Kockázatelemzés, kockázatmenedzsment és módszerei. Flashcards
Miért hasznos a kockázatelemzés?
- Segítséget nyújt a rendszer leggyengébb pontjainak, a legnagyobb kockázatot jelentő fenyegető tényezők azonosítában, melynek ismeretében költséghatékony, kockázatarányos védekezést lehet kialakítani.
- Megfelelően megalapozott kockázatelemzés hiányában nem biztosított, hogy a biztonság fokozására fordított kiadások a leghatékonyabban kerülnek felhasználásra.
Kockázatmenedzsment
• A bonyolult IT és üzleti folyamatok összefonódása miatt valódi számokban
(pénzösszegekben) kifejezett kockázatokról, károkról nem beszélhetünk. A kockázatbecslés problémáit ezért az ún. kockázatmenedzsment módszerével szokás kezelni a gyakorlatban, mely a kockázatok értékeit nem határozza meg konkrét értékek formájában, hanem olyan összehasonlításra lehetőséget adó elemzést alkalmaz, ami alapján a legcélszerűbb védelmi intézkedések meghatározhatóak. Az egyes kockázati tényezőket egymáshoz hasonlítva határozzuk meg a gyenge láncszemeket, ahol a legcélszerűbb védekezni.
• Az informatikai rendszereket fenyegető veszélyforrások által jelentett kockázatokat nehéz becsülni, „forintosítani”, de legalább elvi síkon célszerű tisztában lenni a veszélyforrások, illetve károk hatásmechanizmusával.
Problémák
- a folyamatosan változó világban a veszélyforrások bekövetkezésének gyakoriságára nincsenek jó statisztikák,
- a ténylegesen okozott károk pénzben kifejezett mértéke sem határozható meg, sokszor még nagyságrendileg sem.
A kockázat matematikai definíciója
A kár várható értéke egy adott időszakban.
• R : a kockázat (risk),
• T : a veszélyforrások halmaza (threat),
• pt : egy adott veszélyforrás bekövetkezési valószínűsége (probability), dt : a keletkező kár (damage) mértéke.
• A kockázat= Σpt*dt Problémák:
• A képlet egyetlen paraméterét sem tudjuk jól megbecsülni.
• A veszélyforrások listája sem lehet teljes;
• Sok esetben a bekövetkezési valószínűség becsléséhez nem áll rendelkezésre korábbi statisztikai, tapasztalati érték;
• A keletkezett kár komplex, áttételes hatásmechanizmusának feltérképezése, és a kár pénzben kifejezett meghatározása sem magától értetődő.
A károk csoportosítása
A hatás továbbterjedésének megfelelően szokás ún. elsődleges, másodlagos, harmadlagos stb.
kárról beszélni. Rendkívül fontos minden veszélyforrás esetén egyenként elbírálni, hogy az esetlegesen bekövetkező hatás meddig terjedhet ki, mert a másodlagos, harmadlagos károk nagyságrendekkel nagyobbak az elsődleges károknál.
Elsődleges kár
Egy egyszerű merevlemez meghibásodása (a merevlemez megjavításának/cseréjének költsége).
Másodlagos kár
Nagy mennyiségű adat visszaállíthatatlanul megsemmisül (az elveszett adatok pótlásának költségei).
Harmadlagos kár
A visszaállítás ideje alatt fennakadt üzleti folyamatok és még rosszabb esetben az ennek hatására elmaradt üzleti haszon.
Pénzügyi kockázatok megbecslése
Számos eltérő módszertan létezik, de egyetlen komoly módszertan sem vállalkozik arra, hogy informatikai rendszerek esetén a kockázat pénzügyi nagyságát közvetlenül megbecsülje, forintosítsa, tekintettel a veszélyek, károk, ill. kockázati csülje, tényezők hatásmechanizmusának összetettségére.
