Kockázatelemzés, kockázatmenedzsment és módszerei.

Question 1

Miért hasznos a kockázatelemzés?

Answer 1

• Segítséget nyújt a rendszer leggyengébb pontjainak, a legnagyobb kockázatot jelentő fenyegető tényezők azonosítában, melynek ismeretében költséghatékony, kockázatarányos védekezést lehet kialakítani.
• Megfelelően megalapozott kockázatelemzés hiányában nem biztosított, hogy a biztonság fokozására fordított kiadások a leghatékonyabban kerülnek felhasználásra.

Question 2

Kockázatmenedzsment

Answer 2

• A bonyolult IT és üzleti folyamatok összefonódása miatt valódi számokban
(pénzösszegekben) kifejezett kockázatokról, károkról nem beszélhetünk. A kockázatbecslés problémáit ezért az ún. kockázatmenedzsment módszerével szokás kezelni a gyakorlatban, mely a kockázatok értékeit nem határozza meg konkrét értékek formájában, hanem olyan összehasonlításra lehetőséget adó elemzést alkalmaz, ami alapján a legcélszerűbb védelmi intézkedések meghatározhatóak. Az egyes kockázati tényezőket egymáshoz hasonlítva határozzuk meg a gyenge láncszemeket, ahol a legcélszerűbb védekezni.
• Az informatikai rendszereket fenyegető veszélyforrások által jelentett kockázatokat nehéz becsülni, „forintosítani”, de legalább elvi síkon célszerű tisztában lenni a veszélyforrások, illetve károk hatásmechanizmusával.

Question 3

Problémák

Answer 3

• a folyamatosan változó világban a veszélyforrások bekövetkezésének gyakoriságára nincsenek jó statisztikák,
• a ténylegesen okozott károk pénzben kifejezett mértéke sem határozható meg, sokszor még nagyságrendileg sem.

Question 4

A kockázat matematikai definíciója

Answer 4

A kár várható értéke egy adott időszakban.
• R : a kockázat (risk),
• T : a veszélyforrások halmaza (threat),
• pt : egy adott veszélyforrás bekövetkezési valószínűsége (probability), dt : a keletkező kár (damage) mértéke.
• A kockázat= Σpt*dt Problémák:
• A képlet egyetlen paraméterét sem tudjuk jól megbecsülni.
• A veszélyforrások listája sem lehet teljes;
• Sok esetben a bekövetkezési valószínűség becsléséhez nem áll rendelkezésre korábbi statisztikai, tapasztalati érték;
• A keletkezett kár komplex, áttételes hatásmechanizmusának feltérképezése, és a kár pénzben kifejezett meghatározása sem magától értetődő.

Question 5

A károk csoportosítása

Answer 5

A hatás továbbterjedésének megfelelően szokás ún. elsődleges, másodlagos, harmadlagos stb.
kárról beszélni. Rendkívül fontos minden veszélyforrás esetén egyenként elbírálni, hogy az esetlegesen bekövetkező hatás meddig terjedhet ki, mert a másodlagos, harmadlagos károk nagyságrendekkel nagyobbak az elsődleges károknál.

Question 6

Elsődleges kár

Answer 6

Egy egyszerű merevlemez meghibásodása (a merevlemez megjavításának/cseréjének költsége).

Question 7

Másodlagos kár

Answer 7

Nagy mennyiségű adat visszaállíthatatlanul megsemmisül (az elveszett adatok pótlásának költségei).

Question 8

Harmadlagos kár

Answer 8

A visszaállítás ideje alatt fennakadt üzleti folyamatok és még rosszabb esetben az ennek hatására elmaradt üzleti haszon.

Question 9

Pénzügyi kockázatok megbecslése

Answer 9

Számos eltérő módszertan létezik, de egyetlen komoly módszertan sem vállalkozik arra, hogy informatikai rendszerek esetén a kockázat pénzügyi nagyságát közvetlenül megbecsülje, forintosítsa, tekintettel a veszélyek, károk, ill. kockázati csülje, tényezők hatásmechanizmusának összetettségére.

