Bu, CISO'lar için bir zorluk oluşturur. Güvenlik ekipleri bir güvenlik açığının teknik önem derecesini, tehdit aktörünün karmaşıklığını veya bir saldırının olası yolunu anlayabilir, ancak yönetim kurulları ve yönetim ekiplerinin farklı bir şeyi anlamaları gerekir: Bu, iş için ne anlama gelebilir?
Kritik işlemleri yarıda kesebilir mi? Hassas verileri ifşa edebilir mi? Geliri geciktirebilir mi? Düzenleyici incelemeyi tetikleyebilir mi? Müşterinin güvenini zedeleyebilir mi? Kuruluşun temel hizmetleri sunma yeteneğini etkileyebilir mi?
Siber riski iş açısından değerlendirmek , teknik maruziyeti iş etkisine dönüştürmek anlamına gelir. Liderlerin yatırım, önceliklendirme ve esneklik hakkında daha iyi kararlar almasına yardımcı olur. Ayrıca, CISO'ların konuyu soyut risk puanlarından kuruluşun korumaya çalıştığı sonuçlara doğru yönlendirmesine yardımcı olur.
İş açısından siber riski değerlendirmek için pratik bir çerçeve
Bir siber risk değerlendirmesi beş şeyi bağlamalıdır:
- Kritik iş varlıkları : Kuruluş için hangi sistemler, veriler, süreçler, hizmetler ve üçüncü taraflar gereklidir?
- Tehdit riski : Kuruluşun bulunduğu sektöre, coğrafyaya, çalışma modeline ve tehdit ortamına dayalı olarak, bu varlıklarla en ilgili siber tehditler hangileridir?
- Olasılık : Mevcut zayıf noktalar, denetimler, saldırgan etkinliği ve güvenliğin olgunluğu dikkate alındığında, bir tehdidin kuruluşu etkileme olasılığı ne kadardır?
- Ticari etki : Tehdit gerçekleşirse sonuçları finansal, operasyonel, yasal ve tanınırlık açısından ne olur?
- Karar önceliği: Kuruluş risk düzeyine, mevcut kaynaklara ve iş amaçlarına göre ilk olarak ne yapmalıdır?
Bu çerçeve, CISO'lara siber riski teknik dile indirgemeden yapılandırılmış bir açıklama yöntemi sunar. Ayrıca, daha pratik karar vermeyi destekler – yüksek önem derecesine sahip olduğu için güvenlik açığı otomatik olarak pano düzeyinde bir sorun değildir; İş için önemli olan bir şeyi etkilediğinde yönetim kurulu düzeyinde bir sorun haline gelir.
Tehdit ile değil işle başlayın
Çoğu siber risk değerlendirmesi teknik girdilerle başlar: zayıf noktalar, uyarılar, kontrol boşlukları, olay raporları veya denetim bulguları. Bunlar gereklidir, ancak bir iş görüşmesi için en iyi başlangıç noktası değildir.
Şu soru hakkında düşünmek daha iyi bir başlangıç noktasıdır: Kuruluş çalışmak, büyümek ve güveni korumak için neyi korumalıdır?
Bir banka için bu, ödeme sistemlerini, müşteri hesaplarını, işlem platformlarını, kimlik sistemlerini ve yasal raporlama işlemlerini içerebilir. Bir üretici için, muhtemelen üretim hatlarını, endüstriyel kontrol sistemlerini, tedarik zinciri platformlarını ve fikri mülkiyeti içermesidir. Bir sağlık hizmeti operasyonu için ise hasta kayıtlarını, klinik sistemleri, bağlı tıbbi cihazları ve randevu zamanlama sistemlerini içerir.
Kilit nokta şudur: Aynı siber olay, nereden geldiğine bağlı olarak çok farklı iş sonuçları taşıyabilir – yalıtılmış bir test ortamına yönelik bir fidye yazılımı saldırısı ile üretim sistemlerini, müşteriye yönelik hizmetleri veya operasyonel teknolojiyi etkileyen fidye yazılımları aynı şey değildir; Güvenliği ihlal edilmiş bir çalışan hesabı ile hassas verilere veya kritik altyapıya erişimi olan güvenliği ihlal edilmiş bir yönetici hesabı aynı şey değildir.
Varlık bağlamı bu kadar önemli olmasının nedeni budur. CISO'ların yalnızca nelerin savunmasız olduğunu değil, aynı zamanda savunmasız varlığın neleri desteklediğini de bilmesi gerekir.
