí statistických metod.
Příklad: Variabilita následků kybernetických útoků.

Latentní nejistota
Latentní nejistota pramení z neznámých nebo skrytých faktorů, které nejsou na první pohled zřejmé nebo dostupné ke zkoumání. Morgan, Henrion a Small (2004) zdůrazňují důležitost systematické analýzy a hledání skrytých faktorů, které mohou mít zásadní vliv na celkové hodnocení rizik. Hubbard (2020) doplňuje, že simulace a kontinuální testování mohou pomoci odhalit latentní rizika, která jsou běžnými metodami obtížně zachytitelná. Pravidelné penetrační testy a proaktivní hledání slabin mohou identifikovat latentní problémy, které by jinak zůstaly nepovšimnuty. Například zranitelnost v šifrovacím algoritmu, která se projeví až při specifické kombinaci vstupů, je příkladem latentní nejistoty. Takové situace mohou vyžadovat spolupráci s externími experty a revizi technologických postupů.

Možnost redukce: Ano, hlubší analýzou.
Příklad: Skryté zranitelnosti, které se projeví při specifickém typu útoku.

Závěr
Na základě uvedeného lze shrnout, že každý typ nejistoty v kybernetické bezpečnosti vyžaduje odlišný přístup:

  • Epistemická nejistota: Nedostatek znalostí. Redukovatelná pomocí sběru dat, vzdělávání a systematických analýz. Tento typ nejistoty poskytuje příležitost ke zlepšení procesů řízení rizik.
  • Ontologická nejistota: Nepředvídatelná podstata světa. Neodstranitelná, ale lze ji zvládnout budováním odolnosti a přípravou na nepředvídané situace pomocí simulací a scénářů.
  • Aleatorická nejistota: Náhodná variabilita jevů. Vyžaduje probabilistické modelování a automatizované nástroje ke zlepšení reakčních schopností.
  • Latentní nejistota: Riziko existuje, ale není rozpoznané. Vyžaduje proaktivní testování a mezioborovou spolupráci pro odhalování skrytých faktorů.

Budoucí výzkum by se měl zaměřit na zlepšení metod identifikace latentních faktorů a jejich vlivu na bezpečnostní opatření. Důležitá je také integrace pokročilých statistických nástrojů do praktických procesů a vytvoření flexibilních modelů pro zvládání dynamicky se měnícího prostředí kybernetické bezpečnosti.

LITERATURA

MORGAN, Millett Granger; HENRION, Max  a SMALL, Mitchell. Uncertainty: A Guide to Dealing with Uncertainty in Quantitative Risk and Policy Analysis. Reprint. Cambridge: Cambridge University Press, 2004. ISBN 978-0-521-36542-0.

TALEB, Nassim Nicholas. The Black Swan: The Impact of the Highly Improbable. New York: Random House, 2. vydání, 2010. ISBN 978-0-8129-7381-5.

HUBBARD, Douglas William. The Failure of Risk Management: Why It’s Broken and How to Fix It. 2. vydání. Hoboken: Wiley, 2020. ISBN 978-1-119-52203-4.

Pro citování tohoto článku ve své vlastní práci můžete použít následující odkaz:
ČERMÁK, Miroslav. Řízení informační bezpečnosti v podmínkách dokonalé a nedokonalé nejistoty – 2. díl. Online. Clever and Smart. 2025. ISSN 2694-9830. Dostupné z: https://www.cleverandsmart.cz/rizeni-informacni-bezpecnosti-v-podminkach-dokonale-a-nedokonale-nejistoty-2-dil/. [cit. 2025-02-16].

Pokud vás tento článek zaujal, můžete odkaz na něj sdílet.


K článku “Řízení informační bezpečnosti v podmínkách dokonalé a nedokonalé nejistoty
2. díl” se zde nenachází žádný komentář - buďte první.

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.

Přihlášeným uživatelům se tento formulář nezobrazuje - zaregistrujte se.

Jméno:(požadováno)
E-mail:(požadováno - nebude zobrazen)
Web:

Text vaší reakce: