Как управлять рисками
~ 20 минут
В атаке хакеров самое опасное — это возможные последствия. В сфере информационной безопасности их принято называть рисками. Есть один очень показательный пример, который демонстрирует, что риски нельзя недооценивать. В 2018 году компания Marriott заявила о масштабной утечке данных, которая затронула почти 500 миллионов клиентов. В ходе расследования выяснилось, что брешь в безопасности находилась не в собственных информационных системах компании, а в системах Starwood, группы отелей, которую Marriott приобрела за четыре года до инцидента. Специалисты считают, что именно слияние компаний сделало атаку возможной и подставило под удар Marriott. В этом случае можно утверждать, что в процессе слияния компании не оценили риски безопасности в полном объёме.
В этом уроке вы познакомитесь с понятием «риски». Разберём, как оценивать риски — какие подходы бывают и какой из них выбрать.
Что такое риски
В прошлом уроке вы познакомились с понятиями «угроза» и «уязвимость». Напомним: угроза — это возможное негативное воздействие на систему, а уязвимость — это конкретный недостаток в безопасности информационной системы, который делает воздействие возможным.
Риск тесно связан с этими понятиями.
✏️ Риск — это сочетание вероятности эксплуатации уязвимости и последствий этого события.
Эксплуатация уязвимости означает, что злоумышленник нашёл уязвимость и использует её для атаки на систему. У атак бывают разные последствия. Обычно это нарушение функций, снижение качества данных, потеря или кража данных.
Не всегда просто осознать, как именно смежные понятия связаны между собой. Чтобы разобраться, на основе определения риска составим формулу, которая позволит посчитать величину риска для безопасности системы. Получится так:
Обратите внимание: вероятность события не равна самому риску. Это один из факторов, который влияет на величину риска. По сути, вероятность события — это вероятность того, что злоумышленник воспользуется определённой уязвимостью и это приведёт к негативным последствиям.
Поэтому, чтобы оценить риск, нужно сначала определить вероятность того, что злоумышленники действительно смогут эксплуатировать уязвимость, а затем умножить эту вероятность на размер возможного ущерба.
Теперь нужно понять, как посчитать вероятность события. Её находят по такой формуле:
Здесь:
- Вероятность угрозы — это частота или вероятность, с которой злоумышленник может попытаться совершить атаку.
- Величина уязвимости — это вероятность того, что при попытке эксплуатировать уязвимость атака будет успешной. Она определяет, насколько легко найти и использовать уязвимость. То есть — насколько большая «дыра» в безопасности системы.
Теперь вероятность события уже не выглядит как нечто абстрактное. Этот параметр можно измерить. Попробуем упростить первую формулу: подставим туда вероятность угрозы и величину уязвимости вместо вероятности события. Получится так:
💡 Из этого следует, что величина риска равна нулю, когда нет угрозы, нет уязвимости или нет ущерба.
В реальности, как вы уже знаете, команда проекта не всегда может повлиять на наличие угрозы. Устранить ущерб от атаки компания тоже не может: угроза потому и называется угрозой, что приводит к потерям, а их размер определяют действия злоумышленников. Поэтому самый доступный способ для минимизации риска — это снижение количества уязвимостей.
Типы рисков
С точки зрения архитектуры важно различать два типа рисков:
- Прямые риски — это риски, которые приводят к негативным последствиям, прямому ущербу для работы информационных систем и компании.
- Косвенные риски — также приводят к негативным последствиям, но ущерб от них косвенный. Например, недополученная прибыль, потеря деловой репутации, дополнительные расходы.
Разберём это на примере. Допустим, маркетплейс недавно запустил акцию: за активность в приложении пользователи могут получить промокоды. Ими можно оплатить полную стоимость заказа.
На стороне приложения к акции подготовились так: разработчик добавил сервис для генерации промокодов и развернул его на порте
9000 того же сервера, что и бэкенд приложения. Извне к сервису пользователь обратиться не может. Доступ есть только у разработчиков внутри компании и у бэкенда приложения.Но тут злоумышленник нашёл брешь — уязвимость SSRF. Это значит, что он может обратиться к серверу напрямую, в обход фронтенд-части приложения. Используя уязвимость, злоумышленник сгенерировал себе сотню промокодов на общую сумму 500 000 рублей. На них он тут же купил кучу товаров.
Прямой риск здесь — это финансовые потери. Уязвимость стоила компании полмиллиона. Маркетплейсу придётся компенсировать стоимость товаров продавцам, иначе история о взломе превратится в популярную новость недели.
