Siber Güvenlik Riskleri Nasıl Ölçülür: Küçük ve Orta Ölçekli İşletmeler için Kılavuz

Konferans Konseyi'ne göre, siber güvenlik Amerikan CEO'larının önemli bir endişesi.

Ve gerçekten, onları kim suçlayabilir? Kazalar oldu Siber güvenlik Daha yaygın ve şimdi büyük finansal kayıplar içeriyor ve tüketici güveni kaybına yol açıyor.

Güvenlik İstihbaratı'na göre, büyük olasılıkla enfeksiyondan 10000 kayıt daha fazla veri ihlali yaşayacaksınız. Onüçüncü yıllık veri ihlali maliyeti çalışması, yerleşen her kayıt için şirketlerin 148'de ortalama 2018 dolar ödediğini buldu. Ortalama olarak, veri ihlal eden şirketler geçen yıl 3.86 milyon dolara mal oldu.

Elbette, daha büyük veri ihlalleri çok pahalıdır. 10'den az kayıt içeren veri ihlali yaşayan şirketler bu kaza için ortalama 000 milyon dolar ödedi. Bu sayı, 2.2 veya daha fazla kayıt içeren olaylar için üç kattan fazla veya 6.9 milyon $ 'a yükselir.

Büyük ihlaller veya bir milyondan fazla kayıt içerenler için şirketin maliyeti ortalama 39.49 milyon dolar. Raporda ayrıca, 50 milyon kişinin bilgilerini tehdit eden ihlalin sizi 350.44 milyon dolarlık bir faturada tokatlayacağı belirtiliyor.

Bu sadece nakit tarafı. Veri ihlali yaşadığınızda tüketici güvenini kaybetmek bu maliyeti artırabilir. Raporda, mevcut müşterilerinin yüzde birinden daha azını kaybeden şirketin, ihlal nedeniyle 2.8 milyon dolar kaybedeceği belirtiliyor. Yüzde dört, ortalama 6 milyon dolar daha kaybedebilirsiniz.

Siber güvenlik risklerini gerçekten tanımlamanız gerekiyor mu?

Evet.

Boyutu belirlemeniz için en büyük neden Siber Güvenlik Riskleri Daha etkili bilgiler için bir teknoloji bütçesi oluşturmanıza yardımcı olmaktır. Şu anda büyük haber yaptırımlarının uygulandığı tüm büyük veri ihlalleriyle, şirketlerde teknoloji harcamalarının neden arttığını anlıyoruz. Deliliği, tüm risklerle karşılanmadığında paradan tasarruf etmeye yardımcı olarak düşünebilirsiniz.

Ayrıca, Siber güvenlik Amaç, veri ihlali veya saldırı saldırıları gibi olumsuz sonuçlara yol açmamaktır. Bu durum siber güvenlik yatırımlarınızın getirisini görmeyi zorlaştırmaktadır.

BT yatırımlarınızı gerekçelendirin

Öte yandan, siber güvenlik risklerini ölçmek, siber güvenlik alanındaki daha fazla yatırımı ödemenize yardımcı olabilir. bilgi Teknolojisi Eksik olduğu yerlere. Dikkat etmeniz gereken risk türlerini bilmek, yazılım, donanım veya yeni BT personelinin maliyetini haklı çıkarmanıza yardımcı olacaktır.

Güvenliği daha iyi görün

Şirketinizin siber güvenlik risklerinin büyüklüğünü belirlemek size birkaç şeyin tam bir resmini verebilir. Ağınıza bağlı donanımı, yazılımı ve donanımı bileceksiniz.

Bu kaynakların güncellenip güncellenmediğini bileceksiniz. Artık kullanılmayan kaynaklar olup olmadığını bileceksiniz.

Her şeyin nerede olduğunu, hangi dosya türlerinin saklandığını, nerede ve neyi devre dışı bırakmanız veya devre dışı bırakmanız gerektiğini bileceksiniz.

