Bilgi Güvenliği Riski

Bilgi güvenliği risk yönetimi, risk ailesinin ISO 27001 tarafıdır. Şunu cevaplar: bilgimize ne olabilir, ne kadar kötü olurdu ve bu konuda ne yapıyoruz?

Bir risk kaydı bir tehdidi bir açıklıkla eşleştirir — harekete geçebilecek olan ve üzerinden hareket edeceği zayıflık — riske maruz bir şeye karşı; ve sonucu üç güvenlik niteliği üzerinden skorlar: gizlilik, bütünlük ve erişilebilirlik.

Varlık riski bir varlığın ne değerinde olduğunu sorarken, bu modül ona ne olabileceğini sorar. İkisi ayrı değerlendirmeler ve ayrı kayıt defterleridir; bu modül diğerinin cevabını girdi olarak okuyabilir.

Bu modülü kardeşlerinden ayıran şey

	Burada	Diğer risk modülleri
Etki	Üç boyut — gizlilik, bütünlük, erişilebilirlik	Tek şiddet
Formül katmanı	Üç: etki skoru → risk skoru → bant	İki: skor → bant
Kontrol kataloğu	ISO 27001 Ek A, 93 kontrol, standardın numaralandırdığı	Kendi listeleriniz
Ek çıktı	Uygulanabilirlik Bildirgesi	—
Tedavi	Akışı yönlendiren açık bir risk işleme seçeneği	Örtük

Yapı taşları

Kavram	Amaç
Risk ana formu	Kayıt defteri; kod şablonu, yetki matrisi ve değerlendirme yaklaşımıyla. Bkz. Ana Formlar.
Risk	Kayıt: tehdit, açıklık, riske maruz olan, iki skorlama turu, tedavi.
Tehdit / açıklık / Ek A kontrolü	Kaydın kurulduğu üç katalog. Bkz. Tehditler, Açıklıklar, Ek A Kontrolleri.
Risk işleme seçeneği	Azalt, kabul et, paylaş veya kaçın. Akışın ilk dallanmasını yönlendirir. Bkz. İşleme Seçenekleri.
Risk önlemi	Riskin beklediği iş. Bkz. Risk Önlemleri.
Uygulanabilirlik Bildirgesi	Denetimin karşısında yürütüldüğü doküman. Bkz. Uygulanabilirlik Bildirgesi.

Kayıt

• Kod — ana formun kod şablonundan üretilir.
• Tanım — ne olabileceği. Kaydın kimliği budur; bir okuyucunun onu tanıdığı şeydir.
• Risk ana formu — kayıt defteri.
• Kapsam organizasyon birimi — riskin nerede geçerli olduğu.
• Değerlendirme yaklaşımı — varlık tabanlı veya olay tabanlı. Ana formdan varsayılan gelir, kayıt başına değiştirilebilir.
• Sahipler — kimin hesap verdiği. İlk onay görevini buradan üretir.
• Varlık bağı — riske maruz olan. Aşağıya bakın.
• Tehdit ve açıklık — kataloglardan.
• Mevcut kontroller ve mevcut kontrol notu — halihazırda yerinde olanlar.
• İlk skorlama — olasılık artı üç etki boyutu ve ortaya çıkan skorlar ile bant.
• Risk işleme seçeneği — riskin nasıl ele alınacağı.
• Seçilen kontroller — tedavi olarak seçilen Ek A kontrolleri, her biri gerekçesiyle.
• Artık skorlama — aynı küme, önlemlerden sonra.
• Olay açıklaması ve notlar — serbest metin.
• Ekler.

not

Kaydın kimliği tanımıdır — ne olabileceğini anlatan cümle. Kodlar modül genelinde değil bir ana form içinde tekildir: aynı şablon verilen iki kayıt defteri de 1'den başlar.

Varlık bağı: tek satır, üç yol

Bir risk riske maruz en fazla bir şeyi adlandırır ve bunu adlandırmanın üç yolu vardır. Hangisini kullandığınız, bağın neyi beraberinde getirdiğine karar verir:

Bağ tipi	Gerektirdiği	Getirdiği
Varlık risk değerlendirmesi	Varlık Riski modülü	Kimlik, tip, G/B/E derecelendirmeleri, varlık değeri ve değerlendirmenin revizyon zinciri
Varlık grubu	Varlık Riski modülü	Grup üyeleri arasındaki en yüksek G/B/E ve varlık değeri, ve kaç üye olduğu
Varlık, doğrudan	—	Kimlik ve tip. Derecelendirme ve varlık değeri yok

Modül, Varlık Riski olmadan çalışır. Üçüncü bağ tipi doğrudan envanterdeki bir varlığı gösterir ve bunun maliyeti skorlama ön dolgusundan başka bir şey değildir — risk varlık tabanlı kalır.

not

Bağın kendisi dışında her şey bir anlık görüntüdür, bağ kurulduğunda bir kez okunur. Varlığın derecelendirmeleri sonradan değişirse risk skoru kaymaz. Bu kasıtlıdır: biri bir varlığı yeniden derecelendirdiği için kayan bir skor, onaylanmış bir değerlendirmeyi izlenemez kılardı.

