Tehditler, güvenlik açıkları ve risk

Üç kelime sıklıkla birbirine karıştırılır. Bunları birbirinden ayırırsan güvenliğin geri kalanı kolaylaşır.

• Tehdit, zarara yol açabilecek bir şeydir: bir suçlu, dikkatsizce yapılmış bir hata, fırtına, bir güç kesintisi veya sel.
• Güvenlik açığı, bir tehdidin kullanabileceği bir zayıflıktır: kilitlenmeden bırakılmış bir kapı, güncellenmemiş bir yazılım veya bir not kâğıdına yazılmış parola.
• Risk, bir tehdidin bir zayıflığı kullanma olasılığının, sonucun ne kadar kötü olacağıyla çarpılmasıdır.

Bir örnek verelim. Bir nehir, bir ev için tehdittir (evi su basabilir). Vadinin en altında yaşamak güvenlik açığıdır. Risk, sel olasılığıyla vereceği zararın ne kadar olacağının birlikte değerlendirilmesidir. Mobilyaları üst kata taşımak nehri ortadan kaldırmaz. Çarpışmanın bir kısmını ortadan kaldırır.

Risk puanlama. Ekipler genellikle her riske basit bir ölçekte, örneğin 1 (düşük) ile 5 (yüksek) arasında iki puan verir:

• Olasılık: Önümüzdeki yıl gerçekleşme olasılığı nedir?
• Etki: Gerçekleşirse ne kadar kötü olur?

Sonra risk = olasılık × etki. Her riski bir 5 × 5 ızgaraya (risk matrisi) yerleştirin; sağ üst köşe en acil sorunlarınızı gösterir. Uydurma bir örnek:

Bu puanlar sıralı bir ölçekteki değerlendirmelerdir (sıralıdır, ancak kesin değildir). 12 puan, 6 puandan "iki kat daha gerçek" değildir. Izgara, sıralama ve tartışma yöntemidir; fiziksel bir büyüklüğün ölçümü değildir. Izgarayı iyi bir konuşma başlatıcı olarak kullanın ve limitleri konusunda dürüst olun.

Bir risk hakkında ne yapabilirsiniz? Dört standart yanıt vardır:

• Azaltmak: Olasılığı, etkiyi veya her ikisini azaltan bir korunma eklemek (güncellemeler, yedeklemeler, kilitler, eğitim).
• Kabul etmek: Bunun yeterince küçük olduğuna veya düzeltmenin çok pahalı olduğuna karar vermek ve bunu bilerek kabul etmek.
• Devretmek: Örneğin sigorta veya güvenilir bir hizmet sağlayıcı aracılığıyla maliyetin bir kısmını başkasının üstlenmesini sağlamak.
• Kaçınmak: Riskli şeyi yapmayı bırakmak (ihtiyacınız olmayan verileri toplamayın).

Eklediğiniz korunmaya kontrol denir. Her kontrolün bir maliyeti vardır (para, zaman, kolaylık); bu yüzden savunma yapan kişinin asıl görevi bütçeyle riski en çok azaltmayı sağlamaktır.

Sıfır risk diye bir şey yoktur. Kilitli bir odada kapalı duran bir bilgisayar bile çalınabilir veya bozulabilir. Amaç sıfır risk değil, anlaşılmış ve kabul edilebilir bir risktir.