Bedreigingen, kwetsbaarheden en risico

Drie woorden worden vaak door elkaar gehaald. Houd ze uit elkaar en de rest van beveiliging wordt eenvoudiger.

• Een bedreiging is iets dat schade zou kunnen veroorzaken: een crimineel, een onvoorzichtige fout, een storm, een stroomstoring of een overstroming.
• Een kwetsbaarheid is een zwakte die een bedreiging kan gebruiken: een deur die niet op slot zit, software die niet is bijgewerkt of een wachtwoord dat op een briefje staat.
• Risico is de kans dat een bedreiging een zwakte gebruikt, vermenigvuldigd met hoe ernstig het gevolg zou zijn.

Een voorbeeld. Een rivier vormt een bedreiging voor een huis (de rivier kan overstromen). Onderaan in het dal wonen is de kwetsbaarheid. Het risico is hoe waarschijnlijk een overstroming is, gecombineerd met hoeveel schade die zou veroorzaken. Door de meubels naar boven te verplaatsen, verdwijnt de rivier niet. Wel wordt een deel van de impact weggenomen.

Risico's scoren. Teams geven elk risico meestal twee scores op een eenvoudige schaal, bijvoorbeeld van 1 (laag) tot 5 (hoog):

• Waarschijnlijkheid: hoe waarschijnlijk is het dat het in het komende jaar gebeurt?
• Impact: hoe erg zou het zijn als het gebeurt?

Daarna geldt risico = waarschijnlijkheid × impact. Plaats elk risico in een 5 × 5-raster (de risicomatrix); in de rechterbovenhoek staan je meest urgente problemen. Een verzonnen voorbeeld:

Deze scores zijn inschattingen op een ordinale schaal (geordend, maar niet exact). Een score van 12 is niet "twee keer zo echt" als een 6. Het raster is een manier om te ordenen en bespreken, geen meting van een fysieke grootheid. Gebruik het als een goed startpunt voor een gesprek en wees eerlijk over de grenzen ervan.

Wat kun je aan een risico doen? Er zijn vier standaardantwoorden:

• Verminderen: voeg een beveiligingsmaatregel toe die de kans, de impact of beide verlaagt (updates, back-ups, sloten, training).
• Accepteren: besluit dat het risico klein genoeg is, of te duur om op te lossen, en leef er bewust mee.
• Overdragen: laat iemand anders een deel van de kosten dragen, bijvoorbeeld via een verzekering of een betrouwbare dienstverlener.
• Vermijden: stop met het risicovolle gedrag (verzamel geen gegevens die je niet nodig hebt).

Een beveiligingsmaatregel die je toevoegt, heet een control. Elke control heeft kosten (geld, tijd, gemak), dus het echte doel van een verdediger is de grootste risicoreductie binnen het budget bereiken.

Nul risico bestaat niet. Zelfs een uitgeschakelde computer in een afgesloten kamer kan worden gestolen of defect raken. Het doel is een risico dat begrepen en aanvaardbaar is, niet nul.