Bilgi Güvenliği Skorlaması

Güvenlik riski skorlaması üç katman üzerinde çalışır, iki değil. Bir güvenlik riskinin etkisi, olasılıkla buluşmadan önce kendisi hesaplanır — gizlilik, bütünlük ve erişilebilirlikten.

Beş skorlama listesi

Liste	Token	Sorduğu
Olasılık	[P]	Tehdidin ne sıklıkla harekete geçmesi bekleniyor?
Etki — gizlilik	[IC]	İfşanın maliyeti ne olurdu?
Etki — bütünlük	[II]	Bozulmanın maliyeti ne olurdu?
Etki — erişilebilirlik	[IA]	Kesintinin maliyeti ne olurdu?
Risk değeri	—	Nihai sayının düştüğü bantlar.

Tek yerine üç etki listesi; çünkü ISO 27001 üç niteliği bağımsız skorlar — ve bir organizasyon her birinde aynı sayının karşısına farklı sözcükler yazar.

Gelen skalalar

Olasılık

Değer	Seviye	Anlamı
1	Çok düşük	Üç yılda birden az
2	Düşük	Yılda bir
3	Orta	Altı ayda bir
4	Yüksek	Ayda bir
5	Çok yüksek	Haftalık veya daha sık

Gizlilik üzerindeki etki

Değer	Seviye	Anlamı
1	Çok düşük	İfşa etkisi yok
2	Düşük	Sınırlı sayıda kişi öğrenir
3	Orta	Organizasyon içinde yayılır
4	Yüksek	Organizasyon dışına çıkar
5	Çok yüksek	Kamuya mal olur ve yasal yaptırım taşır

Bütünlük üzerindeki etki

Değer	Seviye	Anlamı
1	Çok düşük	Bozulma fark edilmez
2	Düşük	Küçük bir hata, kolayca düzeltilir
3	Orta	Düzeltmek çaba gerektirir
4	Yüksek	Yanlış bir karara yol açar
5	Çok yüksek	Geri döndürülemez veri kaybı

Erişilebilirlik üzerindeki etki

Değer	Seviye	Anlamı
1	Çok düşük	Kesinti fark edilmez
2	Düşük	Kısa bir kesinti
3	Orta	Yarım gün kesinti
4	Yüksek	Bir günden fazla kesinti
5	Çok yüksek	Operasyonlar durur

ipucu

Bir kayıt defterinin inandırıcılığını kazandığı yer üç etki skalasıdır. Her birini, o niteliğin gerçekten yargılandığı birimlerde yazın — öğrenen kişi sayısı, düzeltme çabası, kesinti saati — aynı sıfat kümesini üç kez kullanmak yerine.

Üç formül katmanı

Katman	Ürettiği	Gelen ifade
Etki skoru	[IS]	MAX([IC]:[II]:[IA])
Risk skoru	[RS]	[IS]*[P]
Risk değeri	Bant numarası	IF([RS]>=15:4:IF([RS]>=10:3:IF([RS]>=5:2:1)))

Gelen zincir üç etkinin en kötüsünü alır, 1–25 aralığı için olasılıkla çarpar ve bunu 5, 10 ve 15'te bantlar.

Her katmanın kullanabileceği token'lar

Token	Karşılığı	Kullanılabildiği
[IC] [II] [IA]	Üç etki ağırlığı	Etki skoru, risk değeri
[P]	Olasılık ağırlığı	Risk skoru, risk değeri
[IS]	Etki skorunun çıktısı	Risk skoru, risk değeri
[AV]	Riskin varlık bağından gelen varlık değeri	Yalnızca risk skoru
[RS]	Risk skorunun çıktısı	Risk değeri

Kısıtlama tek yönlüdür. Bir bant, altındaki katmanları okuyabilir — aritmetiğin ne çıkardığına bakılmaksızın yeterince ağır bir etkiden üst bandı zorlamak yaygın bir gerekliliktir — ama bir skor ifadesi üretmek için var olduğu çıktıyı adlandıramaz. Bu, formül kaydedildiğinde reddedilir; onu tetikleyen bir kayda karşı başarısız olmaya bırakılmaz.

