Šta je procena rizika kibernetičke bezbednosti?

Sveobuhvatna procena rizika u oblasti kibernetičke bezbednosti procenjuje više slojeva stanja bezbednosti organizacije, od tehničke infrastrukture do ljudskih faktora. To omogućava organizacijama da sistematski identifikuju rizike i razviju ciljane strategije za njihovo ublažavanje.

Osnovni elementi procene rizika u oblasti kibernetičke bezbednosti

Dobro strukturisana procena rizika obuhvata nekoliko osnovnih koraka:

1. Definišite opseg

Procena rizika u oblasti kibernetičke bezbednosti počinje definisanjem opsega. To znači da treba da identifikujete tačno koji deo organizacije će biti procenjen, bilo da je to određena poslovna jedinica, aplikacija ili celo IT okruženje preduzeća. Jasno definisan opseg sprečava slepe tačke i pomaže da fokus ostane zadržan. Trebalo bi da obuhvati:
 

• Fizičku infrastruktura kao što su serveri, desktop računari, mobilni uređaji i IoT krajnje tačke.
• Softverske sisteme kao što su interne alatke, platforme u oblaku, aplikacije nezavisnih proizvođača i baze podataka.
• Mrežni sloj, uključujući segmentaciju, daljinski pristup i spolja dostupne usluge.
• Osobe, uključujući korisničke uloge, nivoe pristupa i digitalne aktivnosti zaposlenih, saradnika i dobavljača.
   

2. Identifikujte resurse

Kada se opseg utvrdi, sledeći korak je identifikovanje resursa. To podrazumeva popisivanje svega što ima vrednost u okviru definisanog opsega i podržava poslovanje. Resursi obuhvataju:
 

• Fizički hardver kao što su laptop računari, serveri, ruteri i uređaji za skladištenje.
• Softverski sistemi kao što su operativni sistemi, poslovne aplikacije, bezbednosne alatke i prilagođeni kod.
• Mrežna infrastruktura, uključujući bežične pristupne tačke, VPN-ove, zaštitne zidove i DNS sisteme.
• Osobe, kao što su zaposleni, administratori, korisnici nezavisnih proizvođača i njihovi povezani akreditivi za identitet i pristup.
   

Svaki resurs treba klasifikovati na osnovu toga koliko je kritičan za poslovanje.

3. Utvrdite pretnje

Pretnja je svaki potencijalni događaj, akter ili uslov koji može da nanese štetu iskorišćavanjem ranjivosti u sistemu, mreži, aplikaciji ili procesu. To je deo rizika scenarija koji opisuje "šta bi moglo da pođe naopako".

Pretnje mogu biti:

• Namerno, kao kada kibernetički kriminalac pokrene phishing napad ili kada insajder zloupotrebi svoj pristup.
• Slučajno, kao što je pogrešno konfigurisan zaštitni zid ili zaposleni koji šalje osetljive podatke pogrešnoj osobi.
• Okruženje, uključujući požare, poplave ili otkazivanja napajanja koji ometaju operacije ili oštete opremu.

One mogu da budu usmerene na hardver (na primer, krađa laptop računara), softver (iskorišćavanje propusta u aplikaciji), mreže (presretanje nezaštićenog saobraćaja) ili ljude (navođenje korisnika da podele lozinke).

4. Rešavanje ranjivosti

Ranjivost je slabost u sistemu, aplikaciji, procesu ili ljudskom ponašanju koju pretnja može da iskoristi i prouzrokuje štetu ili neovlašćene ishode. To je deo rizika scenarija koji opisuje "kako stvari mogu da pođu naopako".

Ranjivosti mogu da se pojave na mnogo načina:
 

• Hardver. Laptop računari bez šifrovanja, zastareli firmver ili nezaštićeni portovi.
• Softver. Nezakrpljene aplikacije, podrazumevani akreditivi ili kod koji nije bezbedan.
• Mreže. Otvoreni portovi, slabo šifrovanje ili loša segmentacija.
• Ljudski faktori. Višestruko korišćene lozinke, nedostatak obuke ili prekomerne privilegije pristupa.
   

Ranjivost ne dovodi automatski do incidenta, ali kada se kombinuje sa relevantnom pretnjom, otvara vrata riziku. Na primer, veb server koji pokreće zastareli softver ranjiv je. Ako akter pretnji skenira u potrazi za tom ranjivošću i iskoristi je, organizacija bi mogla da se suoči sa curenjem podataka.

5. Procena postojećih kontrola

Kada se identifikuju pretnje i ranjivosti, vreme je da se procene kontrole koje su trenutno uspostavljene kako bi se one ublažile. Kontrole spadaju u tri široke vrste:
 

• Preventivne. Kao što su zaštitni zidovi, antivirusni softver i višestruka potvrda identiteta.
• Detektivske. Uključujući sisteme za otkrivanje upada i alatke za upravljanje bezbednosnim informacijama i događajima (SIEM).
• Korektivne. Primeri uključuju rezervne kopije i planove za oporavak od havarije.
   