Question 10

A kockázatelemzés lépései

Answer 10

1. lépés: Kategóriák felállítása
   • Bekövetkezési valószínűség kategóriái
   • Kár kategóriák
   • Kockázati kategóriák
   • Kockázati szorzótábla meghatározása
2. lépés: Veszélyforrások listájának összeállítása
3. lépés: Bekövetkezési valószínűségek nagyságrendi meghatározása
4. lépés: Kárértékek nagyságrendi meghatározása
5. lépés: Kockázati tényezők származtatása
6. lépés: Elviselhetetlen kockázatok kezelése
7. lépés: Lehetséges védelmi intézkedések számbavétele és a megfelelő alternatívák kiválasztása

Question 11

Bekövetkezési valószínűség kategóriái

Answer 11

kép3

Question 12

Kár kategóriák

Answer 12

kép4

Question 13

Kockázati kategóriák

Answer 13

kép5

Question 14

Kockázati szorzótábla felállítása

Answer 14

kép6

Question 15

Veszélyforrások listájának összeállítása - Veszélyforrások

Answer 15

A rendszer helyes működését fenyegető események.
• A kockázatelemzési tábla sorait alkotják.
• A veszélyforrások feltárása: tapasztalatok felhasználásával ill. a rendszer elemzéséből felderített hiányosságok számbavételével történhet.
• A lista soha nem lehet teljes, de kellően részletessé tehető.

Question 16

Veszélyforrások listájának összeállítása - A veszélyforrások tipikus csoportjai

Answer 16

• szervezési gyengeségek (szervezési hiányosságokból eredő veszélyek) - Sz1, Sz2 …
• természeti veszélyforrások (pl. tűz, csőtörés, árvíz, villám, földrengés) - T1, T2 …
• fizikai veszélyek (pl. betörés, lopás, rongálás) - F1, F2 …
• logikai fenyegetések (pl. informatikai csalás, hálózati betörés, lehallgatás) - L1, L2 …
• humán veszélyforrások (belső munkatársak gondatlansága, visszaélések) - H1, H2 …

Question 17

Bekövetkezési valószínűségek nagyságrendi becslése A P (probability) oszlop.

Answer 17

• Az addigi tapasztalatok – ha rendelkezésre állnak statisztikai adatok – alapján történik (pl.
villámcsapásra néhány évente, míg vírusfertőzésre akár havonta is számíthatunk).
• A támadási potenciál meghatározásánál figyelembe kell venni a gyengeség kihasználásához szükséges támadói felkészültségi szintet, valamint, hogy mennyire érdemes támadást végrehajtani az adott rendszer ellen.

Question 18

Kárértékek nagyságrendi meghatározása

Answer 18

A károk meghatározása komplex feladat.
• Egy adott rendszerelem sérülése esetén végig kell követni a többi rendszerelemre, alkalmazói rendszerekre és üzleti folyamatokra kifejtett hatását.
• Figyelembe kell venni az okozott kár természetét is, ill., hogy az érintett rendszerelem milyen tulajdonsága sérült (pl. más a hatása egy szigorúan titkos információ kiszivárgásának, mint egy adathordozó megsérüléséből származó adatvesztésnek)

Question 19

Kockázati tényezők származtatása

Answer 19

• A kockázat (R = risk) oszlop kitöltése a kockázati szorzótábla segítségével.
• A szorzótábla sorát a veszélyforrás előfordulási gyakorisága, oszlopát általában a CIA szempontok közül a legnagyobb kárral járó kár-kategóriája határozza meg. Az így meghatározott sor és oszlopnak megfelelő cella tartalmazza a kockázatot.
• Egyes módszertanok megengedik, hogy speciális esetekben a kockázatelemzést végző szakértő megfelelő indokok alapján az így meghatározott elemzést kockázati kategórián korrigáljon, ezzel kezelve le az elnagyolt, kategória alapú becslési folyamat esetleges hibáit.

