A kiberbiztonságiak alapvető törekvése, hogy a várható fenyegetettségek kezelésére készítsék fel az általuk felügyelt informatikai rendszereket. Minden efféle védelem megtervezése a várható kockázatok felmérésével és elemzésével kezdődik.
A nemkívánatos események bekövetkezési valószínűségeinek feltárására hivatott a kockázatelemzés, a kockázatértékelés. Nemcsak a vállalati stratégiaalkotásban játszik szerepet, de a hatékony információbiztonsági rendszer kiépítésének alapja is a részletes kockázatelemzés. Ennek több módszere is van, érdemes körültekintően választani közülük.
„Információbiztonsági rendszerünk működtetésében az ISO 27001 irányelveit követjük, alapvetően az ott definiált kockázatelemzési módszertant követjük amellett, hogy az ISO 27001 minősítéssel még nem rendelkezünk. A kockázatelemzések első inputját különböző belső auditok, valamint hatósági kötelezettségből, például kritikus nemzeti infrastruktúraelemekből adódó vizsgálatok és adatszolgáltatások adják”, fogalmazta meg dr. Zsuffa András, a DIGI CISO-ja.
Fritsch Róbert, a Fővárosi Vízművek informatikai igazgatója arról beszélt, hogy az elemzéseket rendszeres időközönként végzik egy saját maguk által fejlesztett folyamat alapján. „A folyamatnál nagyban támaszkodunk a korábbi évek tapasztalataira és megpróbáljuk az értékelések után finomítani az eljárásokat, esetleg új, korábban még ki nem próbált módszerekkel, technikákkal jobbá tenni a saját folyamatunkat”, mondta el.
Ugyanerre a kérdésre Hagen István, a Bonafarm CISO-ja azt mondta, hogy a kockázatelemzés minden ágazatban, szektorban más és más. „A létfontosságú rendszerelemeknél törvényi előírás és előre definiált, igen bonyolult módszertan alapján kell elvégezni, de akad olyan terület is, ahol elegendő egy leegyszerűsített, saját módszertan használata. Ami mindegyik elemzésnél azonos, az az, hogy a felsorolt kockázatokat pontozni, majd ez alapján priorizálni kell, végül az így kapott eredmény alapján kell elkészíteni egy kockázatarányos intézkedési tervet”, fejtette ki.
Kéz a kézben jár a kockázatelemzés és a hatékony kiberbiztonság
A kockázatelemzés elsősorban a gyenge pontok, fenyegetésében felismerésében nyújt segítséget. De vajon miként születik meg a fenyegetettségek toplistája, vagyis azoknak a fenyegetettségeknek a sorrendje, amelyekkel a leginkább számolni kell az elemzés által lefedett időtávban?
„Az elsődleges inputot ehhez a toplistához nem az információbiztonsági auditok eredménye adja, hanem az internetről, különböző Infosec szervezetek, például CISA, ENISA, BID stb. és szakmai NGO-k által publikált sérülékenységi és kockázati listák top elemei. Szerencsére az auditok megállapításai és ezen listák tartalma között elég nagy a távolság, azonban az igazi veszélyt az utóbbiak jelentik, felkészülni azok megelőzésére kell. A kockázatelemzéshez külső tanácsadókkal dolgozunk, illetve online eszközöket is igénybe veszünk”, mondta dr. Zsuffa András.
Természetesen az Informatikában a globális fenyegetettséget mindig figyelemmel kell kísérni. „Nálunk ezt a feladatot az informatikán belül az IT-üzemeltetéssel karöltve a biztonsági osztály információbiztonsági feladatokkal megbízott kollégájának bevonásával rangsoroljuk. A toplista felállításánál a globális fenyegetettséget mindig rávetítjük a saját infrastruktúránkra, így kapunk reális képet a tényleges kockázatról”, mondta Fritsch Róbert.
„Az eredmény a hatásvizsgálatból esik ki. Ezt mindenképpen úgy végezzük, hogy minden egyes kockázatnál megvizsgáljuk a kockázat bekövetkezésének valószínűségét, majd annak hatását. Azok a kockázatok, amelyek magas bekövetkezési valószínűséggel, magas üzleti hatással bírnak, azok képezik a lista elemeit. A hatásvizsgálatban IT-biztonsági és informatikai szakértők és üzleti döntéshozók is részt vesznek. A menedzsment validációja után áll elő a végleges toplista”, részletezte Hagen István.
A kockázatelemzés felülvizsgálatának gyakorisága
Akárcsak az informatikai költségvetést, úgy a kockázatelemzésben foglaltak érvényességét is fontos rendszeres időközönként felülvizsgálni.
Dr. Zsuffa András szerint „a felülvizsgálat periodicitását az egyes kockázatelemzések típusa határozza meg. A belső Infosec auditokat/kockázatelemzéseket folyamatosan, szakterületenként végezzük, mintegy 18 hónap alatt érünk körbe az egész cégen, és utána újrakezdjük, finomított és több részterületen mélyebb vizsgálatokkal. A külső és belső sérülékenységvizsgálatokat szintén folyamatosan végezzük, bizonyos rendszerek esetében akár heti gyakorisággal, az eredményeket inputként használjuk fel a kockázatelemzésekhez.”.
Hozzátette, hogy ebben a folyamatban, a felülvizsgálatokat a CISO vezeti külső szakértői támogatással. A kockázatelemzések tartalmától függően elsősorban szakmai szervezeti egységek vesznek részt ezeken, de például az információbiztonsági szabályzat betartását minden szervezeti egységben, a vezetőkkel együttműködve ellenőrizik.
A Fővárosi Vízműveknél évente kétszer vizsgálják felül a vállalati kockázatelemzést, amely tartalmazza az információbiztonsági területet is. „Ezen túl az információbiztonsági törvény részletes kockázatelemzést ír elő társaságunk részére, amelyet ezen intervallumokon belül az informatika és a biztonsági osztály együttesen értékel, és meghatározza a további tennivalókat. Fontos szempont, hogy jelentősen csökkentsük az vállalat elleni támadások kockázatát. Nagymértékben támaszkodunk a belső szaktudásra és tapasztalatra, de az elemzéseknél nagy hangsúlyt kapnak az automatizált külső vagy belső vizsgálatok eredményei is. Ezen kívül irányított vizsgálatokat is szoktunk készíteni. Ezeknél a vizsgálatoknál a cél határozza meg az igényelt szaktudást és ezen keresztül a partnert”, foglalta össze Fritsch Róbert. Hagen István szerint a kockázatelemzés szükségességét az alábbiak határozzák meg: iteratív feladat, üzleti folyamatban történő változás, új infrastruktúra bevezetése, audit vagy sérülékenységvizsgálat során feltárt nem megfelelőségek, nem várt események, külső hatások (például háború a szomszéd országban). Egyes területeken törvényi kötelezettség, amely a belső szabályzat szintjén is előírja a kockázatelemzés rendszeres elvégzésének szükségességét.
A kockázatelemzés noha nem oldja meg magában az IT-security problematikáját, a megfelelő kiberbiztonsági rendszer alapját adja, így kétségtelen, hogy mindenki számára hangsúlyos.
Kiss Franciska
