Tämä asettaa haasteita CISO:lle. Tietoturvatiimit voivat ymmärtää haavoittuvuuden teknisen vakavuuden, uhkatekijän kehittyneisyyden tai hyökkäyksen todennäköisen polun, mutta johtokuntien ja johtoryhmien on ymmärrettävä jotain erilaista: Mitä tämä voi tarkoittaa yritykselle?
Voiko se keskeyttää kriittisen toiminnan? Voiko se paljastaa arkaluonteisia tietoja? Voiko se viivästyttää tuloja? Voiko se laukaista viranomaisvalvonnan? Voiko se vahingoittaa asiakkaiden luottamusta? Voiko se vaikuttaa organisaation kykyyn toimittaa tärkeitä palveluita?
Kyberriskin arvioiminen liiketoiminnan kannalta tarkoittaa teknisen altistumisen muuntamista liiketoimintavaikutuksiksi . Se auttaa johtajia tekemään parempia päätöksiä investoinneista, priorisoinnista ja kestävyydestä. Se auttaa myös CISO:ita siirtämään keskustelua pois abstrakteista riskipisteistä ja kohti tuloksia, joita organisaatio yrittää suojata.
Käytännön viitekehys kyberriskin arvioinnille liiketoiminnan kannalta
Kyberriskien arvioinnin tulisi yhdistää viisi asiaa:
- Kriittiset liiketoiminnan omaisuuserät : Mitkä järjestelmät, tiedot, prosessit, palvelut ja kolmannet osapuolet ovat tärkeitä organisaatiolle?
- Uhan altistuminen : Mitkä kyberuhat liittyvät tärkeimpiin kyseiseen omaisuuteen organisaation toimialan, maantieteellisen sijainnin, toimintamallin ja uhkakuvan perusteella?
- Todennäköisyys : Kuinka todennäköistä on, että uhka voisi vaikuttaa organisaatioon, kun otetaan huomioon nykyiset haavoittuvuudet, hallintalaitteet, hyökkääjien toiminta ja tietoturvan kypsyys?
- Vaikutus liiketoimintaan : Jos uhka toteutuisi, mitä seurauksia sillä olisi taloudellisesti, toiminnallisesti, lainsäädännöllisesti ja maineen kannalta?
- Päätöksen prioriteetti: Mitä organisaation tulisi tehdä ensin riskitason, käytettävissä olevien resurssien ja liiketoiminnan tavoitteiden perusteella?
Tämä viitekehys antaa CISO:lle jäsennellyn tavan selittää kyberriskejä pelkistämättä sitä tekniseksi kieleksi. Se tukee myös käytännöllisempää päätöksentekoa – haavoittuvuus ei ole automaattisesti hallitustason ongelma, koska sillä on korkea vakavuusluokitus; siitä tulee hallitustason asia, kun se vaikuttaa johonkin, jolla on merkitystä yritykselle.
Aloita liiketoiminnasta, älä uhasta
Monet kyberriskien arvioinnit alkavat teknisillä tiedoilla: haavoittuvuuksilla, hälytyksillä, valvonta-aukoilla, tapausraporteilla tai tarkastushavainnoista. Nämä ovat tärkeitä, mutta ne eivät ole paras aloituskohta liikekeskustelulle.
Parempi lähtökohta on pohtia tätä kysymystä: Mitä organisaation tulee suojata toimiakseen, kasvaakseen ja säilyttääkseen luottamuksen?
Pankille tämä voi sisältää maksujärjestelmiä, asiakastilejä, kaupankäyntialustoja, identiteettijärjestelmiä ja viranomaisraportointiprosesseja. Valmistajalle se todennäköisesti sisältää tuotantolinjoja, teollisuuden ohjausjärjestelmiä, toimitusketjun alustoja ja immateriaalioikeuksia. Terveydenhuollon toiminnan osalta se sisältäisi potilastiedot, kliiniset järjestelmät, yhdistetyt lääkinnälliset laitteet ja ajanvarausjärjestelmät.