К косвенным рискам здесь относятся недополученная прибыль и дополнительные расходы:
- Недополученная прибыль. Чтобы устранить уязвимость, маркетплейсу пришлось приостановить работу сайта на час. Всё это время пользователи не могли покупать товары.
- Дополнительные расходы. Компания наняла специалиста по информационной безопасности и приостановила работу над новой фичей, чтобы дать разработчикам время на исправление проблемы.
Если бы в ходе атаки злоумышленник нарушил работу сайта, это был бы пример прямого риска. А если бы информация о взломе достигла СМИ, репутация компании ухудшилась бы. Это уже пример косвенного риска.
Теперь расскажем, как анализировать риски.
Как анализировать риски
Здесь необходимо сделать оговорку: если в вашей компании есть специалист по информационной безопасности, то анализ рисков — это его сфера ответственности. На практике не всегда у приложений есть развитая система безопасности и команда для её развития. Если приложение на начальных стадиях разработки или проект маленький со скромным бюджетом, то может возникнуть ситуация, когда эксперт по архитектуре приложения — единственный человек, который может усилить его безопасность. Мы постараемся подготовить вас к такой ситуации. Чтобы в случае, если анализ рисков ляжет на ваши плечи, у вас были нужные инструменты под рукой.
Но даже если такой сценарий обойдёт вас стороной, всё равно полезно понимать, как происходит анализ рисков. В работе вы будете взаимодействовать со специалистами по безопасности. Понимание специфики их работы поможет вам лучше учесть их требования и соблюдать их.
Итак, процесс анализа рисков обычно состоит из семи этапов.
Первый этап анализа — это идентификация активов ландшафта. Напомним, что активы — это все элементы информационной системы, которые имеют ценность и могут подвергаться рискам. Это могут быть данные, оборудование, сотрудники, ПО или даже бизнес-процессы. Выявление активов — это также первый шаг для оценки угроз.
На пятом этапе анализа нужно оценить вероятности реализации угроз. Здесь может возникнуть вопрос: почему мы говорим про угрозы, а не про уязвимости. Объясняем: когда мы оцениваем вероятность реализации угрозы, то учитываем не только уязвимости, но и другие факторы. Например, активность злоумышленников, сложность эксплуатации уязвимости, наличие защитных механизмов и так далее. Например, даже при наличии уязвимости вероятность реализации угрозы может быть низкой, если есть эффективная защита.
Чтобы оценить вероятность реализации угроз, нужно использовать методики анализа рисков. Сейчас разберём, какие есть подходы и когда какой применять.
Подходы к анализу рисков
Всего есть три подхода к анализу рисков: качественный анализ, количественный и комбинированный.
Качественный анализ рисков
Качественный подход предполагает, что компания привлекает экспертов для оценки рисков.
Для качественного анализа нужно привлекать несколько экспертов. Это поможет снизить градус субъективности. В идеале эксперты должны представлять разные области: IT-безопасность, бизнес-процессы, юридические и финансовые аспекты. Так оценка получится более взвешенной и многогранной.
Основные методы качественного анализа — это:
- использование шкалы оценок или матрицы рисков,
- анализ сценариев, которые моделируют разные угрозы и их последствия.
Остановимся на первом методе. Шкалы оценок в качественном анализе рисков используют, чтобы определить вероятность риска и его величину. Чаще всего применяют простые шкалы: числовые (например, от 1 до 5) или такие шкалы, как «низкий-средний-высокий», а для уровня воздействия — «незначительный-значительный-критический».
Обычно шкалы для коррелируемых величин разрабатывают так, чтобы одна оценка на одной шкале однозначно соответствовала определённой оценке на другой шкале. Например, низкая вероятность риска всегда будет связана с минимальным уровнем воздействия. Такой подход позволяет стандартизировать процесс принятия решений по общей оценке и ускорить его.
Однако правильнее использовать шкалы с разным количеством элементов. Это устраняет однозначное соответствие между величинами и помогает принимать решение более осознанно в каждом конкретном случае. Например, шкала вероятности может иметь 3 уровня, а шкала воздействия — 4. В таком случае эксперты вынуждены более тщательно обдумывать свои решения.
Качественный подход полезен, когда вам нужна быстрая оценка. Но у него есть недостаток: в этом случае приходится полагаться на субъективное мнение экспертов.
✅ Когда использовать качественный анализ
Этот подход стоит использовать, когда:
- У вас недостаточно данных для проведения количественного анализа. Например, организация сталкивается с новыми или редкими угрозами, о которых пока мало информации.
