Analýza kybernetické bezpečnosti #3: Identifikace hrozeb a zranitelností

15. 4. 2019

2.69k

V minulém díle našeho seriálu jsme zjistili, co a proč chceme chránit. V odborné řeči jsme začali evidovat naše aktiva.
Nyní je důležité odhalit, před čím budeme aktiva chránit, aby nedošlo k jejich narušení.
Zaměříme se tedy na identifikaci hrozeb a zranitelností.

Hrozba

Výkladový slovník kybernetické bezpečnosti chápe hrozbu jako “potenciální příčinu nechtěného incidentu,
jehož výsledkem může být poškození systému nebo organizace”. Hrozba je tedy původce veskrze negativní události,
které můžou nastat. Hrozby se dají rozdělit několika způsoby – například podle toho, na jaký druh aktiva působí
nebo podle motivace útočníka či podle původu. Více o dělení hrozeb najdete v textu: Před čím chránit? .

Vyhláška kybernetické bezpečnosti vyjmenovává mimo jiné následující hrozby:

porušení bezpečnostní politiky, provedení neoprávněných činností, zneužití oprávnění ze strany uživatelů a administrátorů
škodlivý kód (například viry, spyware, trojské koně)
narušení fyzické bezpečnosti
přerušení poskytování služeb elektronických komunikací nebo dodávek elektrické energie
pochybení ze strany zaměstnanců
nedostatek zaměstnanců s potřebnou odbornou úrovní
cílený kybernetický útok pomocí sociálního inženýrství, použití špionážních technik
napadení elektronické komunikace (odposlech, modifikace)

V rámci analýzy kybernetické bezpečnosti přiřazujeme konkrétnímu aktivu výčet možných hrozeb. Zpravidla se u jednoho
aktiva nachází více než jedna hrozba. Nicméně přiřazením hrozby k aktivu to nekončí. U každé hrozby musíme
ještě ohodnotit její pravděpodobnost. Tedy kdy, se může hrozba na daném aktivu projevit. Pro hodnocení hrozeb
doporučujeme využít čtyřstupňovou klasifikaci (nízká – kritická), kterou najdete i v nástroji CSA.

Zranitelnosti

Zranitelností se rozumí slabé místo aktiva nebo slabé místo bezpečnostního opatření, které může být zneužito
jednou nebo více hrozbami. Zranitelnost se tedy rovná slabině, kvůli které se hrozba stane realitou.

Ve vyhlášce kybernetické bezpečnosti najdete například následující zranitelnosti:

zastaralost informačního a komunikačního systému
nedostatečné bezpečnostní povědomí uživatelů a administrátorů
nedostatečné monitorování činnosti uživatelů a administrátorů a neschopnost odhalit jejich nevhodné nebo závadné způsoby chování
nedostatečná ochrana aktiv
nevhodná bezpečnostní architektura
nedostatečná míra nezávislé kontroly

Stejně jako u hrozeb, musíte i v tomto případě přiřadit aktivu jeho zranitelnosti a ohodnotit je z hlediska pravděpodobnosti.

Komplexnost

Hodnocení zranitelností a hrozeb jednotlivých aktiv rozhodně nepodceňujte. Hrozby a zranitelnosti představují dvě ze tří
elementárních částic pro výpočet celkového rizika aktiva. Pokud špatně analyzujete hrozby a rizika, bude výsledná analýza chybná.
Tím pádem neodstraníte nedostatky systému, které mohou vést k jeho napadení. Celá analýza vám pak bude k ničemu.

Práci na analýze kybernetické bezpečnosti si můžete výrazně ulehčit použitím nástroje CSA. Pokud si netroufáte vypracovat
analýzu samostatně, obraťte se na nás. Disponujeme týmem zkušených analytiků, kteří vám rádi pomohou.