Keskeinen asia on tämä: Samalla verkkotapahtumalla voi olla hyvin erilaisia liiketoiminnallisia seurauksia riippuen siitä, mihin se laskeutuu – erillistä testiympäristöä vastaan tehty kiristysohjelmahyökkäys ei ole sama asia kuin tuotantojärjestelmiin, asiakkaille suunnattuihin palveluihin tai käyttötekniikkaan vaikuttava kiristysohjelma; Vaarantunut työntekijätili ei ole sama asia kuin vaarantunut järjestelmänvalvojan tili, jolla on pääsy arkaluonteisiin tietoihin tai kriittiseen infrastruktuuriin.
Tästä syystä omaisuuskonteksti on niin tärkeä. CISO:n on tiedettävä paitsi mikä on haavoittuvaa, myös mitä haavoittuva omaisuus tukee.
Muuta tekninen altistuminen vaikutukseksi liiketoimintaan
Kyberturvallisuustiimit kuvaavat riskejä usein CVE-arvojen, hyökkäysvektorien, kompromissi-indikaattoreiden, virheellisten määritysten ja havaitsemisen kattavuuden perusteella. Näillä yksityiskohdilla on merkitystä, mutta ne eivät välttämättä vastaa johdon kysymykseen: Mitä sitten?
Arvioi kyberriski liiketoiminnan kannalta muuntamalla tekninen altistuminen luokiksi, joita yritys jo ymmärtää. Esimerkkejä:
- Toiminnalliset vaikutukset: Voiko tämä häiritä ydinpalveluita, tuotantoa, logistiikkaa, asiakastukea tai sisäisiä toimintoja?
- Taloudelliset vaikutukset: Voiko se johtaa tulonmenetyksiin, perintäkuluihin, lunnaita koskeviin vaatimuksiin, oikeudenkäyntikuluihin, asiakaskorvauksiin tai vakuutusmaksujen nousuun?
- Sääntelyn vaikutukset: Voiko se aiheuttaa pakollisen raportoinnin, seuraamuksia, tarkastuksia tai oikeustoimia?
- Vaikutus maineeseen: Voiko se vahingoittaa asiakkaiden luottamusta, kumppaneiden luottamusta, markkinoiden käsitystä tai sijoittajien luottamusta?
- Strateginen vaikutus: Voiko se viivyttää muutosprojekteja, fuusioita, markkinoiden laajentamista tai digitaalisia aloitteita?
Tämän käännöksen ei tarvitse olla täydellinen ollakseen hyödyllinen. Monissa tapauksissa suunta-arvio riittää tukemaan tietoista priorisointia. Tavoitteena ei ole luoda väärää matemaattisen varmuuden tunnetta, vaan antaa johtajuudelle selkeämpi käsitys kyberpäätösten seurauksista.
Arvioi todennäköisyys uhkakontekstin avulla, älä arvailua
Todennäköisyys on usein heikoin osa kyberriskejä koskevaa keskustelua. Voi olla houkuttelevaa kuvata todennäköisyyttä pieneksi, keskitasoiseksi tai korkeaksi intuition perusteella. Mutta yritysriskejä koskevat päätökset tarvitsevat vahvemman perustan kuin vaisto.
Uskottavassa arvioinnissa otetaan huomioon useita syötteitä:
Olennainen uhkatekijän toiminta
Hyökkäävätkö verkkorikollisryhmät, valtioihin sidoksissa olevat toimijat tai hacktivistit aktiivisesti organisaation toimialaa, aluetta tai teknologiapinoa?
Tunnettuja haavoittuvuuksia
Onko Internetiin päin olevissa järjestelmissä, päätepisteissä, pilviympäristöissä, identiteettiinfrastruktuurissa tai käyttötekniikassa hyödynnettävissä olevia heikkouksia?
