What is a Cyber Security Risk Assessment?

Fasi di una valutazione del rischio Cyber Security

Il National Institute of Standards and Technology (NIST) pubblica diverse risorse, tra cui le best practice di Cyber Security. Tra questi, un processo in sei fasi per eseguire una valutazione del rischio Cyber Security. Le sei fasi del processo NIST sono le seguenti:

#1. Identificare e documentare le vulnerabilità delle risorse di rete

Il primo passo in un processo di valutazione del rischio di Cyber Security consiste nell'identificare e documentare le vulnerabilità associate agli asset IT di un'organizzazione. Ciò può includere l'inventario di questi asset e l'esecuzione di una valutazione per determinare i rischi potenziali e le vulnerabilità associate a ciascuno di essi.

#2. Identificare e utilizzare le fonti di Cyber threat intelligence

Cyber threat intelligence è un'informazione interna o esterna che può aiutare a identificare i rischi Cyber Security. Molte organizzazioni, tra cui CISA, US-CERT e le aziende del sito Cyber Security, offrono l'accesso ai feed del sito threat intelligence. Inoltre, un'organizzazione può raccogliere il sito threat intelligence interno, basato sui cyberattacchi passati contro l'organizzazione e sulla sua architettura di sicurezza esistente.

#3. Identificare e documentare le minacce interne ed esterne

Con una visione completa dei suoi asset IT e una comprensione delle principali minacce potenziali, un'organizzazione può cercare le minacce sia interne che esterne. Ad esempio, questo può includere la scansione dei sistemi per gli indicatori di compromissione (IoC), la ricerca di comportamenti insoliti nei file di registro e l'audit dei file di configurazione per le impostazioni non sicure o le modifiche non autorizzate.

#4. Identificare i potenziali impatti della missione

I diversi rischi di Cyber Security hanno impatti potenziali diversi sull'organizzazione. Per esempio, un'infezione da ransomware sul database aziendale ha un impatto maggiore rispetto a un attacco simile contro la workstation di un singolo utente. L'identificazione degli impatti di una minaccia informatica sull'organizzazione è essenziale per quantificare il rischio che essa comporta.

#5. Utilizzare le minacce, le vulnerabilità, le probabilità e gli impatti per determinare il rischio.

A questo punto della valutazione, un'organizzazione ha una chiara comprensione delle varie minacce e vulnerabilità che deve affrontare e dell'impatto potenziale di ciascuna. Può anche determinare la probabilità di ogni tipo di attacco utilizzando il sito web threat intelligence. Sulla base di queste informazioni, è possibile quantificare il rischio in base alla combinazione di probabilità e impatto di ogni singola minaccia,

#6. Identificare e dare priorità alle risposte ai rischi

Dopo aver quantificato il rischio di ogni minaccia e vulnerabilità, un'organizzazione può stilare un elenco prioritario di questi problemi. Queste informazioni possono essere utilizzate per informare gli sforzi di bonifica, per garantire che i rischi principali siano affrontati il più rapidamente possibile e per massimizzare il ROI degli sforzi di bonifica.

Come la valutazione dei rischi di Cyber Security avvantaggia le organizzazioni

Una valutazione del rischio Cyber Security fornisce una valutazione delle difese di un'organizzazione contro le minacce informatiche. Alcuni dei modi in cui questa valutazione può essere utile all'organizzazione includono:

• vulnerabilità Rimedio: Il risultato della valutazione del rischio informatico è un elenco di vulnerabilità prioritarie che l'organizzazione può affrontare per migliorare le sue difese informatiche.
• Valutazione della sicurezza: La valutazione del rischio informatico fornisce all'organizzazione una visione di quali difese stanno funzionando e quali richiedono un miglioramento.
• Cyber Security ROI: Una valutazione del rischio di Cyber Security può aiutare a dimostrare i ritorni sugli investimenti di Cyber Security in termini di riduzione del rischio di cyberattacchi per l'organizzazione.
• Conformità normativa: Alcune normative richiedono valutazioni regolari della sicurezza per garantire che un'organizzazione stia proteggendo adeguatamente i dati sensibili. Anche se non è richiesta una valutazione, può essere un esercizio utile per prepararsi a un audit di Conformità.
• Copertura assicurativa: L'aumento del rischio Cyber Security ha reso l'assicurazione Cyber Security più costosa e difficile da acquisire. Una valutazione positiva del rischio informatico può aiutare un'organizzazione a migliorare le possibilità di ottenere una polizza o a ridurre il costo di quella esistente.