Važno je proceniti pokrivenost u sledećim oblastima:
 

• Hardver. Da li postoje mere fizičke bezbednosti, kao što su pristup pomoću bedža, šifrovanje uređaja ili procedure za bezbedno odlaganje?
• Softver. Da li su uspostavljeni upravljanje zakrpama i bezbedne razvojne prakse?
• Mreže. Da li segmentirate saobraćaj, pravilno vodite evidenciju i koristite TLS za šifrovanu komunikaciju?
• Osobe. Da li je osoblje obučeno za prepoznavanje phishing napada? Da li smernice za pristup prate princip najmanjih privilegija?
   

Ova procena pruža uvid u to koliko su trenutne odbrane efikasne i gde i dalje postoje nedostaci.

6. Identifikujte verovatnoću i uticaj

Za svaki identifikovani scenario rizika, procenite:
 

• Verovatnoću. Kolika je verovatnoća pretnje, s obzirom na trenutne kontrole?
• Uticaj. Šta bi se dogodilo ako uspe – finansijski gubitak, izlaganje podataka, zastoji?
   

Uzmite u obzir prekid poslovanja, regulatorne kazne, narušavanje ugleda i operativne troškove. Hardverski ili mrežni kvarovi, na primer, mogu da izazovu široko rasprostranjene prekide rada, dok bi phishing napad mogao da dovede do gubitka podataka preko ugroženih akreditiva.

7. Izračunavanje rizika

Sada kombinujte verovatnoću i uticaj da biste odredili ocenu rizika za svaki scenario.

Na primer:

Scenario rizika	Verovatnoća	Uticaj	Nivo rizika
Ransomver na zastarelim serverima	Visoko	Visoko	Kritično
Pogrešno konfigurisano pravilo zaštitnog zida	Srednje	Srednje	Umereno
E-pošta za phishing koja zaobilazi filtere	Visoko	Nisko	Umereno

Ovo pomaže da se odredi prioritet za probleme koji zahtevaju hitnu pažnju i oni koji su prihvatljivi ili podnošljivi.

8. Preporučite mere za ublažavanje

Za svaki visok ili kritičan rizik, predložite radnje za njegovo smanjenje. Preporuke mogu da obuhvataju:
 

• Hardver. Primenite šifrovano skladištenje, bezbedne postavke pokretanja i zaključajte neiskorišćene portove.
• Softver. Primenite redovno krpljenje i koristite alatke za skeniranje kodova u kanalu razvoja.
• Mreže. Uvedite segmentaciju mreže i primenite sisteme za sprečavanje upada.
• Osobe. Proširite obuku za podizanje svesti o bezbednosti i primenite strože kontrole pristupa i verifikaciju identiteta.
   

Preporuke treba da uravnoteže smanjenje rizika sa troškovima, složenošću i uticajem na upotrebljivost.

9. Dokumentujte i prijavite

Temeljna procena rizika treba jasno da se dokumentuje i deli sa zainteresovanim stranama na više nivoa. Izveštaj obično uključuje sažetak na visokom nivou za rukovodioce, detaljne tehničke nalaze za IT i bezbednosne timove i prioritetne stavke radnji. Vizuelni elementi kao što su toplotne slike, dijagrami arhitekture i tabele često pomažu u efikasnijoj komunikaciji složenih rizika. Dokumentacija treba da sadrži inventar resursa, identifikovane pretnje i ranjivosti, trenutne kontrole, ocene rizika i preporučene mere ublažavanja. Izveštaj treba i da navede ko je odgovoran za svaku radnju i kada su planirane naknadne procene. Transparentnost i jasnoća pomoći će da se obezbedi podrška i usklade timovi.

10. Pregledajte i ponovite

Procene rizika nisu jednokratne – one su deo neprekidnog ciklusa. Tehnologija se razvija, poslovni procesi se menjaju, a nove pretnje se stalno pojavljuju. Evo nekoliko saveta koji će vam pomoći da ostanete otporni i spremni.
 

• Zakažite redovne procene (kvartalno, godišnje ili nakon većih promena).
• Automatizujte gde god je praktično (neprekidno skeniranje ranjivosti, nadzor krajnjih uređaja).
• Prilagodite svoje kontrole kako se pojavljuju novi rizici – naročito u vezi sa udaljenim radom, zavisnostima u lancu snabdevanja ili alatkama generativne AI.

Procena rizika u oblasti kibernetičke bezbednosti je onoliko jaka koliko je jak proces iza nje. Praćenje najboljih praksi pomaže da procene budu efikasne, ponovljive i usaglašene sa poslovnim prioritetima.

Počnite sa jasnim ciljevima

Pre nego što počnete, važno je da definišete šta procena treba da postigne. To može da znači identifikovanje ključne imovine i mogućih pretnji, ispunjavanje zahteva za usaglašenost, smanjenje verovatnoće incidenata ili usmeravanje budućih bezbednosnih ulaganja. Postavljanje jasnih ciljeva unapred pomaže da procena ostane usredsređena, relevantna i primenljiva tokom celog procesa.