Varlık değeri token'ı

[AV], riskin varlık bağının taşıdığı varlık değeridir ve yalnızca bağ Varlık Riski üzerinden gittiğinde vardır. Dolayısıyla:

• yalnızca Varlık Riski kuruluysa sunulur, ve
• bir risk skoru formülü onu kullanıyorsa, onu sağlayamayan bağ tipleri risk formundan geri çekilir.

not

Token, sözlükten kaldırılmak yerine paletten süzülür. Aynı kurulum sonradan Varlık Riski kazanabilir ve token'ın geri gelmesi gerekir.

Katman başına bir aktif formül

Her katmanın tam olarak bir aktif formülü vardır. Birini etkinleştirmek o katmandaki öncekini devreden çıkarır.

Hiç aktif formülü olmayan bir katman manuel girişe düşer — sayıyı biri yazar.

Pasif gelen alternatifler:

Kod	Ad	Katman	İfade
BFM00004	Çarpımsal Etki Skoru	Etki	[IC]*[II]*[IA]
BFM00005	Varlık Değerli Risk Skoru	Risk skoru	[IS]*[P]*[AV]
BFM00006	Varlık Değerli Risk Değeri	Bant	IF([RS]>=180:4:IF([RS]>=60:3:IF([RS]>=20:2:1)))

uyarı

Üç katman bağımsız etkinleştirilir ve hiçbir şey onları eşleştirmez.

Çarpımsal etki skorunu — aralık 1'den 125'e — etkinleştirirken standart bant eşiklerini 5, 10 ve 15'te bırakın; neredeyse her risk Kritik bantlanır. Hiçbir yerde hata görünmez.

Varlık değerli çift eşleşmiş bir kümedir: BFM00005 ile BFM00006. Birini etkinleştirirseniz diğerini de etkinleştirin.

Bantlar

Bant	Ad	Renk	Kapsadığı	Kabul edilebilir	Önlem gerektirir	Kabul onayı gerektirir
1	Düşük	yeşil	5'in altı	Evet	—	—
2	Orta	sarı	5 – 9	—	—	—
3	Yüksek	turuncu	10 – 14	—	Evet	Evet
4	Kritik	kırmızı	15 ve üzeri	—	Evet	Evet

Bir bant tanımındaki üç bayrak raporlama değil, davranış yönlendirir:

• Kabul edilebilir — artık risk risk iştahı içindedir.
• Önlem gerektirir — risk ilerleyebilmeden önce bir önlem açılmalıdır.
• Kabul onayı gerektirir — artık riskin, kayıt üzerinde ve bir gerekçeyle resmen kabul edilmesi gerekir. Bir ISO 27001 denetçisinin istediği kanıt budur.

not

Kabul onayı bayrağı, kayıt skorlandığında kaydın üzerine kopyalanır, sonradan banttan okunmaz. Bir bant tanımını daha sonra düzenlemek, çoktan kapanmış bir kaydın akışını değiştiremez.

Skorlar saklanır, yeniden hesaplanmaz

Üç katman da her kaydetmede sunucuda hesaplanır ve kaydın üzerine yazılır — önce ilk tur, sonra artık tur için.

İki sonuç:

• Sonradan düzenlenen bir formül, kapanmış bir kaydın skorunu ya da akışını kaydırmaz.
• Risk yürürlükteyken veya kapandıktan sonra hiçbir şey yeniden skorlanmaz. Bu koruma olmasa, yalnızca bir riski devreden çıkarmak onu formüllerin bugün söylediğine göre yeniden değerlendirirdi — ve artık var olmayan bir bantla hareketi doğrudan reddedebilirdi.

Skorlama panelleri nerede durur

Skorlama paneli önce cevaplanan, sonra hesaplanan sırasıyla okunur: üç etki boyutu, ardından olasılık, ardından etki skoru, risk skoru ve bant.

Hesaplanan sayılar kasıtlı olarak cevapların arasına serpilmez. Birinin doldurduğu satırın ortasındaki sunucu-hesaplı bir sayı, unuttuğu bir alan gibi okunur.

Revizyonda skorlama

Yeni bir tur, skorlarla önceki turun bittiği yerden açılır — varsa artık turundan, yoksa ilk turundan.

Boş değil ve önceki turun açılış skorlarıyla da değil. Yeni bir değerlendirmenin karşısında ölçüldüğü şey, riskin bugün durduğu hâlidir.