Teknik maruziyeti iş etkisine çevirin
Siber güvenlik ekipleri riski genellikle CVE'ler, saldırı vektörleri, güvenlik ihlali göstergeleri, yanlış yapılandırmalar ve tespit kapsamı açısından tanımlar. Bu ayrıntılar önemlidir, ancak yürütmeyle ilgili şu sorunun yanıtı değildir: Ne olmuş yani?
Siber riski iş açısından değerlendirmek için, teknik riskleri işletmenin zaten anladığı kategorilere çevirin. Örneğin:
- Operasyonel etki: Bu durum temel hizmetleri, üretimi, lojistiği, müşteri desteğini veya şirket içi operasyonları kesintiye uğratır mı?
- Finansal etki: Gelir kaybına, kurtarma maliyetlerine, fidye taleplerine, yasal maliyetlere, müşteri tazminine veya sigorta primlerinin artmasına neden olabilir mi?
- Düzenleyici etkisi: Zorunlu raporlamayı, cezaları, denetimleri veya yasal işlemleri tetikleyebilir mi?
- İtibar etkisi: Müşteri güvenine, ortak güvenine, pazar algısına veya yatırımcı güvenine zarar verebilir mi?
- Stratejik etki: Dönüşüm projelerini, birleşmeleri, pazar genişlemesini veya dijital girişimleri geciktirebilir mi?
Bu çevirinin faydalı olması için mükemmel olması gerekmez. Çoğu durumda, bilgiye dayalı önceliklendirmeyi desteklemek için yönlü bir tahmin yeterlidir. Amaç yanlış bir matematiksel kesinlik duygusu oluşturmak değil, liderliğe siber kararların sonuçları hakkında daha net bir görünüm vermektir.
Olasılığı değerlendir, tahminleri değil, tehdit bağlamını kullanarak
Olasılık, bir siber risk tartışmasının genellikle en zayıf kısmıdır. Sezgiye dayalı olarak olasılığı düşük, orta veya yüksek olarak tanımlamak cazip gelebilir. Ancak kurumsal risk kararlarının içgüdüden daha güçlü bir temele ihtiyacı vardır.
Güvenilir bir değerlendirme birkaç girdiyi dikkate alır:
İlgili tehdit aktörünün etkinliği
Siber suçlu grupları, devlet bağlantılı aktörler veya bilgisayar korsanları, kuruluşun sektörünü, bölgesini veya teknoloji grubunu aktif olarak hedef alıyor mu?
Bilinen güvenlik açıkları
İnternete yönelik sistemlerde, uç noktalarda, bulut ortamlarında, kimlik altyapısında veya operasyonel teknolojide yararlanılabilir zayıflıklar var mı?
Kontrol etkinliği
Güvenlik denetimleri istendiği gibi çalışıyor mu ve gerçekçi saldırı tekniklerine karşı test ediliyor mu?
Tespit ve yanıt olgunluğu
Kuruluş, teknik bir olay bir iş krizine dönüşmeden önce ihlal belirtilerini erken tespit edip yanıt verebiliyor mu?
Üçüncü taraf bağımlılığı
Bir tedarikçi, yazılım sağlayıcısı, yönetilen hizmet veya ortak kritik işlemlere risk getirebilir mi?
Tehdit istihbaratı burada özellikle değerlidir, çünkü hangi sektörlerin hedeflendiği, hangi taktiklerin kullanıldığı ve hangi göstergelerin erken saldırı etkinliğine işaret edebileceği dahil olmak üzere yeni ortaya çıkan tehditler ve gözlenen saldırgan etkinliği hakkında ek bağlam sağlar. Tehdit istihbaratının değeri, veri kaynaklarının kalitesine, kapsamına ve alaka düzeyine bağlıdır, bu da güçlü küresel görünürlük ve güvenilir istihbarat toplamayı zamanında, faydalı bağlam sağlamak için gerekli kılmaktadır.
CISO'lar için bu, risk konuşmaları için daha güçlü bir temel sağlar. Mesaj, “bu ciddi bir zayıf nokta”dan “bu güvenlik açığından faydalanılabilir, ortamımızla ilgili ve etkin tehdit etkinliği ile ilişkili olduğu için önemlidir”e değişir.
