Trusler, sårbarheder og risiko

Tre ord bliver ofte blandet sammen. Hold dem adskilt, så bliver resten af sikkerhedsarbejdet lettere.

• En trussel er noget, der kan forårsage skade: en kriminel, en ubetænksom fejl, en storm, en strømafbrydelse eller en oversvømmelse.
• En sårbarhed er en svaghed, som en trussel kan udnytte: en dør, der står ulåst, software, der ikke er blevet opdateret, eller en adgangskode skrevet på en seddel.
• Risiko er sandsynligheden for, at en trussel udnytter en svaghed, ganget med hvor alvorligt resultatet ville være.

Et eksempel: En flod er en trussel mod et hus (den kan oversvømme det). At bo nederst i dalen er sårbarheden. Risikoen er sandsynligheden for en oversvømmelse kombineret med, hvor stor skade den ville forårsage. Hvis du flytter møblerne ovenpå, fjerner du ikke floden. Du mindsker noget af konsekvensen.

Vurdering af risiko. Teams giver normalt hver risiko to vurderinger på en enkel skala, f.eks. fra 1 (lav) til 5 (høj):

• Sandsynlighed: Hvor sandsynligt er det, at det sker i løbet af det næste år?
• Stød: Hvor alvorligt ville det være, hvis det skete?

Derefter er risiko = sandsynlighed × stød. Placér hver risiko på et 5 × 5-gitter (risikomatricen), så de mest presserende problemer ligger i øverste højre hjørne. Et opdigtet eksempel:

Disse scorer er vurderinger på en ordinal skala (ordnet, men ikke præcis). En score på 12 er ikke "dobbelt så reel" som en score på 6. Gitteret er en måde at sortere og diskutere på, ikke en måling af en fysisk størrelse. Brug det som et godt udgangspunkt for en samtale, og vær ærlig om dets grænser.

Hvad kan du gøre ved en risiko? Der er fire almindelige svar:

• Reducere den: Tilføj en beskyttelse, der mindsker sandsynligheden, stødet eller begge dele (opdateringer, sikkerhedskopier, låse, oplæring).
• Acceptere den: Beslut, at den er lille nok eller for dyr at løse, og lev med den med åbne øjne.
• Overføre den: Lad en anden bære en del af omkostningen, f.eks. gennem en forsikring eller en betroet tjenesteudbyder.
• Undgå den: Hold op med at gøre det risikable (indsaml ikke data, du ikke har brug for).

En beskyttelse, du tilføjer, kaldes en kontrol. Alle kontroller har en omkostning (penge, tid, bekvemmelighed), så en forsvarers egentlige opgave er at få mest mulig risikoreduktion for budgettet.

Der findes ingen risiko på nul. Selv en computer, der er slukket i et aflåst rum, kan blive stjålet eller gå i stykker. Målet er en risiko, der er forstået og acceptabel, ikke nul.