Question 20

Lehetséges védelmi intézkedések számbavétele

Answer 20

• A védekezési lehetőségeket célszerű külön táblázatban összegyűjteni.
• Az egyes lehetőségekhez fel kell mérni a beruházás és az üzemeltetés nagyságrendi költségeit, valamint az általuk kielégített követelményeket.
• A kockázatelemzési táblázatba csak a javasolt védekezési lehetőségek azonosítói kerülnek.
• A kockázatmenedzselés elve: a megfelelő védelmi intézkedéseket úgy célszerű kiválasztani, hogy az összes elviselhetetlen veszélyforrást megfelelően lefedjük, valamint a maradvány kockázat és a védelmi költségek összege a lehető legkisebb legyen.
• Az egyes védelmi intézkedések közötti választás legfontosabb szempontja az ár és az elért hatás.
• Költségek tekintetében célszerű megkülönböztetni az egyszeri beruházási költségeket az éves fenntartási költségektől.
• Egy adott módszer kiválasztásánál a rövid- és hosszú távú pénzügyi célok jól elkülöníthetőek.
A védelmi intézkedések egymásra is hatással vannak, ezért a veszélyforrásokra gyakorolt hatásaikat már nem szokás kategorikusan meghatározni. A veszélyforrásokra gyakorolt hatást egyszerű módon a valószínűség, ill. a hatás csökkentésének mértékével adhatjuk meg.
A hatás leírásában meg kell adni az intézkedés által befolyásolt veszélyforrás azonosítóját, valamint a befolyásolás módját.

Question 21

Kockázat kezelésének módszerei

Answer 21

A kockázatelemzés eredményeként képet kapunk egy rendszert fenyegető veszélyforrásokról, a bekövetkezési valószínűségeken és becsült kár értékeken keresztül pedig a fellépő kockázat egymáshoz viszonyított nagyságáról. A kockázatmenedzsment célja a kockázat hatékony ccsökkentése, ezáltal a biztonság növelése. Egy kockázati tényező kezelésének eszközei:
o a kockázat csökkentése megfelelő szintű védekezéssel,
o a kockázat áthárítása,
o tudatos kockázatvállalás.

A kockázat csökkentése a bekövetkezési valószínűségek és az okozott károk csökkentésével valósulhat meg (azok szorzatainak összegeként definiáltuk).

Question 22

A kockázatcsökkentés alapmódszerei

Answer 22

• a bekövetkezési valószínűség csökkentése,
• a veszélyforrás kiküszöbölése,
• az okozott kár nagyságának korlátozása, csökkentése

Question 23

PreDeCo kontrollok rendszere

Answer 23

a megfelelő szintű védekezési módszerek tervezésére általánosan elfogadott és a gyakorlatban is rendkívül jól alkalmazható szemlélet.
• Preventive: megelőző, kivédő kontrollok
• Detective: felismerő kontrollok
• Corrective: elhárító, helyreállító kontrollok
A PreDeCo szemlélet szerint egy kontroll cél (control objective) biztosítására tett védelmi intézkedések e három védelmi mechanizmus ötvözéséből tevődnek össze.
A bekövetkezési valószínűség csökkenthető erősebb védelmi mechanizmus (megelőző intézkedések) alkalmazásával. A veszélyforrások kiküszöbölése a bekövetkezési valószínűség közel nullára csökkentése.

Question 24

A keletkező kár nagyságának csökkentése

Answer 24

• Általában csak a kár mértékének korlátozására terjed.
• Az elsődleges károknál, ill. a lehető legalacsonyabb szinten „megakadályozzuk” a kár továbbterjedését mielőbbi felismerésével (detekció) és minél gyorsabb orvoslással (korrekció).
• A károk továbbterjedési mechanizmusának feltérképezése után megfelelő átszervezéssel és a megszüntethető függőségek felszámolásával tovább korlátozható a kár terjedése.
• A különösen nagy kárt okozó veszélyhelyzetek lekezelésére célszerű külön felkészülni, ún.
katasztrófa-elhárítási tervek készítésével, ill. az ilyen helyzetekre számító felkészülési tevékenységek végzésével (pl. biztonsági mentések készítésével).

Question 25

Tudatos kockázatvállalás

Answer 25

• Bizonyos veszélyforrások ellen csak célszerűtlenül nagy költségekkel lehet védekezni. Ilyen esetekben a veszélyforrás által jelentett kockázat vállalható, de ezen kockázatokkal feltétlenül tisztában kell lenni.
• A kockázat vállalására irányuló döntést minden esetben a felső vezetésnek kell meghoznia, illetve jóváhagynia.