Hallitse tehokkuutta
Toimivatko tietoturvatarkastukset tarkoitetulla tavalla, ja testataanko niitä realistisia hyökkäystekniikoita vastaan?
Havainto- ja vastauskypsyys
Pystyykö organisaatio havaitsemaan varhaiset merkit kompromisseista ja reagoimaan siihen ennen kuin teknisestä poikkeamasta tulee liiketoimintakriisi?
Kolmannen osapuolen riippuvuus
Voiko toimittaja, ohjelmistotoimittaja, hallinnoitu palvelu tai kumppani tuoda riskejä kriittisiin toimintoihin?
Uhkatieto on erityisen arvokasta, koska se tarjoaa lisätietoa uusista uhkista ja havaituista hyökkääjien toimista, kuten mihin sektoreihin kohdistuu, mitä taktiikoita käytetään ja mitkä indikaattorit voivat viitata varhaiseen hyökkäystoimintaan. Uhkatiedon arvo riippuu sen tietolähteiden laadusta, leveydestä ja merkityksestä, minkä vuoksi vahva maailmanlaajuinen näkyvyys ja luotettava tiedustelutietojen keruu ovat välttämättömiä oikea-aikaisen ja hyödyllisen kontekstin tarjoamiseksi.
CISO:lle tämä tarjoaa vahvemman pohjan riskikeskusteluille. Viesti siirtyy "tämä on vakava haavoittuvuus" -tekstiin "tämä haavoittuvuus on tärkeä, koska se on hyödynnettävissä, olennainen ympäristöllemme ja liittyy aktiiviseen uhkatoimintaan".
Määrittele määrällisesti aina kun mahdollista, määritä tarvittaessa
Yritysjohtajat haluavat usein kyberriskin ilmaistuna taloudellisesti , mikä on kohtuullista: kyberturvallisuus kilpailee budjetista muiden liiketoimintaprioriteettien kanssa, joten CISO:t tarvitsevat tavan selittää riskin vähentämisen arvo.
Mikäli mahdollista, määritä kyberriski käyttämällä kustannusluokkia. Näitä voivat olla:
- Arvioidut seisokkien kustannukset per tunti tai päivä
- Mahdolliset tulonmenetys palveluhäiriöistä
- Korjaus- ja korjauskulut
- Laki-, viranomais- tai ilmoituskulut
- Mahdolliset asiakaskorvaukset tai sopimussakkot
- Tuottavuuden menettämisen kustannukset
- Mahdolliset vaikutukset vakuutusmaksuihin
- Viivästyneiden yrityshankkeiden kustannukset.
Kaikkia riskejä ei kuitenkaan voida mitata tarkasti. Jotkin vaikutukset, kuten maineen vahingoittuminen, sidosryhmien luottamuksen menetys tai strateginen viive, on ehkä kuvattava laadullisesti.
Hyvässä liiketoimintariskien arvioinnissa käytetään molempia lähestymistapoja. Se välttää epämääräisen hälytyksen, mutta se välttää myös teeskentelyn, että jokainen seuraus voidaan pelkistää yhdeksi numeroksi.
Tässä on hyödyllinen muoto:
Jos tämä riski toteutuu, todennäköinen vaikutus liiketoimintaan on [kriittisen prosessin] häiriö, joka vaikuttaa [liiketoimintayksikköön, asiakasryhmään tai markkinoihin] ja jolla on mahdollisia seurauksia, kuten [taloudellinen, lainsäädännöllinen, toiminnallinen tai maineeseen kohdistuva vaikutus].
Tämä luo selkeän rajan teknisen ongelman ja liiketoiminnan tuloksen välille.
Priorisoi riskit liiketoiminnan seurausten mukaan
Yritysten tietoturvatiimit eivät voi korjata kaikkea kerralla. Kysymys ei ole siitä, onko jokaisella riskillä merkitystä, vaan mitkä riskit ovat tärkeimpiä.
