Utöver styrning och efterlevnad: varför säkerhetsrisken är det som är viktigt

Svampindustrin och myndighetens mandat som styr IT-säkerhet har lett till en mycket reglerad miljö och årliga övergripande brandövningar. Antalet bestämmelser som påverkar genomsnittliga organisationer kan lätt överskrida ett dussin eller mer och växa mer komplicerat med dagen. Detta tvingar de flesta företag att tilldela en överdriven mängd resurser till styrelseformer och efterlevnadsinsatser ovanpå deras långa lista över IT-prioriteringar. Är dessa ansträngningar motiverade? Eller helt enkelt ett krav i rutan som en del av en efterlevnadsstyrd strategi för säkerhet?

Den bittera sanningen är att du kan schemalägga en revision, men du kan inte schemalägga ett cyberattack. Nästan varje dag påminns vi om detta faktum när överträdelser gör nyhetsrubriker. Som ett resultat har många organisationer dragit slutsatsen att för att få insikt i deras riskställning måste de gå utöver enkla bedömningar av efterlevnaden. Som ett resultat tar de hänsyn till hot och sårbarheter, såväl som affärseffekter. Endast en kombination av dessa tre faktorer säkerställer en helhetssyn på risken.

The Fallfall of Compliance

Organisationer som bedriver en checkbox, efterlevnadsstyrd strategi för riskhantering uppnår bara säkerhet vid tidpunkten. Det beror på att ett företags säkerhetsställning är dynamisk och förändras över tid. Detta har bevisats gång på gång.

Nyligen har progressiva organisationer börjat bedriva en mer proaktiv och riskbaserad strategi för säkerhet. Målet i en riskbaserad modell är att maximera effektiviteten i en organisations IT-säkerhetsverksamhet och ge synlighet i risk- och efterlevnadsställning. Det ultimata målet är att fortsätta följa kraven, minska risken och hårdna säkerheten kontinuerligt.

Ett antal faktorer orsakar organisationer att gå över till en riskbaserad modell. Dessa inkluderar, men är inte begränsade till:

• Tillvägagångssätt för cyberlagstiftning (t.ex. lagen om delning och skydd av cyberinformation)
• Övervakande vägledning från kontoret för valutakontrollanten (OCC)

Säkerhet till räddningen?

Det antas vanligt att sårbarhetshantering minimerar risken för ett dataintrång. Men utan att placera sårbarheter i samband med risken som är förknippade med dem, justerar ofta organisationer ofta sina saneringsresurser. Ofta förbiser de de mest kritiska riskerna medan de bara tar upp "låghängande frukt."

Detta är inte bara ett slöseri med pengar, utan det skapar också ett längre möjlighet för hackare att utnyttja kritiska sårbarheter. Det ultimata målet är att förkorta fönsterattackerna måste utnyttja en programvarufel. Därför måste sårbarhetshantering kompletteras med en holistisk, riskbaserad strategi för säkerhet, som beaktar faktorer som hot, tillgänglighet, organisationens efterlevnadshållning och affärseffekter. Om hotet inte kan nå sårbarheten reduceras eller elimineras den tillhörande risken.

Risk som ensanningen

En organisations efterlevnadsställning kan spela en viktig roll i IT-säkerhet genom att identifiera kompenseringskontroller som kan användas för att förhindra hot från att nå sitt mål. Enligt Verizon Data Breach Investigations Report 2013, en analys av de uppgifter som erhölls från brottundersökningar som Verizon och andra organisationer har utfört under föregående år, kunde 97 procent av säkerhetsincidenter undvikas genom enkla eller mellanliggande kontroller. Affärseffekter är dock en avgörande faktor för att fastställa den faktiska risken. Till exempel representerar sårbarheter som hotar kritiska affärstillgångar en mycket högre risk än de som är förknippade med mindre kritiska mål.

Efterlevnadsställning är vanligtvis inte knuten till tillgångarnas affärskritiskitet. Istället tillämpas kompenseringskontroller generiskt och testas i enlighet därmed. Utan en klar förståelse av den affärskritiskhet som en tillgång representerar för en organisation kan en organisation inte prioritera saneringsinsatser. Ett riskdrivet tillvägagångssätt adresserar både säkerhetsställning och affärseffekter för att öka effektiviteten i verksamheten, förbättra bedömningens noggrannhet, minska attackytor och förbättra investeringsbeslut.

Som nämnts tidigare påverkas risken av tre viktiga faktorer: efterlevnadsställning, hot och sårbarheter och affärseffekter. Som ett resultat är det viktigt att sammanställa kritisk intelligens om risk- och efterlevnadsställningar med aktuell, ny och framväxande hotinformation för att beräkna påverkan på affärsverksamheten och prioritera saneringsåtgärder.

Tre element för en helhetssyn på risk

Det finns tre huvudkomponenter för att implementera en riskbaserad strategi för säkerhet:

• Kontinuerlig efterlevnad inkluderar avstämning av tillgångar och automatisering av dataklassificering, anpassning av tekniska kontroller, automatisering av efterlevnadstest, implementering av utvärderingsundersökningar och automatisering av datakonsolidering. Med kontinuerlig efterlevnad kan organisationer minska överlappningen genom att utnyttja en gemensam kontrollram för att öka noggrannheten i datainsamling och dataanalys och minska överflödiga, såväl som manuella, arbetsintensiva insatser med upp till 75 procent.
• Kontinuerlig övervakning innebär en ökad frekvens av datauppsättningar och kräver automatisering av säkerhetsdata genom att aggregera och normalisera data från en mängd olika källor som säkerhetsinformation och händelseshantering (SIEM), tillgångshantering, hotfeeds och sårbarhetsskannrar. I sin tur kan organisationer minska kostnaderna genom att förena lösningar, effektivisera processer, skapa situationsmedvetenhet för att exponera exploater och hot i tid och samla in historiska trenddata som kan hjälpa till att förutsäga säkerhet.
• Avstängd, riskbaserad sanering utnyttjar ämnesexperter inom affärsenheter för att definiera en riskkatalog och risktolerans. Denna process innebär tillgångsklassificering för att definiera affärskritiskitet, kontinuerlig poängsättning för att möjliggöra riskbaserad prioritering och spårning och mätning av sluten loop. Genom att skapa en kontinuerlig granskningsslinga av befintliga tillgångar, människor, processer, potentiella risker och möjliga hot kan organisationer dramatiskt öka den operativa effektiviteten, samtidigt som de förbättrar samarbetet mellan affärs-, säkerhets- och IT-verksamhet. Detta gör det möjligt att mäta och göra konkreta säkerhetsinsatser - som tid till upplösning, investering i personal inom säkerhetsoperationer, inköp av ytterligare säkerhetsverktyg.

Nedersta raden om risk och efterlevnad

Efterlevnadsuppdrag utformades aldrig för att köra IT-säkerhetsbussen. De bör spela en stödjande roll inom en dynamisk säkerhetsram som drivs av riskbedömning, kontinuerlig övervakning och avstängning av sluten krets.