Оценка на ИТ риска: защо е отговорност на ръководството и как да започнете

Повечето ИТ инциденти в малките фирми не са изненада. Неархивиран сървър, обща парола за всички, служител, който кликва на всеки линк. Рисковете са били видими, но никой не ги е подредил и не е решил какво да прави с тях. Точно това е оценката на риска: подреден поглед кое може да спре бизнеса, колко вероятно е и колко ще струва.

Какво е ИТ риск?

Рискът е комбинация от три неща:

• Актив: нещо ценно: клиентски данни, счетоводството, сървърът, производствената линия, репутацията.
• Заплаха: какво може да се случи: криптовирус, фишинг, повреда на диск, грешка на служител, кражба на лаптоп, спиране на тока.
• Уязвимост: слабото място, през което заплахата става реалност: липса на архив, стар софтуер, липса на многофакторна автентикация.

Колкото по-вероятно е събитието и колкото по-голяма е щетата, толкова по-висок е рискът и толкова по-рано трябва да се реагира.

Как се прави оценка на риска стъпка по стъпка

1. Инвентаризация. Кои са важните процеси и данни, на какви системи работят и кой отговаря за тях.
2. Идентифициране на заплахите. За всеки важен актив: какво може да се обърка?
3. Оценка на вероятност и въздействие. Всеки риск получава оценка, например от 1 до 5 за вероятност и за въздействие. Произведението показва приоритета.
4. Решение за всеки риск. Има четири възможности: намаляваме го с мерки, прехвърляме го (застраховка, доставчик), избягваме го (спираме рисковата дейност) или го приемаме съзнателно.
5. План с отговорници и срокове. Без конкретен човек и дата мярката остава пожелание.
6. Преглед поне веднъж годишно и след всяка голяма промяна, например нов офис, нова система или инцидент.

Пример: „Криптовирус криптира файловия сървър.“ Вероятност 4, въздействие 5, общо 20, висок приоритет. Мерки: ежедневен архив извън офиса, тестване на възстановяването, антивирусна защита, обучение срещу фишинг. Отговорник: ИТ доставчикът. Срок: 30 дни.

Защо това е задача на ръководството

Киберсигурността често се възприема като техническа тема, която „ИТ-то ще оправи“. В действителност решенията за риска са бизнес решения:

• Само ръководството може да реши какъв престой е приемлив, кои данни са най-ценни и колко да се инвестира в защита.
• Законът го изисква. С NIS2 и измененията в Закона за киберсигурност ръководството на засегнатите фирми носи лична отговорност за мерките и трябва да преминава обучение. GDPR също изисква подходящи мерки за защита на личните данни.
• Клиентите го изискват. Все повече големи компании проверяват сигурността на доставчиците си, включително малките.
• Бюджетът е реален. Една седмица престой или изтекли клиентски данни струват многократно повече от превенцията.

Защо мерките трябва да се наложат отгоре

Технологията сама не стига, ако хората я заобикалят. Повечето атаки минават през служител: фишинг имейл, слаба парола, изгубено устройство. Правилата работят само когато ръководството ги въведе официално, обясни защо са нужни и ги спазва първо самото то.

Типичните правила, които служителите трябва да спазват:

• Многофакторна автентикация за имейла и всички облачни услуги
• Уникални пароли и мениджър на пароли вместо тефтер или споделени таблици
• Без инсталиране на софтуер без одобрение
• Фирмените данни само във фирмените системи, не в лични имейли или флашки
• Заключване на компютъра при ставане от бюрото
• Проверка по телефон при всяка необичайна молба за плащане или промяна на банкова сметка
• Незабавно съобщаване за подозрителен имейл или изгубено устройство, без страх от наказание
• Достъп само до данните, нужни за работата, и спиране на достъпа в деня на напускане

Добрата политика е кратка и разбираема. Документ от 40 страници, който никой не е чел, не пази никого.

Как помага ИТ доставчикът

Малката фирма рядко има специалист по сигурност. Тук външният ИТ партньор носи реална стойност:

• Ноу-хау и структура. Провеждаме оценката по утвърдени рамки като ISO/IEC 27001, CIS Controls и NIST Cybersecurity Framework, адаптирани за размера на фирмата.
• Опит от други клиенти. Виждаме какви атаки и грешки се случват на други фирми в същия отрасъл и какви мерки са проработили. Без да споделяме чужди данни, пренасяме доказани практики, например процеса за назначавае и напускане на служители, правилата за отдалечен достъп или проверката на архивите.
• Готови шаблони. Политика за приемлива употреба, политика за пароли, план за реакция при инцидент, план за непрекъсваемост.
• Обучение и проверка. Обучаваме екипа и провеждаме фишинг симулации, които показват реалното ниво на внимание. Вижте и казусите Фишинг атака и Класическа хакерска атака.
• Внедряване на техническите мерки. Архивиране, защита на устройствата и имейла, сегментиране на мрежата, контрол на достъпа.
• Редовен преглед. Чрез технологичния бизнес преглед ръководството получава ясен отчет: къде сме, какво е подобрено и какво предстои.

Откъде да започнете

Не е нужно да се започва с голям проект. Първата крачка е една среща с ръководството и кратък преглед на ИТ средата. Още след нея имате списък с най-важните 5 до 10 риска и конкретни мерки за всеки.

Свържете се с нас чрез страницата Контакти. Ще Ви помогнем да направите първата оценка на риска и да изберете мерките с най-голям ефект. Повече за подхода ни ще намерите на страницата Информационна сигурност.