Priorisoinnin tulee perustua liiketoiminnan seurauksiin, hyödynnettävyyteen ja altistumiseen. Pieniarvoisen, erillisen omaisuuden teknisesti vakava haavoittuvuus voi olla vähemmän kiireellinen kuin kohtalainen haavoittuvuus, joka vaikuttaa liiketoiminnan kannalta kriittiseen järjestelmään, joka on alttiina aktiiviselle hyökkäykselle. Vastaavasti identiteetin ja käyttöoikeuksien hallinnan heikkous voi sisältää suuremman yritysriskin kuin paikallinen päätepisteongelma.
CISO:n tulisi harkita neljää priorisointikysymystä:
- Mitä liiketoimintatoimintoa tämä omaisuus tukee?
- Kuinka alttiina se on todennäköisille hyökkääjille?
- Kuinka tehokkaita nykyiset tarkastukset ovat?
- Mitä tapahtuisi, jos se epäonnistuu, se salataan, sitä manipuloidaan tai hyökkääjä käyttää sitä?
Tämä auttaa tietoturvatiimiä siirtymään volyymiin perustuvasta priorisoinnista seurauksiin perustuvaan priorisointiin. Tavoitteena ei ole luoda lisää työtä. Tarkoituksena on keskittää korjaus-, valvonta- ja torjuntatoimet sinne, missä niillä voidaan vähentää merkittävintä riskiä .
Yhdistä kyberriski sietokykyyn
Ennaltaehkäisyn tukemisen lisäksi kyberriskien arvioinnin liiketoiminnallisesti tulisi myös tukea resilienssiä.
Kyberonnettomuudesta tulee liiketoiminnan kriisi, kun organisaatio ei pysty havaitsemaan, hillitsemään ja toipumaan siitä riittävän nopeasti. Havaitseminen, reagointi, torjunta ja talteenotto ovat siksi osa liiketoimintariskien yhtälöä. Uhka, joka voidaan havaita nopeasti, hillitä tehokkaasti ja korjata siitä mahdollisimman pienellä häiriöllä, edustaa erilaista liiketoimintariskiä kuin se, joka pysyy piilossa viikkoja tai leviää kriittisiin järjestelmiin.
Tässä kohtausvalmiudesta tulee keskeistä. CISO:n on arvioitava, pystyykö organisaatio vastaamaan käytännön kysymyksiin ennen tapahtumaa:
- Kuka tekee päätökset kyberkriisin aikana?
- Mitkä järjestelmät on palautettava ensin?
- Kuinka nopeasti organisaatio pystyy eristämään vaikutuksen alaisen omaisuuden?
- Mitä todisteita on säilytettävä tutkintaa varten?
- Kenelle sääntelyviranomaisille, asiakkaille tai kumppaneille voidaan joutua ilmoittamaan?
- Miten organisaatio viestii sisäisesti ja ulkoisesti?
- Mitä asiantuntijatukea on saatavilla, jos sisäisiä tiimejä venytetään?
Nämä kysymykset muuttavat kyberriskien arvioinnin toimintavalmiudeksi. Ne myös auttavat johtokuntia ymmärtämään, että joustavuus ei ole teoreettinen käsite, vaan organisaation kyky pitää toimintansa paineen alla.
Skenaarioiden avulla kyberriskejä todennetaan
Yksi tehokkaimmista tavoista viestiä kyberriskeistä liiketoiminnallisesti on skenaarioiden käyttö.
Skenaario muuttaa teknisen riskin bisnestarinaksi. Esimerkkejä:
Skenaario: V u n n i s t u u u u u u u u u u u u u u u uų k u u ųųųųųųmonųųų k u u u u ų k u u ų k u u ų k uų u u u u u ų ų u u u u ų logistiikkatoimintoja tukeviin järjestelmiin
Vaikutukset Liiketoimintaan: Tilausten toimitus viivästyy, asiakaspalvelun volyymit kasvavat, sopimussakkoja voidaan soveltaa ja tulot voivat viivästyä.