Mümkünse sayısallaştırın, gerektiğinde niteleyin
İş dünyası liderleri genellikle siber riskin finansal terimlerle ifade edilmesini ister , bu da makul bir durumdur: siber güvenlik diğer iş öncelikleriyle bütçe için rekabet halindedir, bu nedenle CISO'lar riski azaltmanın değerini açıklamanın bir yoluna ihtiyaç duyar.
Mümkün olduğunda, maliyet aralıklarını kullanarak siber riski sayısallaştırın. Bunlar şunları içerebilir:
- Saat veya gün başına tahmini kesinti süresi maliyeti
- Hizmet kesintisinden kaynaklanan olası gelir kaybı
- Kurtarma ve düzeltme maliyetleri
- Yasal, düzenleme veya bildirim maliyetleri
- Olası müşteri tazminatı veya sözleşme cezaları
- Üretkenlik kaybının maliyeti
- Sigorta primleri üzerindeki potansiyel etki
- Geciken iş girişimlerinin maliyeti.
Ancak, her risk tam olarak ölçülemez. İtibar zararı, paydaş güveninin kaybı veya stratejik gecikme gibi bazı etkilerin niteliksel olarak tanımlanması gerekebilir.
İyi bir ticari risk değerlendirmesinde her iki yaklaşımı da kullanır. Belirsiz alarmlardan kaçınır, ancak her sonucun tek bir sayıya indirgenebileceğini iddia etmekten de kaçınır.
Yararlı bir biçim burada:
Bu risk gerçekleşirse olası iş etkisi [kritik süreçte] kesintiye uğrar, [iş birimi, müşteri grubu veya pazar]'ı etkiler ve [finansal, yasal, operasyonel veya itibar etkisi] dahil olmak üzere potansiyel sonuçlar ortaya çıkar.
Bu, teknik sorun ile iş sonucu arasında net bir çizgi oluşturur.
İş sonuçlarına göre riske öncelik ver
Kurumsal güvenlik ekipleri her şeyi bir kerede düzeltemez. Sorun, her riskin önemli olup olmadığı değil, en çok hangi risklerin önemli olduğudur.
Önceliklendirme işle ilgili sonucu, kullanılabilirliği ve maruziyeti temel almalıdır. Düşük değere sahip, yalıtılmış bir varlıkta teknik olarak önemli bir güvenlik açığı, etkin saldırıya maruz kalan iş için kritik öneme sahip bir sistemi etkileyen orta düzeyde bir güvenlik açığından daha az acil olabilir. Benzer şekilde, kimlik ve erişim yönetimindeki bir denetim zayıflığı, yerel bir uç nokta sorunundan daha büyük kurumsal risk taşıyabilir.
CISO'lar dört önceliklendirme sorusunu dikkate almalıdır:
- Bu varlık hangi iş işlevini destekliyor?
- Olası saldırganlara karşı ne kadar açıktır?
- Mevcut kontroller ne kadar etkili?
- Bir saldırgan tarafından başarısız olur, şifrelenir, manipüle edilir veya erişilirse ne olur?
Bu, güvenlik ekiplerinin birim tabanlı önceliklendirmeden sonuç tabanlı önceliklendirmeye geçmesine yardımcı olur. Amaç daha fazla iş yaratmak değil. Düzeltme, izleme ve yanıt çabalarına en anlamlı riski azaltabilecekleri yerlerde odaklanmaktır.
Siber riski dayanıklılık ile birleştirin
Siber riskin iş açısından değerlendirilmesi, önlemeyi desteklemenin yanı sıra dayanıklılığı da desteklemelidir.
Bir siber olay, kuruluşun yeterince hızlı bir şekilde tespit edemediği, kontrol altına alamadığı ve kurtaramadığı durumlarda bir iş krizi haline gelir. Tespit, yanıt, sınırlama ve kurtarma bu nedenle iş risk denkleminin bir parçasıdır. Hızlı bir şekilde tespit edilebilen, etkili bir şekilde kontrol altına alınabilen ve minimum kesinti ile kurtarılabilen bir tehdit, haftalarca gizli kalan veya kritik sistemlere yayılan tehditten farklı bir iş riski seviyesi sunar.
Olaya hazırlığın merkezi hale geldiği yer burasıdır. CISO'lar, kuruluşun bir olay meydana gelmeden önce pratik sorulara yanıt verip vermeyeceğini değerlendirmelidir:
- Bir siber kriz sırasında kararları kim verir?
- İlk önce hangi sistemlerin geri yüklenmesi gerekir?
- Kuruluş etkilenen varlıkları ne kadar hızlı izole edebilir?