Form yalnızca yerine getirebileceği bağ tiplerini sunar

Hangi bağ tiplerinin kullanılabilir olduğuna sunucu karar verir ve daha kısa bir listeyi açıklamasız göstermek yerine bir seçeneğin neden eksik olduğunu söyler:

• İki Varlık Riski bağ tipi, o modülün kurulu olmasını gerektirir.
• Risk skoru formülü varlık değerini adlandırıyorsa, doğrudan varlık bağı geri çekilir ve hiçbir şey bağlamama seçeneği de öyle — envanterdeki bir varlığın formülü besleyecek varlık değeri yoktur.

Varlık tabanlı ve olay tabanlı riskler

Değerlendirme yaklaşımı, kaydın riske maruz bir şeyi adlandırmak zorunda olup olmadığına karar verir:

• Varlık tabanlı — risk bir varlığa karşı değerlendirilir. Ana form normalde bağı zorunlu kılar.
• Olay tabanlı — risk, arkasında belirli bir varlık olmayan bir senaryodur. Varlık bağı boş bırakılabilir.

Ana form varsayılanı belirler; bir kayıt onu değiştirebilir. Ancak bir ana form, olay tabanlıya varsayılan verirken varlık bağını zorunlu kılamaz — iki ayar birbiriyle çelişirdi, bu yüzden zorunluluk yaklaşıma karşı uygulanmak yerine düşürülür.

ipucu

Gerçekten organizasyonel olan riskler için olay tabanlıyı kullanın — bir tedarikçinin batması, bir mevzuatın değişmesi, sahibi olmayan bir süreç. Bunları bir varlığa zorlamak, girdilerinin yarısının gerçekten konu olduğuna kimsenin inanmadığı bir varlığı adlandırdığı bir kayıt defteri üretir.

Mevcut kontroller ile seçilen kontroller

Ek A kontrollerinden iki ayrı koleksiyon ve aradaki fark önemlidir:

• Mevcut kontroller — halihazırda yerinde olanlar. İlk değerlendirmenin parçası olarak okunur: risk, bu kontroller çalışırken bugün durduğu hâliyle skorlanır.
• Seçilen kontroller — kontrol adımında tedavi olarak seçilenler, her biri bir gerekçeyle.

Uygulanabilirlik Bildirgesi'nin önerisini yalnızca seçilen kontroller besler. Halihazırda yerinde olan bir kontrol, standardın maddesinin bu kapsama uygulandığının kanıtı değildir — tamamen başka bir nedenle orada olabilir.

İki skorlama turu

Kayıt iki tam skorlama taşır: risk bugün durduğu hâliyle ilk ve tedaviden sonra artık. Her biri bir olasılık artı üç etki derecelendirmesidir, üç formül katmanından çözümlenir. Bkz. Skorlama.

Önlemsiz güzergâhlarda artık tur boş bırakılmak yerine ilk turdan kopyalanır. Kabul edilmiş bir riskin artık riski onun mevcut riskidir ve boş bırakmak o riskleri raporlarda ve Uygulanabilirlik Bildirgesi'nde skorlanmamış gösterirdi.

Risk oluşturmak

1. Bilgi Güvenliği Risk Yönetimi → Riskler'i açın ve ana formu seçin.
2. Yeni'yi seçin. Kod alanı kayıt defterinin şablonunu gösterir.
3. Tanımı yazın — ne olabileceği.
4. Kapsam organizasyon birimini ve sahipleri ayarlayın.
5. Değerlendirme yaklaşımını seçin ve risk varlık tabanlıysa riske maruz olanı bağlayın.
6. Tehdit ile açıklığı adlandırın ve varsa mevcut kontrolleri kaydedin.
7. Onaya gönderin.

Skorlama, işleme seçeneği ve seçilen kontroller daha sonra, kontrol adımında gelir. Bkz. Yaşam Döngüsü.

ipucu

Tanımı, web sunucusu gibi bir isim öbeği olarak değil, bir neden ve bir sonuç içeren bir cümle olarak yazın — yamalanmamış bir sunucunun istismar edilmesi ve müşteri verisinin ifşa olması gibi. Kayıt defteri senaryo arayan insanlar tarafından okunur ve tek başına bir tehdit ile bir açıklık senaryo oluşturmaz.