Riskitekijät: Paljas etäkäyttö, epäjohdonmukainen päätepisteiden peitto, rajoitettu verkon segmentointi ja riittämätön palautumistesti.
Liiketoimintapäätös: Investoi tehokkaampaan tunnistus- ja vastaustoimintoihin, paranna varmuuskopioiden testausta, nopeuta verkon segmentointia ja suorita tapaussimulaatio operatiivisten johtajien kanssa.
Tämäntyyppinen skenaario on hyödyllisempi kuin yleinen riskilausunto. Se auttaa johtajia ymmärtämään seurausketjun ja kannustaa eri toimintojen omistajuuteen, koska vaikutus ei enää rajoitu tietotekniikkaan tai tietoturvaan.
Hyvät skenaariot ovat tarkkoja, uskottavia ja liittyvät liiketoiminnan prioriteetteihin. Niiden tulee heijastaa organisaation todellista toimintamallia, ei yleisiä pahimman tapauksen oletuksia.
Luo yhteinen kieli taulun kanssa
Lautakuntien ei tarvitse ymmärtää kaikkia kyberturvallisuuden teknisiä yksityiskohtia, mutta ne tarvitsevat johdonmukaisen tavan keskustella riskeistä, altistumisesta ja sietokyvystä. CISO:t voivat tukea tätä raportoimalla kyberriskeistä pienillä liiketoimintaan kohdistetuilla toimenpiteillä, kuten:
- Kriittisten yrityspalvelujen riskit
- arvokkaiden omaisuuserien altistuminen
- valmius havaita ja reagoida tärkeimpiin uhkiin
- Korjausprosessi liiketoiminnan kannalta kriittisten riskien varalta
- Kolmas osapuoli olennaisiin toimintoihin vaikuttava riski
- Hätätilanteiden torjuntavalmius
- Tietoturvasijoitus kartoitettiin riskien vähentämiseen.
Tämä luo hyödyllisemmän keskustelun. Sen sijaan, että kysyttäisiin, onko organisaatio "suojattu", johtajuus voi kysyä terävämpiä kysymyksiä: Missä olemme eniten alttiita, mikä voi vaikuttaa toimintaan, mitä teemme asialle ja mitä riskejä on jäljellä?
Viimeinen kohta on tärkeä – kyberturvallisuus ei voi poistaa riskejä; se auttaa organisaatioita vähentämään, hallitsemaan ja valvomaan sitä. Yritysjohtajien on ymmärrettävä jäännösriski, jotta he voivat tehdä perusteltuja päätöksiä investoinneista, suvaitsevaisuudesta ja vastuullisuudesta.
Miten kyberturvallisuusominaisuudet tukevat liiketoiminnan riskien arviointia
Yritysvetoinen kyberriskien arviointi riippuu tarkasta tietoturvanäkemyksestä. CISO:t tarvitsevat näkyvyyttä resurssien, uhkien, haavoittuvuuksien, hallintalaitteiden, vaaratilanteiden ja reagointikyvyn osalta.
Tässä yrityksen kyberturvallisuusominaisuuksilla on käytännöllinen rooli:
- Uhkatietojen avulla voidaan tunnistaa asiaankuuluvat hyökkääjät, uudet uhat ja indikaattorit, jotka voivat vaikuttaa organisaatioon.
- Havainto- ja reagointiominaisuudet auttavat lyhentämään kompromissin ja eristämisen välistä aikaa.
- Tietoturvatoiminta tukee jatkuvaa valvontaa, tutkintaa ja eskalointia.
- Hätätilanteiden hallintapalvelut auttavat organisaatioita tutkimaan, hillitsemään ja toipumaan vakavista hyökkäyksistä.
- Tietoturvatietoisuus ja koulutus auttavat vähentämään ihmisen aiheuttamia riskejä koko työvoimassa.