- Soruşturma için hangi kanıtların korunması gerekir?
- Hangi düzenleyiciler, müşteriler veya iş ortakları bilgilendirilmelidir?
- Kuruluş içinde ve dışında nasıl iletişim kuracak?
- Dahili ekipler gerginse hangi uzman desteği sağlanabilir?
Bu sorular, siber risk değerlendirmesini operasyonel hazırlığa dönüştürür. Ayrıca kurulların, esnekliğin teorik bir kavram olmadığını, ancak kuruluşun baskı altında çalışmaya devam edebilmesi olduğunu anlamalarına yardımcı olur.
Siber riski gerçekleştirmek için senaryoları kullanın
Siber riski iş açısından iletmenin en etkili yollarından biri senaryolar kullanmaktır.
Bir senaryo, teknik bir riski bir iş hikayesine dönüştürür. Örneğin:
Senaryo: Fidye yazılımı bölgesel lojistik operasyonlarını destekleyen sistemleri etkiler
İş üzerindeki etkisi: Siparişlerin karşılanması ertelenir, müşteri hizmetleri hacimleri artar, sözleşmeye dayalı cezalar uygulanabilir ve gelir ertelenebilir.
Risk sürücüleri: Açık uzaktan erişim, tutarsız uç nokta kapsamı, sınırlı ağ segmentasyonu ve yetersiz kurtarma testi.
İş kararı: Daha güçlü tespit ve yanıtlamaya yatırım yapın, yedekleme testini iyileştirin, ağ segmentasyonunu hızlandırın ve operasyonel liderlerle bir olay simülasyonu çalıştırın.
Bu senaryo türü, genel bir risk bildiriminden daha faydalıdır. Yöneticilerin sonuç zincirini anlamasına yardımcı olur ve işlevler arası mülkiyeti teşvik eder, çünkü etki artık BT veya güvenlik ile sınırlı değildir.
İyi senaryolar belirli, makul ve iş öncelikleriyle bağlantılıdır. Genel en kötü durum varsayımlarını değil, kuruluşun fiili çalışma modelini yansıtmalıdırlar.
Yönetim kurulu ile ortak bir dil oluşturun
Kurulların siber güvenliğin her teknik ayrıntısını anlaması gerekmez, ancak risk, maruz kalma ve esnekliği tartışmak için tutarlı bir yola ihtiyaç duyarlar. CISO'lar, siber riski rapor ederek destekleyebilir, örneğin:
- Kritik iş hizmetleri için riskler
- Yüksek değerli varlıkların ortaya çıkması
- Öncelikli tehditleri tespit etmeye ve yanıtlamaya hazır olma
- İş için kritik risklere karşı iyileştirme ilerlemesi
- Üçüncü taraf temel işlemleri etkileyen risk
- Olay müdahalesine hazır olma
- Risk azaltma ile eşlenen güvenlik yatırımı.
Bu, daha faydalı bir konuşma oluşturur. Liderlik, kuruluşun 'güvenli' olup olmadığını sormak yerine daha keskin sorular sorabilir: En çok nerelere maruz kalıyoruz, operasyonları neler etkileyebilir, bu konuda ne yapıyoruz ve geriye ne gibi riskler var?
Bu son nokta önemlidir - siber güvenlik riski ortadan kaldıramaz; kuruluşların bunu azaltmasına, yönetmesine ve izlemesine yardımcı olur. İş liderlerinin yatırım, tolerans ve hesap verebilirlik hakkında bilinçli kararlar verebilmeleri için artık riski anlamaları gerekir.
Siber güvenlik özellikleri iş risk değerlendirmesini nasıl destekler
İş odaklı bir siber risk değerlendirmesi, doğru güvenlik içgörülerine bağlıdır. CISO'lar; varlıklar, tehditler, zayıf noktalar, denetimler, olaylar ve yanıt yeteneğine ilişkin görünürlüğe ihtiyaç duyar.
Kurumsal siber güvenlik özelliklerinin pratik bir rol oynadığı burada:
- Tehdit zekası, ilgili saldırgan etkinliğinin, yeni ortaya çıkan tehditlerin ve kuruluşu etkileyebilecek göstergelerin tanımlanmasına yardımcı olur.
- Algılama ve yanıt özellikleri, güvenlik ihlali ile sınırlama arasındaki sürenin azaltılmasına yardımcı olur.
