Uhat, haavoittuvuudet ja riskit

Kolme sanaa menevät usein sekaisin. Pidä ne erillään, niin muu tietoturva on helpompi ymmärtää.

• Uhka on jokin, joka voisi aiheuttaa vahinkoa: rikollinen, huolimaton virhe, myrsky, sähkökatko tai tulva.
• Haavoittuvuus on heikkous, jota uhka voisi hyödyntää: lukitsematta jätetty ovi, päivittämätön ohjelmisto tai lapulle kirjoitettu salasana.
• Riski on todennäköisyys sille, että uhka hyödyntää heikkoutta, kerrottuna seurauksen vakavuudella.

Esimerkki: Joki on talolle uhka, koska se voi aiheuttaa tulvan. Talon sijainti laakson pohjalla on haavoittuvuus. Riski muodostuu tulvan todennäköisyydestä ja siitä, kuinka paljon vahinkoa se aiheuttaisi. Huonekalujen siirtäminen yläkertaan ei poista jokea. Se pienentää osaa vaikutuksesta.

Riskin arviointi. Tiimit antavat yleensä jokaiselle riskille kaksi arvosanaa yksinkertaisella asteikolla, esimerkiksi 1 (matala)–5 (korkea):

• Todennäköisyys: kuinka todennäköisesti tämä tapahtuu seuraavan vuoden aikana?
• Vaikutus: kuinka vakavaa se olisi, jos niin tapahtuisi?

Sitten riski = todennäköisyys × vaikutus. Sijoita jokainen riski 5 × 5 -ruudukkoon (riskimatriisiin), jonka oikeassa yläkulmassa ovat kiireellisimmät ongelmasi. Kuvitteellinen esimerkki:

Nämä pistemäärät ovat järjestysasteikolla tehtyjä arvioita (ne ovat järjestyksessä, mutta eivät tarkkoja). Pistemäärä 12 ei ole "kaksi kertaa todellisempi" kuin 6. Ruudukko on tapa järjestää ja keskustella, ei fyysisen suureen mittaus. Käytä sitä hyvänä keskustelunavauksena ja ole rehellinen sen rajoista.

Mitä voit tehdä riskille? Vakiovastauksia on neljä:

• Pienennä sitä: lisää suojauksen, joka pienentää todennäköisyyttä, vaikutusta tai molempia (päivitykset, varmuuskopiot, lukot, koulutus).
• Hyväksy se: päätä, että riski on tarpeeksi pieni tai sen korjaaminen liian kallista, ja elä sen kanssa tietoisesti.
• Siirrä se: anna jonkun muun kantaa osa kustannuksista esimerkiksi vakuutuksen tai luotettavan palveluntarjoajan avulla.
• Vältä sitä: lopeta riskialttiin asian tekeminen (älä kerää tietoja, joita et tarvitse).

Lisäämäsi suojaus on nimeltään hallintakeino. Jokaisella hallintakeinolla on kustannus (raha, aika, helppokäyttöisyys), joten puolustajan todellinen tehtävä on saada budjetilla mahdollisimman suuri riskin pienennys.

Nollariskiä ei ole olemassa. Jopa lukitussa huoneessa sammutettu tietokone voidaan varastaa tai se voi rikkoutua. Tavoitteena on riski, joka on ymmärretty ja hyväksyttävä, ei nolla.