Farklı saldırı türlerini değerlendirin

Siber güvenlik risklerini ölçmeyi zorlaştıran şey, siber güvenliğin çok karmaşık olabileceğidir. Sadece yeni teknolojiler ortaya çıkmaz, aynı zamanda farklı tehditler de vardır.

Örneğin, e-posta yoluyla kimlik avı dolandırıcılığıyla savaşmanıza yardımcı olacak en yeni yazılım, eğitim ve teknikleri alabilirsiniz. Ancak, bu önlemler DDoS veya tedarik zinciri saldırılarına karşı güvende olduğunuz anlamına gelmez.

Siber güvenlik risklerinin büyüklüğünü belirlemek, BT kaynaklarınızı ve bu kaynakları kullanan potansiyel saldırı türlerini bilmenize yardımcı olabilir. Bu bilgi size olası tüm saldırılarla mücadelede yardımcı olabilecek araçlar, deneyimler ve teknikler edinmede yardımcı olacaktır.

Bunu yaparak, siber güvenlik araçlarınızın, politikalarınızın ve kaynaklarınızın verimliliğini artırabilirsiniz. En etkili stratejileri en hassas sistemlere ve bilgilere yönlendirebileceksiniz.

Küçük işletmeler söz konusu olduğunda, şirketinizin diğer bölümlerindeki potansiyel saldırı yeteneklerini gerçekleştirirken, kaynakları gerçekten ihtiyaç duydukları yere tahsis edebileceksiniz.

Diğer nedenler - neden kendi siber güvenlik risklerinizi tanımlamanız gerekir

Siber güvenlik risklerini tahmin etmenin temel nedenleri, işletmenize ve karşılaştığınız internet risklerine hızlıca bakarken BT bütçelerinizi daha verimli kullanabilmenizi sağlamaktır.

Bununla birlikte, bunu yapmanız için başka nedenler de vardır:

• Uzun vadede daha düşük maliyetler. Ziguru kurucu ortağı ve CEO'su Syed Gafferni, “Potansiyel tehditleri belirlediğinizde, karşılaştığınız riskleri proaktif bir şekilde azaltabilir ve güvenlik olaylarını önleyebilirsiniz” diye açıklıyor. "Bu, yüz binlerce veya milyonlarca dolara varan düzenleyici bir para cezasıyla (diğer veri ihlali maliyetlerine ek olarak) karşı karşıya kalacağınız anlamına gelir."
• Gelecekteki değerlendirmeler için bir şablon alabilirsiniz. Siber güvenlik risklerinizi belirlemek tek seferlik bir anlaşma değildir. En son tehditlerden hala yeterince korunmanızı sağlamak için düzenli bir değerlendirme yapmanız gerekecektir. İyi haber şu ki, bunu ilk kez yapmanız gelecekteki değerlendirmeler için bir şablon sağlayacaktır.
• Kendini bilme. Kendinin farkında olmanın yanlış bir tarafı yok. Aslında tüm başarılı şirketler bu özelliği taşır. Siber güvenlik risklerini belirlemek, güçlü ve zayıf yönlerinizin nerede olduğunu görmenize yardımcı olabilir. Böylece, delikleri tıkamak için daha fazla yatırıma ihtiyacınız olan yeri bilirsiniz.
• İletişimi geliştirir. Kuruluşunuzun siber güvenlik risklerini tahmin etmek tek kişilik bir iş değildir. İşletmenizin büyüklüğünden bağımsız olarak farklı çalışanlardan ve departmanlardan gelen girdilere ihtiyacınız olacaktır. Bu nedenle, egzersiz iki çalışan veya departman arasındaki iletişimin başlatılmasına ve kolaylaştırılmasına yardımcı olacaktır.
• Yönetmeliklere uygunluk. Çalıştığınız sektöre bağlı olarak, yasa gereği siber güvenlik risklerini belirlemeniz veya bir Internet risk değerlendirmesi yapmanız gerekebilir. Örneğin, HIPAA hastanelerin ve diğer kapalı kurumların bunu yapmasını gerektirir. Diğer şirketler yerel, eyalet ve federal yasaların yanı sıra PCI-DSS gerekliliklerine de uymak zorundadır.
• Elektronik sigorta alınması. Üç şirketten ikisinin, iki korsanla karşılaşırlarsa veya veri ihlali yaşarlarsa bir mağazayı ya da işletmelerini kapatacaklarını düşündüklerini biliyor muydunuz? Sigorta almak yardımcı olabilir. Gavirnini, “Tıpkı sağlık ve diğer sigorta türleri gibi, çevrimiçi sigortaya sahip olmanız da siber güvenlik sistemlerinin arızalanması durumunda finansal zorluklarla karşılaşmamanızı ve verilerin ihlal edilmesini sağlayacaktır” diye açıklıyor.

