Руководители нуждаются в измерении рисков и выражении в денежном эквиваленте снижения рисков. Этой цели и посвящен описываемый ниже метод.

Введение

Немного общих слов, для понимания ситуации.

Причины резкого увеличения числа кибератак и почему ожидается дальнейший рост.

Дело в поверхности атаки (attack surface). Под поверхностью атаки понимают совокупность уязвимостей информационной системы. Поверхность атаки раскрывает информацию ненадежным источникам. У дома, банковского счета, семьи, личности имеется поверхность атаки.  Мы пользуемся цифровыми сервисами, а они, в свою очередь, помещают цифровые сведения о нас в зону досягаемости преступников. Перемены произошли быстро и без ведома заинтересованных сторон (организаций, сотрудников, клиентов, граждан).

Отдельно выделим поверхность атаки предприятия, которая включает не только системы и сети в организации, но и воздействие третьих лиц. Речь идет в целом об экосистеме предприятия, в том числе — клиентах, поставщиках и, возможно, государственных учреждениях.

Поверхность атаки, охватывающая граждан, потребителей и государство — глобальная поверхностью атаки: набор рисков кибербезопасности в системах, сетях и организациях. И с этим набором рисков люди сталкиваются постоянно:

• при оплате покупок банковской картой;

• просмотре сайтов в интернете;

• получении медицинских услуг;

• выполняя обязанности на работе.

Эта глобальная поверхность атаки – макроуровневое явление, возникновение которого обусловлено по меньшей мере четырьмя макроуровневыми причинами:

• увеличением числа пользователей по всему миру;

• разнообразием пользователей в мире;

• ростом числа обнаруженных и эксплуатируемых уязвимостей из расчета на каждый визит в сеть каждого пользователя;

• тесным сетевым взаимодействием между организациями, что приводит к риску «каскадного отказа»..

Из этого следует — поверхность атаки и взломы коррелируют. Если это так, рост атак еще впереди, идет движение к глобальному росту поверхности атаки и, следовательно, взломам, которые переплюнут случавшееся до сих пор.

Как ответ на эту тенденцию должность CISO в компании – уже не редкость. А бюджеты, выделяемые на кибербезопасность, растут в два раза быстрее, чем бюджеты сферы информационных технологий в целом.

И как же организации используют новую руководящую должность и приток денег на кибербезопасность… ищут уязвимости, выявляют атаки и устраняют нарушения.

В отношении уязвимостей это привело к появлению «управления уязвимостями», а в плане атак – к «управлению событиями», связанными с безопасностью, которое еще обобщенно называют «управлением безопасностью». Недавно добавилась «разведка угроз» и, соответственно, новое словосочетание «управление угрозами». Все они относятся к сфере тактических действий в области безопасности, в то время как руководству необходимо получить дорожную карту как принимать решения по кибербезопасности, связанные с распределением ограниченных ресурсов для борьбы с такими неопределенными и растущими рисками. О профессиональном чутье здесь не будем писать.

Частый подход

Сегодня используют подход, в котором степень вероятности и уровень воздействия оценивают субъективно по шкале от 1 до 5 (см. Таблицу 1). Идея в том, что чем больше число, тем важнее событие и тем раньше обратить на него внимание.  Различные варианты подсчета и карт риска одобрены и продвигаются в стандартах и руководящих документах несколькими крупными организациями, среди которых Национальный институт стандартов и технологий (National Institute of Standards and Technology, NIST), Международная организация по стандартизации (International Standards Organization, ISO), MITRE.org и сообщество «Открытый проект по обеспечению безопасности веб-приложений» (Open Web Application Security Project, OWASP).

Таблица 1. Матрица риска (карта риска)

Возможно, интуитивно такой подход кажется разумным, однако рост атак в области кибербезопасности сам по себе уже намекает на то, что, возможно, настало время попробовать иной подход.

Изучение исследований, посвященных интуитивным методам, так и методам принятия решений, указывает на следующее:

• Нет доказательств, что типы балльных оценок и методы построения матриц рисков, используемые в кибербезопасности, повышают эффективность суждений.

• Напротив, имеются доказательства, что эти методы вносят искажения и ошибки в процесс оценивания. Тони Кокс – даже утверждает, что эти методы «хуже, чем действия наугад» (исследование Кокса и будут подробно описаны в следующих статьях).

• Мнимая «работа» методов, вероятно — разновидность эффекта плацебо. То есть метод заставляет почувствовать себя лучше, даже если применение не приводит к ощутимому улучшению в оценке рисков (или вовсе увеличивает число ошибок).

• В опубликованных исследованиях огромное количество доказательств эффективности количественных, вероятностных методов.