- Вам необходимо быстро оценить риски и принять решение немедленно. Например, при планировании экстренных мер безопасности из-за новой уязвимости.
Обычно качественный анализ применяют как часть комбинированного подхода для оценки рисков в сложных проектах, где количественную оценку рисков использовать сложно. В этом случае субъективные оценки экспертов помогают быстро определить приоритетные направления работы, для которых стоит использовать количественный подход.
❌ В каких случаях качественный анализ малоэффективен
- Если у вас крупная организация с обширной инфраструктурой и множеством разнообразных активов. Качественный анализ может оказаться слишком поверхностным и не учитывать все аспекты.
- Когда требуется финансовое обоснование, чтобы определить объём инвестиций в меры безопасности. Качественный анализ не даст математически обоснованных числовых метрик. Например, он не позволит дать точную оценку по ожидаемым финансовым убыткам.
- У вас мало или, наоборот, слишком много экспертов, чьё мнение важно учесть. Для качественного анализа обычно требуется группа от 3 до 10 экспертов. Если экспертов слишком мало, это может привести к ещё большей субъективности. Но если их слишком много, это усложнит согласование результатов.
Для опроса экспертов и анализа их оценок по каждому риску можно использовать такой шаблон:
Эксперты должны заполнить колонки «Вероятность», «Воздействие», «Общая оценка» и «Меры по снижению риска». Вероятность и воздействие оцениваются по принятой шкале, но желательно, чтобы эти шкалы оценок были разными, потому что зависимость между ними не всегда прямая. Общая оценка определяется как сочетание вероятности и воздействия.
Количественный анализ
Количественный анализ точнее, чем качественный. Он основывается на статистических данных и математических методах.
Есть три основных набора методов количественного анализа:
Начнём с количественных показателей рисков. Основных показателей четыре:
- ALE, или Annual Loss Expectancy, — ожидаемые годовые потери, то есть «стоимость» всех инцидентов за год.
- SLE, или Single Loss Expectancy, — ожидаемые разовые потери, то есть «стоимость» одного инцидента.
- EF, или Exposure Factor, — фактор открытости перед угрозой, то есть какой процент активов пострадает при успешной реализации угрозы.
- ARO, или Annualized Rate of Occurrence, — среднее количество инцидентов в год в соответствии со статистическими данными.
Чтобы посчитать ожидаемые годовые потери (ALE), нужно умножить ожидаемые разовые потери (SLE) на среднее количество инцидентов в год (ARO).
Посмотрим, как формула работает для реальной ситуации. Допустим, у организации есть сервер, на котором хранятся критически важные данные. В случае его взлома или поломки организация понесёт убытки. Нужно определить ожидаемые годовые потери (ALE). При этом вы знаете:
- SLE — каждый раз, когда сервер выходит из строя, убыток компании составляет 100 000 рублей.
- ARO — по статистике, выход из строя сервера происходит в среднем три раза в год.
Подставили эти данные в формулу: ALE = SLE × ARO= 100 000 * 3 = 300 000.
Ожидаемые годовые убытки компании составят 300 000 рублей.
Этот расчёт может помочь руководству принять решения о дополнительных инвестициях в резервное оборудование, резервные копии или меры безопасности, чтобы снизить потенциальные потери.
Если у вас есть достаточный объём исторических данных об инцидентах, можно применить методы статистического анализа.
Вот несколько популярных методов:
- Анализ тенденций, или Trend Analysis. Метод позволяет выявлять изменения в частоте инцидентов. Это помогает определить, улучшается или ухудшается ситуация со временем.
- Регрессионный анализ. Он позволяет выявлять зависимости между разными факторами и угрозами.
- Анализ временных рядов. Метод позволяет выявлять закономерности в исторических данных. Это можно использовать для оценки вероятности повторения инцидентов и их периодичности.
- Байесовский анализ. Этот метод позволяет обновлять оценки рисков на основе поступающих данных. Он особенно полезен в динамически меняющейся среде, где текущие данные об инцидентах могут существенно влиять на пересмотр рисков.
Для анализа можно использовать Python (Jupyter Notebook) или платные RStudio, Excel, Tableau, SPSS, MATLAB.
Рассмотрим сценарий с применением Python (Jupyter Notebook). В этом случае:
- Анализ тенденций реализуется с помощью библиотек matplotlib seaborn и pandas.
- Для регрессионного анализа используются scikit-learn или statsmodels.