- Güvenlik işlemleri sürekli izleme, araştırma ve yükseltmeyi destekler.
- Olay yanıt hizmetleri, kuruluşların ciddi saldırıları araştırmasına, kontrol altına almasına ve bu saldırıları kurtarmasına yardımcı olur.
- Güvenlik farkındalığı ve eğitimi, iş gücü genelinde insan kaynaklı risklerin azaltılmasına yardımcı olur.
- Sızma testi, kırmızı ekip oluşturma ve uygulama güvenlik değerlendirmeleri gibi güvenlik değerlendirmeleri, kuruluşun ortamındaki zayıf noktalardan nasıl yararlanılabileceğine dair kanıtlar sunarak CISO'ların kontrollerin olasılığı, maruz kalma ve etkinliği hakkındaki varsayımları doğrulamasına yardımcı olur.
- Uzlaşma değerlendirmeleri, tespit edilememiş olabilecek geçmiş veya devam eden güvenlik ihlali kanıtlarının tanımlanmasına yardımcı olur. Kuruluşun gerçek durumu hakkında daha net bir görünüm sunarak, daha erken düzeltmeye olanak tanır ve iş riskini azaltır.
Bu özellikler bir araya geldiğinde, siber risk değerlendirmesini statik bir raporlama uygulamasından etkin bir yönetim sürecine dönüştürmeye yardımcı olur. Buradaki değer, sadece riski tanımlamakta değil, aynı zamanda kuruluşa buna göre hareket etmesi için gereken içgörü ve uzmanlığı vermekte de yatmaktadır.
Olgun bir siber risk değerlendirmesinin ayırt edici özellikleri
Siber riski iş açısından değerlendirmeye yönelik olgun bir yaklaşımın çeşitli özellikleri vardır.
- İş için kritik öneme sahip varlıklar ve süreçler ile başlar
- İlgili saldırgan etkinliğini değerlendirmek için tehdit zekasını kullanır
- Olasılığı açığa çıkma, kullanılabilirlik ve kontrol etkinliğine göre değerlendirir
- Etkiyi operasyonel, finansal, yasal ve tanınırlık şartlarına çevirir
- İş sonucuna göre düzeltmeye öncelik verir
- Senaryolar ve alıştırmalar aracılığıyla yanıta hazır olup olmadığını test eder
- Yöneticilere hangi risklerin kabul edildiği, hangilerinin azaltıldığı ve hangi risklerin kaldığı hakkında net bir fikir verir.
Bu yaklaşım, CISO'ların daha güçlü iş ortakları olmasına yardımcı olur. Ayrıca, siber güvenlik yatırımının neyi korumayı amaçladığını daha net bir şekilde anlayarak yönetimin kararlar almasına yardımcı olur.
Önemli çıkarımlar
Siber riski iş açısından değerlendirmek, siber güvenlik kararlarıyla iş sonuçları arasında bağlantı kurmak anlamına gelir. Hangi zayıf noktaların mevcut olduğunu, hangi uyarıların tetiklendiğini veya hangi kontrollerin eksik olduğunu bilmek yeterli değildir. CISO'ların, bu sorunların operasyonları, geliri, uyumluluğu, güveni ve stratejik ilerlemeyi nasıl etkileyebileceğini göstermeleri gerekir.
En güçlü siber risk değerlendirmeleri, yöneticileri teknik ayrıntılarla boğmaz. Liderlere neyin önemli olduğu, neden önemli olduğu ve hangi kararların gerekli olduğu hakkında net bir görüş sunar.
Kurumsal kuruluşlar için netlik çok önemlidir - güvenlik ekiplerinin kaynaklara iş üzerinde en fazla etkiye sahip oldukları yere odaklanmasına yardımcı olur, kurulların taşıdıkları riski anlamasına yardımcı olur ve kuruluşun siber tehditler işle ilgili olaylar haline geldiğinde çalışmaya devam etmek için ihtiyaç duyduğu esnekliği oluşturmasına yardımcı olur.
Kaynaklar ve daha fazla okuma
- Kaspersky Threat Intelligence
- Kaspersky Threat Data Feeds
- Kaspersky Managed Detection and Response
- Kaspersky Incident Response
- Kaspersky Security Awareness
- NIST Siber Güvenlik Çerçevesi 2.0
- FUAR Enstitüsü
- CISA Siber Güvenlik Performans Hedefleri
- Kaspersky Güvenlik Değerlendirmesi
- Kaspersky Compromise Assessment