Uključite prave zainteresovane strane

Procena rizika nije samo IT zadatak – potrebno je da u nju budu uključeni svi delovi organizacije. Timovi za bezbednost i IT donose tehničku stručnost, dok pravni tim i tim za usklađenost pružaju smernice o regulatornom riziku. Operacije i ljudski resursi mogu da istaknu pitanja procesa i osoblja, dok je izvršno rukovodstvo odgovorno za usaglašenost sa poslovnim ciljevima. Uključivanje više perspektiva pomaže da procena obuhvati širok spektar rizika, od pogrešnih konfiguracija softvera do ljudskog ponašanja.

Odlučite se za internu ili eksternu procenu

Ne postoji jedan najbolji pristup za sprovođenje procene rizika. Unutrašnje procene obično su isplativije i koriste institucionalno znanje, ali mogu da propuste slabe tačke ili da nemaju specijalizovane alatke. Spoljne procene nude svežu, nepristrasnu perspektivu i dublju stručnost, iako mogu biti skuplje, a ljudi koji sprovode procenu obično su manje upoznati sa internim sistemima. Mnoge organizacije biraju hibridni pristup: koriste interne timove za redovne provere i angažuju spoljne stručnjake za detaljnije analize ili kada to zahtevaju propisi o usaglašenosti.

Izaberite pravu strategiju tretmana rizika

Kada se rizici identifikuju, organizacije moraju da odluče kako će odgovoriti. Neki rizici mogu da se prihvate ako su u okviru tolerancije preduzeća. Drugi mogu potpuno da se izbegnu tako što se eliminiše sistem ili aktivnost koja ih uvodi. Rizici mogu da se prenesu i na treće lice, na primer putem osiguranja ili ugovornih sporazuma. Najčešće, organizacije biraju da ublaže rizike primenom kontrola koje smanjuju verovatnoću ili uticaj na prihvatljiv nivo. Prava strategija zavisi od poslovnih ciljeva, apetita za rizik i dostupnih resursa.

Sve dokumentujte

Održavanje tačne dokumentacije ključno je i za kratkoročni i za dugoročni uspeh. Ona pomaže organizacijama da ostanu usaglašene sa industrijskim propisima, prate promene i trendove tokom vremena i donose brže, bolje informisane odluke. Dobra dokumentacija takođe pojednostavljuje revizije, olakšava bezbednosne preglede i održava kontinuitet čak i kada se timovi ili sistemi menjaju.

Postupite na osnovu nalaza

Vrednost procene rizika leži u tome kako se rezultati koriste. Ranjivosti sa visokim rizikom treba prve da se reše, a koraci za otklanjanje treba da budu usaglašeni sa širim bezbednosnim ciljevima. Dodelite odgovornost za svaku aktivnost, pratite napredak i redovno ponovo procenjujte da biste bili sigurni da se poboljšanja održavaju. Posmatrajte rezultate kao deo kontinuiranog procesa – a ne kao jednokratnu vežbu – i uključite dosledno sprovođenje u svoju bezbednosnu kulturu.

Procenite na pravoj frekvenciji

Tehnologija se brzo razvija, a isto važi i za aktivnosti pretnji. To znači da procene rizika treba da se sprovode više puta godišnje, posebno u okruženjima sa visokim rizikom. Industrije kao što su finansije i zdravstvena zaštita često ponovo procenjuju rizik kvartalno ili na svakih šest meseci. Manja preduzeća to možda rade jednom godišnje ili posle većih promena u infrastrukturi. Preduzećima u oblaku ili brzim rastućim preduzećima će možda biti potrebno još češće procene da bi nastavile da se bahate sa površinama napada koje se pomeraju. Pametno je i da ponovo procenite rizik posle velikih događaja kao što su spajanja, bezbednosni incidenti ili regulatorna ažuriranja.

Da biste ostali ispred novih pretnji i ugradili kibernetičku bezbednost u ukupne poslovne odluke, ugradite redovnu procenu rizika u oblasti kibernetičke bezbednosti u svoje bezbednosne operacije. Nekoliko rešenja može da vam pomogne da uspostavite efikasan proces. Rešenja za upravljanje bezbednosnim informacijama i događajima (SIEM), kao što je Microsoft Sentinel, pomažu u korelaciji događaja, identifikovanju anomalija i određivanju prioriteta upozorenja uz ugrađenu analitiku i obaveštajne podatke o pretnjama. Rešenja za prošireno otkrivanje i odgovor (XDR) pružaju duboku vidljivost u potencijalne puteve napada kroz krajnje tačke, identitete, e-poštu i aplikacije u oblaku. Kombinovanje SIEM i XDR rešenja u jedno objedinjeno SecOps rešenje pomaže braniteljima da vide rizike kroz čitavu svoju digitalnu imovinu i brže preduzmu koordinisane radnje. Rešenja za veštačku inteligenciju za kibernetičku bezbednost, kao što je Microsoft Security Copilot, tumače signale kako bi istakla uvide i preporučila sledeće korake.