- Анализ временных рядов реализуется с помощью библиотек pandas, statsmodels и prophet.
- Байесовский анализ проводят с использованием pymc3.
Метод Монте-Карло применяют, чтобы смоделировать множество возможных исходов угроз.
✏️ Метод Монте-Карло — это способ оценки рисков с использованием случайных значений для моделирования различных сценариев. Применяя этот метод, можно многократно проводить расчёты, чтобы определить возможные исходы и их вероятности в ситуациях, где много неопределённости.
В информационной безопасности этот метод помогает понять, как разные факторы (например, интенсивность атак или эффективность защиты) могут повлиять на потенциальные потери и вероятность возникновения инцидентов.
Метод особенно полезен, если компания сталкивается со сложными и неопределёнными рисками. Например, к таким рискам относятся:
- Атаки типа «отказ в обслуживании» (DDoS)В этом случае метод Монте-Карло поможет оценить, как часто и насколько серьёзными будут сбои в обслуживании в зависимости от различных сценариев. При моделировании сценариев учитывают, например, интенсивность атак и эффективность защитных мер.
- Утечка данныхМетод поможет оценить вероятность и последствия инцидентов, связанных с намеренной или случайной утечкой данных. Учитываются такие факторы, как уровень доступа сотрудников, количество вовлечённых лиц, эффективность мониторинга и контроля доступа.
- Угроза эксплуатации ещё неизвестных уязвимостейТакие уязвимости ещё называют уязвимостями нулевого дня (Zero-day или 0-Day). Это уязвимости, которые не были выявлены на стадии тестирования угроз безопасности. Они ещё неизвестны разработчикам на момент начала эксплуатации: против них не разработаны защитные механизмы и не выпущены обновления безопасности. Поэтому у специалистов есть 0 дней на устранение такой уязвимости. Метод Монте-Карло позволяет оценить вероятность обнаружения и эксплуатации неизвестных уязвимостей в корпоративной инфраструктуре.
Комбинированный анализ
На практике качественный и количественный анализ часто используют вместе. Тогда качественный анализ применяют для первичной идентификации и классификации рисков. А для наиболее критичных угроз проводят количественный анализ. Такой подход называется комбинированным способом анализа рисков.
Есть разные модели комбинированного анализа. Они по-разному сочетают количественный и качественный анализ, используют разные методики и применяются для разных целей.
Например, вот две популярные модели:
- OCTAVE — Operationally Critical Threat, Asset, and Vulnerability Evaluation. Название переводится как «Оперативно-критическая оценка угроз, активов и уязвимости». Эта модель преимущественно использует качественный анализ. Основной упор делается на выявление и оценку критических активов, угроз и уязвимостей через интервью, обсуждения и внутренний аудит процессов. Количественные методики используют для высокоуровневых оценок последствий и вероятностей угроз, которые отобрали, полагаясь на мнения экспертов.
- FAIR — Factor Analysis of Information Risk. Это факторный анализ информационного риска. Он, напротив, фокусируется на количественном анализе. Основная цель FAIR — дать финансовую оценку рисков, чтобы получить обоснованные числовые значения для принятия решений. Для этого проводят детальные расчёты, включающие вероятности, масштабы потерь и факторы риска. А качественные методы используют для определения контекста и факторов, влияющих на риски.
Если хотите больше узнать про эти модели, рекомендуем изучить:
Приведём ещё несколько способов комбинированного анализа рисков:
Если хотите больше узнать об этих способах, вот полезные материалы:
- Статья о Risk Management Framework (RMF) на официальном сайте NIST. Здесь вы найдёте подробное описание фреймворка и рекомендации по его внедрению.
- Статья об ISO/IEC 27005 на официальном сайте ISO. Здесь описаны рекомендации, которые помогут выполнять требования стандарта и мероприятия по управлению рисками в сфере информационной безопасности.
- База знаний ENISA о фреймворке Risk Management. Есть разные статьи и публикации об особенностях фреймворка и подходах к его внедрению.
- Официальная страница фреймворка COBIT на сайте его создателей — ISANA. Также есть гайдлайны и рекомендации.
- Описание фреймворка Risk IT на сайте его создателей — ISANA. Здесь можно найти ссылки на официальную документацию.
- Официальная страница ISO 31000 на сайте ISO. Можно найти гайдлайны и рекомендации.
Все эти методологии и стандарты предоставляют различные способы комбинированного анализа рисков. Они позволяют организациям адаптировать подход к оценке угроз и определению приоритетов для управления информационной безопасностью.