A kockázatelemzés lépései
- lépés: Kategóriák felállítása
• Bekövetkezési valószínűség kategóriái
• Kár kategóriák
• Kockázati kategóriák
• Kockázati szorzótábla meghatározása - lépés: Veszélyforrások listájának összeállítása
- lépés: Bekövetkezési valószínűségek nagyságrendi meghatározása
- lépés: Kárértékek nagyságrendi meghatározása
- lépés: Kockázati tényezők származtatása
- lépés: Elviselhetetlen kockázatok kezelése
- lépés: Lehetséges védelmi intézkedések számbavétele és a megfelelő alternatívák kiválasztása
Bekövetkezési valószínűség kategóriái
kép3
Kár kategóriák
kép4
Kockázati kategóriák
kép5
Kockázati szorzótábla felállítása
kép6
Veszélyforrások listájának összeállítása - Veszélyforrások
A rendszer helyes működését fenyegető események.
• A kockázatelemzési tábla sorait alkotják.
• A veszélyforrások feltárása: tapasztalatok felhasználásával ill. a rendszer elemzéséből felderített hiányosságok számbavételével történhet.
• A lista soha nem lehet teljes, de kellően részletessé tehető.
Veszélyforrások listájának összeállítása - A veszélyforrások tipikus csoportjai
- szervezési gyengeségek (szervezési hiányosságokból eredő veszélyek) - Sz1, Sz2 …
- természeti veszélyforrások (pl. tűz, csőtörés, árvíz, villám, földrengés) - T1, T2 …
- fizikai veszélyek (pl. betörés, lopás, rongálás) - F1, F2 …
- logikai fenyegetések (pl. informatikai csalás, hálózati betörés, lehallgatás) - L1, L2 …
- humán veszélyforrások (belső munkatársak gondatlansága, visszaélések) - H1, H2 …
Bekövetkezési valószínűségek nagyságrendi becslése A P (probability) oszlop.
• Az addigi tapasztalatok – ha rendelkezésre állnak statisztikai adatok – alapján történik (pl.
villámcsapásra néhány évente, míg vírusfertőzésre akár havonta is számíthatunk).
• A támadási potenciál meghatározásánál figyelembe kell venni a gyengeség kihasználásához szükséges támadói felkészültségi szintet, valamint, hogy mennyire érdemes támadást végrehajtani az adott rendszer ellen.
Kárértékek nagyságrendi meghatározása
A károk meghatározása komplex feladat.
• Egy adott rendszerelem sérülése esetén végig kell követni a többi rendszerelemre, alkalmazói rendszerekre és üzleti folyamatokra kifejtett hatását.
• Figyelembe kell venni az okozott kár természetét is, ill., hogy az érintett rendszerelem milyen tulajdonsága sérült (pl. más a hatása egy szigorúan titkos információ kiszivárgásának, mint egy adathordozó megsérüléséből származó adatvesztésnek)
Kockázati tényezők származtatása
- A kockázat (R = risk) oszlop kitöltése a kockázati szorzótábla segítségével.
- A szorzótábla sorát a veszélyforrás előfordulási gyakorisága, oszlopát általában a CIA szempontok közül a legnagyobb kárral járó kár-kategóriája határozza meg. Az így meghatározott sor és oszlopnak megfelelő cella tartalmazza a kockázatot.
- Egyes módszertanok megengedik, hogy speciális esetekben a kockázatelemzést végző szakértő megfelelő indokok alapján az így meghatározott elemzést kockázati kategórián korrigáljon, ezzel kezelve le az elnagyolt, kategória alapú becslési folyamat esetleges hibáit.
Lehetséges védelmi intézkedések számbavétele
• A védekezési lehetőségeket célszerű külön táblázatban összegyűjteni.
• Az egyes lehetőségekhez fel kell mérni a beruházás és az üzemeltetés nagyságrendi költségeit, valamint az általuk kielégített követelményeket.
• A kockázatelemzési táblázatba csak a javasolt védekezési lehetőségek azonosítói kerülnek.
