Snižuje bezpečnostní opatření hrozbu, zranitelnost nebo dopad?

Pokud zavedete ta správná opatření, mělo by to vést ke snížení rizika.

Na první pohled se zdá, že následující obrázek je srozumitelný a naprosto přesně vystihuje podstatu. Jenže opravdu se v okamžiku, kdy zavedete nějaké opatření, zmenší všechny tři hodnoty, jak se obrázek snaží naznačit? Řekl bych, že ve většině případů tomu tak není.

Zamysleme se společně nad tím, co vlastně ke snížení rizika vedlo. Co se vlastně snižuje v případě zavedení příslušných opatření, pravděpodobnost hrozby, míra zranitelnosti nebo snad dopad? U úmyslných a neúmyslných hrozeb se navíc musíme i ptát, zda má povědomí o přítomnosti určitého opatření vliv na pravděpodobnost hrozby, či nikoliv a zda snížení zranitelnosti, povede automaticky i ke snížení hrozby. Ale vezměme to postupně.

Vyšší moc

V případě působení vyšší moci nelze o nějakém snížení pravděpodobnosti hrozby většinou hovořit, protože frekvence výskytu určité hrozby je nezávislá na naší vůli a zůstává v dané lokalitě stejná. (Těžko poručíme větru a dešti.) Daleko spíše můžeme hovořit o snížení míry zranitelnosti nebo dopadu. Hrozbě jako je povodeň, požár, výpadek dodávky vody nebo elektřiny nemůžeme dost dobře zabránit, ale může snížit zranitelnost daného aktiva vůči působení těchto hrozeb nebo alespoň jejich následky.

Např. po ničivých povodních přestěhovaly některé firmy svá výpočetní střediska z přízemí nebo suterénu do prvního patra. Pravděpodobnost hrozby se nesnížila, ale zranitelnost a dopad ano. (Pouze firmy, které přestěhovaly svá výpočetní střediska mimo záplavovou oblast, mohou hovořit o tom, že se nyní nachází v lokalitě, kde je pravděpodobnost hrozby nulová nebo téměř nulová.) Jiným řešením je pojištění pro případ pohromy, zde ale snižujeme jen dopad, neboť pravděpodobnost hrozby a míra zranitelnosti zůstává stejná. (Pokud povodeň přijde a do datacentra vám nateče voda, dojde ke zkratu a zničení většiny zařízení.)

Hacking a sabotáž

Jestliže útočník o existenci opatření nemá ponětí, nemůžeme předpokládat, že by frekvence hrozby nějak poklesla, ta bude minimálně v krátkém období pořád stejná. Jedině v delším období může dojít k jejímu poklesu, neboť počet útočníků je omezený, a jestliže útočník zjistí, že jeho útok je neúspěšný, svůj útok neopakuje a vyhlédne si jiný, méně zabezpečený cíl. Co jsme ale v tomto případě snížili především, je zranitelnost.

Jestliže je opatření viditelné, mohou nastat v zásadě tři situace, útočníka přítomnost opatření odradí a vybere si raději jiný cíl. Přítomnost opatření v útočníkovi vzbudí větší zájem, neboť bude předpokládat, že opatření nebylo nasazeno jen tak. A konečně třetí možnost, počet útoků se nezmění. Nejčastější je však první případ, útočníka již pouhá přítomnost určitého opatření od realizace hrozby odradí. Klesá především pravděpodobnost hrozby.

Lidská chyba

Jestliže zaměstnanec nemá o přítomnosti opatření ponětí, pracuje dál způsobem, na jaký byl zvyklý a dělá pořád stejné chyby. Tady hodně záleží na tom, jaké opatření bylo zvoleno. Jestliže byl např. zaveden mechanismus, který kontroluje vstup zadávaný uživatelem, provádí kontrolní součty, ověřuje data apod., můžeme hovořit o tom, že došlo ke snížení zranitelnosti. Pokud bychom místo zásahu do programu provedli osvětu a vytvořili vhodné pracovní podmínky, abychom eliminovali vznik chyb, mohli bychom hovořit o tom, že jsme snížili pravděpodobnost hrozby.

Je tu ještě jeden paradox, pokud zaměstnanec ví, jaká všechna opatření byla implementována, může až nepřiměřeně spoléhat na to, že opatření neselže a ono pak selže. V takovém případě zůstává hrozba stejná a snižuje se zranitelnost. V opačném případě došlo ke snížení hrozby i zranitelnosti.

Technické selhání

Pravděpodobnost selhání HW nebo SW v naprosté většině případů přímo souvisí s jeho fyzickou i morální životností a lze snadno vyjádřit pomocí vanové křivky, kdy na začátku a na koci své životnosti je pravděpodobnost jeho selhání nejvyšší, nebo´t je nejzranitelnější.

V zásadě jedinými opatřeními ke snížení hrozby jsou výměna daného HW nebo SW a dále pak monitoring a včasný upgrade, který snižuje zranitelnost daného systému.

Závěr: Zranitelnost je vlastnost samotného aktiva. Pokud dané opatření působí přímo na agenta hrozby, dochází ke snížení pravděpodobnosti hrozby a zranitelnost zůstává stejná. Pokud však dané opatření působí přímo na samotné aktivum, dochází ke snížení jeho zranitelnosti, což v konečném důsledku může vést i ke snížení hrozby, ale také nemusí.

Poznámka: Tento příspěvek doplňuje informace uvedené v knize Řízení informačních rizik v praxi.

Štítky: analýza rizik

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.