Özünde, siber güvenlik, bilgisayar sistemlerini, ağları ve verileri hırsızlık, hasar veya yetkisiz erişimden koruma uygulamasıdır. Koruma ihtiyaç duyulduğunda, risk yönetimine ihtiyaç vardır.
BT güvenliğinde risk, teknik altyapı veya kuruluşunuz tarafından teknolojinin kullanımı ile ilgili kayıp veya zarar potansiyelini ifade eder. Bu risk, hem siber tehdidi gerçekleştirme olasılığını hem de potansiyel etkisini kapsamaktadır. Risk hakkında anlaşılacak temel bir fikir, kaçınılmaz olmasıdır. Bununla birlikte, her bir riski azaltmak hem oldukça pahalı hem de kaynak yoğundur.
Bu makale siber risk kabulü için bir rehber sunmaktadır ve sürekli penetrasyon testinin bilinçli risk kabul kararları vermesinde değerli rolünü özetlemektedir.
Risk kabulü, bir kuruluşun potansiyel etkiye göre hangi riskleri kabul edebileceklerine karar verdiği bir stratejidir. CISOS, diğer yönetici karar vericilerle işbirliği içinde, hangi risklerin kuruluş için en büyük tehditleri oluşturduğunu ve hangi risklerin önlenmesi, aktarılması, azaltılması veya kabul edilmesi risklerinin belirlenmesi için en iyi konumlandırılmıştır.
Aslında tanımlamaya değer farklı risk kabulü seviyeleri vardır:
Bu, bilinen bir kırılganlığı veya tehdidi kabul etmek için bilinçli bir karar verdiğinizi, ancak onu düzeltmediğinizi ifade eder. Sonsuza dek bir risk kabul etmek, onu görmezden geldiğiniz anlamına gelmez. Bunun yerine, bu kabul düzeyi, dikkatli bir değerlendirmeden sonra, şirketinizin mevcut operasyonel bağlamında riski tolere edilebilir olarak gördüğünü gösterir.
Örneğin, kritik olmayan bir sistemi etkileyen, sömürü şansı çok düşük olan ve düzeltilmesi için orantısız olarak yüksek bir maliyet gerektiren küçük bir yazılım güvenlik açığını kabul edebilirsiniz.
Bu risk kabulü seviyesi, bir risk gerçekleştirme etkisini veya olasılığını azaltmak için nihayetinde kontrollerin, politikaların veya prosedürlerin uygulanmasına karar vermeyi içerir.
Burada, geçici olarak riski kabul ediyorsunuz, ancak bunun bir yazılım güncellemesi olsun, ister internetten bir sistemi engelleme olsun, hafifletmeyi uygulamak için belirli sayıda gün sonra takip ediyorsunuz.
Risk transferi, bir riskin sorumluluğunu veya yükünü üçüncü tarafa kaydırmayı gerektirir. Genellikle, bu bir siber sigorta poliçesi satın alarak gerçekleşir. Başka bir risk aktarımı yöntemi, BT işlevlerini dış kaynaklardan sağlamak veya üçüncü taraf bulut sağlayıcılarını kullanmaktır.
Risk burada ortadan kalkmadı; Bunun yerine, başka bir işletme riski azaltma görevini üstlenir.
Bu senaryo, operasyonel işlevselliği korumak veya veri ve sistemleri yakın tehditlerden korumak için riski mümkün olan en kısa sürede ortadan kaldırırken geçerlidir. Kritik yazılım güvenlik açıkları genellikle bu risk kovasına girer.
Burada, herhangi bir risk kabulü yoktur, çünkü belirli bir riskin potansiyel sonuçlarını kabul etmeyi reddedersiniz.
Çeşitli risk kabul türleri, her bir tehdidin derhal eylemi gerektirmediği ve her güvenlik açığının anında düzeltilmesi gerekmediği siber güvenliğin nüanslı doğasını örneklendirir.
Dijital manzara sürekli olarak geliştikçe, daha önce kabul edilen riskler konusundaki duruşunuz da gelişmelidir. Tehdit manzaralarının dinamik doğası, değişim karşısında siber esnekliği en üst düzeye çıkarmak için risk kabul kararlarını düzenli olarak tekrar gözden geçirmeyi gerektirir.
Bir risk kabul kararının yeniden değerlendirilmesi gereken durumlar derhal olacak.
Bu tetikleyici olaylar arasında bir veri ihlali deneyimlemesi, daha önce kabul edilen bir riski ortaya çıkaran bir kalem testi, düşünmeden daha ciddi bir kırılganlık olduğunu veya ortamınıza yeni bir sistem, yazılım veya donanım getirilmesi yer alır.
Bu tetiklenen incelemelerin yanı sıra, risk kabul kararlarını periyodik olarak planlanmış bir şekilde yeniden gözden geçirmek de ihtiyatlıdır.
Bugün bir riski kabul etme kararı sizi bu duruşa bağlamaz. Siber manzaranın akısı göz önüne alındığında, sürekli kalem testi uygulamak, risk kabul kararlarında gezinmek için bir pusula görevi görür.
Geleneksel, zaman içinde değerlendirmelerden farklı olarak, sürekli izleme, kuruluşunuzun güvenlik açıkları ve potansiyel sonuçları hakkında gerçek zamanlı olarak anlaşılmasını sağlar.
OutPost24’ün Hizmet Olarak Penetrasyon Testi (PTAAS), web uygulamalarınızı ölçekte güvence altına almak için kapsamlı bir PTAAS çözümüdür.
Bağlamın farkında olan risk skoru ile Outpost24’ün PTAAS çözümü, sürekli bir izleme durumu sağlar. Outpost24, Web uygulamalarını ölçekte güvence altına almak için manuel penetrasyon testinin derinliğini ve hassasiyetini güvenlik açığı taramasıyla birleştirir.
Tüm bulgular, doğrulama ve iyileştirme rehberliği için güvenlik uzmanlarına doğrudan erişim ile hakem incelenmiştir. Bu, kuruluşunuzun bilinçli kararlar almasına ve işinize en yüksek risklere dayanarak iyileştirme çabalarına öncelik vermesine yardımcı olmada önemli bir rol oynamaktadır.
Siber risk değerlendirmesinde çeviklik çok önemlidir. Yeni güvenlik açıkları günlük olarak keşfedilir ve tehdit aktörleri, zayıflıkları farklı şekillerde sömürmek için taktiklerini sürekli olarak rafine ederler.
Yaklaşımınızda çevik olmak, kararları yeniden değerlendirmeye açık olmak, yeni bilgilere uyum sağlamak ve potansiyel tehditlerin önünde kalmada proaktif olmak anlamına gelir.
PTAA'lar hakkında daha fazla bilgi edinin.
Outpost24 tarafından sponsorlu ve yazılmış
Sürekli İzleme ile Uygulama Güvenlik Programınızı Geliştirme
Sürekli Güvenlik: PTAAS, uygulama güvenliği içindeki boşluğu dolduruyor
Moveit hack ve bize uygulama güvenliği hakkında ne öğrettiği
Pahalı araştırmalar artış veri ihlali maliyetlerini artırıyor
Hellokitty fidye yazılımı kaynak kodu hack forumunda sızdı
Kaynak: Bleeping Computer