Итак, вы познакомились с видами угроз и узнали, как анализировать риски. Это основы, которые необходимы, чтобы разработать проект безопасности архитектуры. Этим займёмся в следующем уроке, а здесь осталось только закрепить теорию заданиями и подвести итоги.
Задание 2
Что относится к прямым рискам для информационной системы, а что — к косвенным? Соотнесите каждый риск с типом, к которому он относится.
Задание 3
Перед вами несколько ситуаций. Определите, какой подход к анализу рисков стоит применить для каждой из них — качественный или количественный.
Необходимо провести первичную идентификацию рисков для новой функции сервиса международной сети доставок посылок
Качественный анализ
Первичную оценку рисков рекомендуется проводить с помощью экспертной оценки. Далее уже можно применить количественный анализ для получения более точных данных.
Руководству международной сети отелей необходимо предоставить точные финансовые данные о рисках для безопасности данных
Количественный анализ
Количественные методы позволяют получить точные финансовые данные о рисках. Качественный анализ этого сделать не позволит.
Инженеры разработали MVP сервиса доставки цветов. В ближайшие дни его опубликуют. Руководство поручило вам перед релизом провести оценку рисков
Качественный анализ
В условиях сжатых сроков качественный анализ покажет себя более эффективно. А вот если запуск сервиса пройдёт успешно, уже можно будет провести количественный анализ рисков.
Маркетплейс столкнулся с риском утечки данных из-за редкой уязвимости в новом ПО
Качественный анализ
Уязвимость редкая, поэтому сейчас недостаточно статистических данных для проведения количественного анализа. В этом случае лучше использовать качественный подход к анализу рисков.
На крупном металлургическом предприятии планируется запуск нового сервиса. Критически важно оценить его безопасность и учесть мнение нескольких десятков стейкхолдеров
Количественный анализ
Для качественного анализа рекомендуется опрашивать от 3 до 9 экспертов. Если же у вас больше сотрудников, чьё мнение важно учесть, лучше использовать количественный анализ рисков.
Что почитать об анализе рисков?
- Статья с разбором двенадцати методов моделирования угроз на сайте университета Карнеги-Меллона. Поможет выбрать оптимальный подход к анализу рисков.
- Статья от ISACA «Qualitative and Quantitative Risk Analysis». Здесь разобран количественный анализ рисков, в том числе — использование ALE, SLE и ARO.
Итоги
- В сфере информационной безопасности риск — это сочетание вероятности эксплуатации уязвимости и последствий этого события. Чтобы посчитать величину риска для безопасности системы, нужно вероятность эксплуатации уязвимости умножить на размер ущерба. Вероятность эксплуатации находят как вероятность угрозы, умноженную на величину уязвимости. Таким образом, единственный путь для компании к полному устранению риска — это сокращение числа уязвимостей.
- Важно различать два типа рисков: прямые и косвенные. Прямые риски — это риски, которые приводят к прямому ущербу для работы информационных систем и компании. Например, отказ систем или оборудования, кража денег компании. Косвенные риски — это последствия прямых рисков. Например, недополученная прибыль, потеря деловой репутации, дополнительные расходы.
- Анализ рисков обычно состоит из семи этапов: нужно идентифицировать активы ландшафта, определить их ценность, идентифицировать угрозы активам, идентифицировать уязвимости в системе защиты, оценить вероятность реализации угроз и их влияние на бизнес, оценить стоимость возможных негативных последствий, а также объём возможного финансового ущерба и расходов на минимизацию рисков, затем дать конкретные рекомендации по выявленным рискам.
- Чтобы оценить вероятность реализации угроз, нужно использовать методики анализа рисков. Всего есть три подхода к анализу рисков: качественный анализ, количественный и комбинированный.
- Качественный подход предполагает, что компания привлекает экспертов для оценки рисков. Экспертов должно быть несколько. Желательно — от 3 до 9 человек. Этот подход применяют, когда нужна быстрая оценка.
- Количественный анализ точнее, чем качественный. Он основывается на статистических данных и математических методах. Есть три основных набора методов количественного анализа: количественные показатели рисков (ALE, SLE, EF, ARO), методы статистического анализа и метод Монте-Карло.
- На практике качественный и количественный анализ часто используют вместе. Тогда качественный анализ применяют для первичной идентификации и классификации рисков. А для наиболее критичных угроз проводят количественный анализ. Такой подход называется комбинированным способом анализа рисков.
Следующий урок — про проект безопасности.