• A kockázatmenedzselés elve: a megfelelő védelmi intézkedéseket úgy célszerű kiválasztani, hogy az összes elviselhetetlen veszélyforrást megfelelően lefedjük, valamint a maradvány kockázat és a védelmi költségek összege a lehető legkisebb legyen.
• Az egyes védelmi intézkedések közötti választás legfontosabb szempontja az ár és az elért hatás.
• Költségek tekintetében célszerű megkülönböztetni az egyszeri beruházási költségeket az éves fenntartási költségektől.
• Egy adott módszer kiválasztásánál a rövid- és hosszú távú pénzügyi célok jól elkülöníthetőek.
A védelmi intézkedések egymásra is hatással vannak, ezért a veszélyforrásokra gyakorolt hatásaikat már nem szokás kategorikusan meghatározni. A veszélyforrásokra gyakorolt hatást egyszerű módon a valószínűség, ill. a hatás csökkentésének mértékével adhatjuk meg.
A hatás leírásában meg kell adni az intézkedés által befolyásolt veszélyforrás azonosítóját, valamint a befolyásolás módját.
Kockázat kezelésének módszerei
A kockázatelemzés eredményeként képet kapunk egy rendszert fenyegető veszélyforrásokról, a bekövetkezési valószínűségeken és becsült kár értékeken keresztül pedig a fellépő kockázat egymáshoz viszonyított nagyságáról. A kockázatmenedzsment célja a kockázat hatékony ccsökkentése, ezáltal a biztonság növelése. Egy kockázati tényező kezelésének eszközei:
o a kockázat csökkentése megfelelő szintű védekezéssel,
o a kockázat áthárítása,
o tudatos kockázatvállalás.
A kockázat csökkentése a bekövetkezési valószínűségek és az okozott károk csökkentésével valósulhat meg (azok szorzatainak összegeként definiáltuk).
A kockázatcsökkentés alapmódszerei
- a bekövetkezési valószínűség csökkentése,
- a veszélyforrás kiküszöbölése,
- az okozott kár nagyságának korlátozása, csökkentése
PreDeCo kontrollok rendszere
a megfelelő szintű védekezési módszerek tervezésére általánosan elfogadott és a gyakorlatban is rendkívül jól alkalmazható szemlélet.
• Preventive: megelőző, kivédő kontrollok
• Detective: felismerő kontrollok
• Corrective: elhárító, helyreállító kontrollok
A PreDeCo szemlélet szerint egy kontroll cél (control objective) biztosítására tett védelmi intézkedések e három védelmi mechanizmus ötvözéséből tevődnek össze.
A bekövetkezési valószínűség csökkenthető erősebb védelmi mechanizmus (megelőző intézkedések) alkalmazásával. A veszélyforrások kiküszöbölése a bekövetkezési valószínűség közel nullára csökkentése.
A keletkező kár nagyságának csökkentése
• Általában csak a kár mértékének korlátozására terjed.
• Az elsődleges károknál, ill. a lehető legalacsonyabb szinten „megakadályozzuk” a kár továbbterjedését mielőbbi felismerésével (detekció) és minél gyorsabb orvoslással (korrekció).
• A károk továbbterjedési mechanizmusának feltérképezése után megfelelő átszervezéssel és a megszüntethető függőségek felszámolásával tovább korlátozható a kár terjedése.
• A különösen nagy kárt okozó veszélyhelyzetek lekezelésére célszerű külön felkészülni, ún.
katasztrófa-elhárítási tervek készítésével, ill. az ilyen helyzetekre számító felkészülési tevékenységek végzésével (pl. biztonsági mentések készítésével).
Tudatos kockázatvállalás
- Bizonyos veszélyforrások ellen csak célszerűtlenül nagy költségekkel lehet védekezni. Ilyen esetekben a veszélyforrás által jelentett kockázat vállalható, de ezen kockázatokkal feltétlenül tisztában kell lenni.
- A kockázat vállalására irányuló döntést minden esetben a felső vezetésnek kell meghoznia, illetve jóváhagynia.