• К счастью, большинство экспертов по кибербезопасности, похоже, готовы и способны использовать количественные решения. Однако распространенные заблуждения (в том числе неправильные представления о базовой статистике), которых придерживаются часть людей, создают ряд препятствий для внедрения количественных методов.

Новый количественный подход строится на следующих принципах:

• Многие аспекты существующих методов были оценены и признаны непродуктивными. Подобное неприемлемо в масштабах проблем, с которыми сталкивается сфера кибербезопасности.

• В кибербезопасности можно применять тот же количественный язык анализа рисков, что и в других сферах. Существует множество областей, в которых риск огромен, данные минимальны, а участники хаотичны, и для этих областей регулярно строятся модели с помощью традиционных математических методов. Не нужно заново изобретать терминологию или методы, когда они уже есть в других сферах, где также сталкиваются со сложными проблемами анализа рисков.

• Существуют методы, которые уже показали себя результативнее по сравнению с профессиональным чутьем. И это верно даже для используемых методов, основывающихся только на субъективных суждениях экспертов по кибербезопасности.

  Усовершенствованные методы применимы. Об этом известно, поскольку их уже применяли. Каждый из описанных методов применялся в реальных условиях в корпоративной среде. Этими методами пользуются руководители по информационной безопасности (CISO) из самых различных отраслей.

• Описываемые модели можно усовершенствовать с помощью эмпирических данных. Данные доступны как из уже имеющихся, так и новых, только появляющихся источников. Но даже при ограниченных данных математические методы полезнее субъективных суждений. Кроме того, сами методы анализа рисков также измеримы для дальнейшего совершенствования.

Что мы будем изменять

В процессе принятия практических решений следует рассматривать измерения как наблюдения, количественно уменьшающие неопределенность.

Измерения, соответствующие основным стандартам научной достоверности, будут сообщать о результатах с некоторой долей неопределенности, например: «Существует 90 %-ная вероятность того, что атака на систему приведет к сбою в ее работе на период от 1 до 8 часов».

Шеннон предложил математическое определение информации как степени уменьшения неопределенности в сигнале, которую он рассматривал с точки зрения энтропии, устраняемой сигналом. По Шеннону, адресат информации находится в некотором изначальном состоянии неопределенности, иными словами, ему уже что-то известно, а новая информация просто устраняет хотя бы часть неопределенности (т. е. необязательно полностью).

Такая концепция «снижения неопределенности» крайне важна для бизнеса. Продуктивность значимых решений, принимаемых в состоянии неопределенности (например, связанных с утверждением крупных IT-проектов или новых средств контроля безопасности), можно повысить, пусть даже совсем немного, за счет снижения неопределенности. Иногда даже небольшое снижение неопределенности может сберечь миллионы рублей.

Даже после принятия более удобной формулировки понятия «измерение» (как наблюдения, уменьшающего неопределенность) некоторые вещи кажутся неизмеримыми, из-за того что мы просто не понимаем, что имеем в виду, когда впервые задаемся вопросом об их измерении. То есть мы не можем однозначно определить объект измерения. Если кто-то интересуется, как измерить «ущерб репутации», или «угрозу», или «срыв рабочего процесса», то достаточно спросить: «Что вы имеете в виду?» Любопытно, как часто люди затем уточняют термин, так что он сам по себе уже почти отвечает на вопрос об измерении.

Как только становится ясно, что имеется в виду и почему это важно, проблема начинает казаться гораздо более измеримой. Так проводятся так называемые семинары по разъяснению. Они сводятся к тому, что клиенты заявляют конкретный, но изначально двусмысленный предмет, который требуется измерить. А затем им просто задаются вопросы: «Что вы имеете в виду под [указать нужное]?» и «Почему вас это волнует?»

Такой подход применим к широкому спектру проблем измерения, и кибербезопасность не исключение. «Что вы подразумеваете под IT-безопасностью?» В ходе двух или трех семинаров сотрудники дали точное определение: выяснилось, что под IT-безопасностью они понимали такие параметры, как снижение числа проникновений и заражений вирусами. Далее они пояснили, что подобные вещи влияют на министерство через мошенничество, потерю производительности или даже потенциальную юридическую ответственность. Все выявленные в итоге воздействия почти в каждом случае оказались явно измеряемыми. Понятие «безопасность» было расплывчатым, пока его не разложили на компоненты, которые на самом деле хотели изучить.

Цепочка разъяснений

1. Если объект имеет значение, то он выявляем/наблюдаем.

2. Если он выявляем, то его можно обнаружить в каком-то количестве (или диапазоне возможных вариантов количества).

3. Если его можно определить