- Tietoturva-arvioinnit, kuten penetraatiotestaus, red teaming ja sovellusten tietoturva-arvioinnit, antavat näyttöä siitä, miten heikkouksia voidaan hyödyntää organisaation ympäristössä, ja auttavat CISO:ita vahvistamaan oletuksia todennäköisyydestä, altistumisesta ja valvonnan tehokkuudesta.
- Kompromissiarvioinnit auttavat tunnistamaan todisteita menneistä tai meneillään olevista kompromisseista, jotka ovat saattaneet jäädä huomaamatta. Ne antavat selkeämmän kuvan organisaation todellisesta altistumisesta, mikä mahdollistaa aikaisemman korjauksen ja pienentää liiketoiminnan riskejä.
Yhdessä nämä ominaisuudet auttavat muuttamaan kyberriskien arvioinnin staattisesta raportoinnista aktiiviseksi hallintaprosessiksi. Arvoa ei ole pelkästään riskien tunnistamisessa, vaan siinä, että organisaatiolle annetaan tarvittava näkemys ja asiantuntemus riskien hallintaan.
Aikuisen kyberriskin arvioinnin tunnusmerkkejä
Kyberriskien arvioinnissa liiketoiminnan kannalta on useita piirteitä.
- Se alkaa liiketoiminnan kannalta kriittisistä resursseista ja prosesseista
- Se käyttää uhkatietoa arvioidakseen hyökkääjien toimintaa
- Se arvioi todennäköisyyden altistumisen, hyödynnettävyyden ja hallinnan tehokkuuden perusteella
- Se muuntaa vaikutuksen toiminnallisiksi, taloudellisiksi, lainsäädännöllisiksi ja maineiksi määritellyiksi termeiksi
- Se priorisoi korjaamisen liiketoiminnan seurauksiin perustuen
- Se testaa reagointivalmiutta skenaarioiden ja harjoitusten avulla
- Se antaa johtajille selkeän kuvan siitä, mitkä riskit on hyväksytty, mitkä on vähennetty ja mikä jäljelle jäänyt riski .
Tämä lähestymistapa auttaa CISO:ita vahvistamaan liikekumppaneita. Se myös auttaa johtajia tekemään päätöksiä ymmärtäen paremmin, mitä kyberturvallisuussijoituksen tarkoituksena on suojata.
Keskeisiä huomioita
Kyberriskien arvioiminen liiketoiminnan kannalta tarkoittaa kyberturvallisuuspäätösten yhdistämistä liiketoiminnan tuloksiin. Ei riitä, että tietää, mitä haavoittuvuuksia on olemassa, mitkä hälytykset käynnistyvät tai mitkä ohjaimet puuttuvat. CISO:n on näytettävä, miten nämä asiat voivat vaikuttaa toimintaan, liikevaihtoon, vaatimustenmukaisuuteen, luottamukseen ja strategiseen edistymiseen.
Vahvimmat kyberriskien arvioinnit eivät hukuta johtajia teknisillä yksityiskohdilla. Ne antavat johtajille selkeän kuvan siitä, mikä on tärkeää, miksi sillä on merkitystä ja mitä päätöksiä tarvitaan.
Yritysorganisaatioille selkeys on olennaista – se auttaa tietoturvatiimejä keskittämään resurssit sinne, missä niillä on eniten vaikutusta liiketoimintaan, se auttaa johtokuntia ymmärtämään riskejä, joita heillä on mukanaan, ja se auttaa organisaatiota rakentamaan toiminnan kestävyyttä, kun kyberuhista tulee bisnestapahtumia.
Lähteet ja lisätietoa
- Kaspersky Threat Intelligence
- Kaspersky-uhkatietosyötteet
- Kaspersky Managed Detection and Response
- Kaspersky Incident Response
- Kaspersky Security Awareness
- NIST Cybersecurity Framework 2.0
- FAIR Institute
- CISA Cybersecurity Performance Goals
- Kaspersky Security Assessment
- Kaspersky Compromise Assessment
