الأسبوع الرابع - ترجمة قطعة القراءة الثانية: إدارة وتقييم المخاطر

تقدم القراءة التالية عرضًا أكثر تفصيلاً لبعض العوامل التي يجب مراعاتها أثناء عملية إدارة المخاطر

مجموعات المهاجمين ودوافعهم

نقدم القائمة الإرشادية أنواع مختلفة من المهاجمين مع سرد دوافعهم المعتادة:

مكونات المخاطر

من أجل إجراء تقييم للمخاطر، يجب على متخصصي أمن المعلومات تقدير المتغيرات التالي، والتي تعتمد على نظام معين تحت حماية واحتياجات المنظمة. التعريفات التالية مأخوذة من ISO 27002:

• الأصول هي أي شيء له قيمة للمؤسسة وعملياتها التجارية واستمراريتها.
• التهديد هو سبب محتمل لحادث قد يؤدي بإلحاق ضرر لنظام أو منظمة.
• الثغرة هو ضعف في الأصل أو مجموعة من الأصول التي يمكن استغلالها من قبل واحد أو أكثر من التهديدات.
• الخطر هو احتمال أن تهديد معين سيستغل نقاط الضعف في أحد الأصول أو مجموعات من الأصول وبالتالي يتسبب في إلحاق الضرر بالمنظمة.
• التأثير هو نتيجة حادث أمن معلومات، ناجم عن تهديد يؤثر على الأصول.

كل تهديد محتمل لأمن المعلومات i من المفترض أن يكون له احتمال مقابل ظاهر، ti. في حال التهديد، فإن نظام المعلومات أو المنظمة الخاضعة للحماية يمكن على أن يتم اختراقه (الثغرة)، vi. يصف هذان العاملان مجتمعان الاحتمالية، pi, فيتم استغلال الثغرة مما يسمح بتحقيق التهديد:

pi = ti * vi

الأثر المقدر (أي النتيجة أو الخسارة) التي تعاني منها المنظمة عندما يتم الاختراق، يرمز إليه ب xi أما بالنسبة للنتائج مختلفة التي يتسبب بها الاختراق؛ فهذا يتعلق بقيمة الأصل الذي هو تحت الحماية. فمن أحد الأساليب هو افتراض أن القيمة الإجمالية للأصل ستفقد في حالة حدوث تهديد. بعد ذلك، يمكننا الجمع بين الاحتمالية والتأثير للحصول على المخاطر بالطريقة التالية:

الخطر =pi * xi= ti * vi * xi.

إن التهديدات خارجة عن سيطرة صانع القرار (أخصائي الأمن). وبالتالي، لا يمكن تغيير بإحتمالية حدوثها. وعلى النقيض من ذلك، تعتبر الثغرات داخلية، مما يعني أنه يمكن تقليل الاحتمالات المرتبطة بها من خلال إصدار قرارات تتعلق بالاستثمار الأمني. في بعض الحالات، لا يستهدف محترفو أمن المعلومات احتمالات الثغرات vi بقراراتهم الاستثمارية، ولكن بدلاً من ذلك يستهدفون احتواء التأثيرات المحتملة xi.

كما وصفنا من خلال الفيديو، يمكن أن يكون تقييم المخاطر كميًا أو نوعيًا. في حالة تقدير القيم المذكورة أعلاه، فإنه سيكون لدينا نهج كمي.

من الأدوات المفيدة المستخدمة في التقييم النوعي تسمى "مصفوفة المخاطر" التي تحدد احتمالية حدوث تهديد مقابل التأثير المتوقع للأعمال المتعلق بتهديد معين. في مثالنا، يتم قياس المخاطر على مقياس من 0 إلى 8. يمكن إجراء تقييم إضافي لمثل هذا التقدير مقابل الرغبة في المخاطرة لدى المنظمة. يمكن أيضًا استخدام تصنيف بسيط يتعلق بالمخاطر لتصنيف المخاطر الناتجة، على سبيل المثال، المخاطر المنخفضة: من 0 إلى 2، المخاطر المتوسطة: من 3 إلى 5، المخاطر المرتفعة: من 6 إلى 8.

مصفوفة المخاطر (مقتبسة من BS ISO / IEC 27005: 2011)