Siber güvenlik risklerini nasıl ölçebilirsiniz?

Sadece "Geçen yıl veri ihlalimiz olmadı, bu yüzden siber güvenlik yatırımlarımız çalışıyor" demek yeterli değildir.

İyi haber şu ki, siber güvenlik risklerini tahmin etmenin iç değerlendirmeleri veya üçüncü taraf denetimleri, penetrasyon testleri ve daha fazlası gibi birçok yolu var.

Dahili değerlendirmeler nasıl yapılır

Siber güvenlik risklerinin büyüklüğünü tahmin etmek kolay değildir, ancak bunu yapmak imkansız değildir. Tek yapmanız gereken, risk değerlendirmelerinizi dayandırabileceğiniz güvenilir bir güvenlik çerçevesi seçmektir.

Ulusal Standartlar ve Teknoloji Enstitüsü yönergeleri iyi bir başlangıçtır.

Verileri incelemeye başlayın

Her zaman, şirketinizin ve depolarının topladığı bilgileri net bir şekilde görmenizi sağlayacak bir veri incelemesiyle başlamanız gerekir. Topladığı verileri nasıl belgeleyeceğinizi ve koruyacağınızı da bileceksiniz. Son olarak, verilerinizi ne kadar süreyle sakladığınızı ve artık sizin için yararlı olmadığında ne yaptığınızı bilmelisiniz.

Parametreleri belirleme

Siber güvenlik risklerini belirlemeye başlamadan önce ne elde etmeye çalıştığınızı her zaman bilmelisiniz. Örneğin, değerlendirmenin amacı ve kapsamı açık olmalıdır. Değerlendirmeyi etkileyebilecek öncelikleriniz veya sınırlamalarınız olup olmadığını da bilmelisiniz. Sürece dahil olması gereken kilit kişileri de belirtmelisiniz.

Tehdidin kaynaklarını belirleyin

Potansiyel siber güvenlik açıklarının nereden geleceğini bilmelisiniz. Çalışanlar, içeriden kişiler, bilgisayar korsanları ve diğer kişiler olabilir. Yabancı bir varlık veya diğer harici kuruluşlar olabilir. Veya rakipleriniz sizi gözetliyor olabilir. Ayrıca sistemlerinizin veya web sitenizin normal kullanıcıları gibi düşmanca olmayan tehditleriniz de vardır.

Tehdit olaylarını öğrenin

NIST gibi çeşitli çerçeveler, tehdit olaylarının ne olduğu, nasıl uygulandıkları ve nasıl durdurulacağı hakkında daha kapsamlı bir açıklama verecektir. Örneğin, NIST yetkisiz erişim, dahili tehditler, veri sızıntıları, veri kaybı ve işlemlerinizi kesintiye uğratmak gibi en yaygın tehditlerden bazılarını listeler. Ayrıca sisteminizdeki güvenlik açıklarını ve bunlardan nasıl yararlandığını da bilmelisiniz.

Bu olayların meydana gelme olasılığını belirleyin

Tehditleri tanımladıktan ve diğer bilgileri topladıktan sonra, belirli bir saldırı olasılığını belirleyebilmeniz gerekir.

Olası etki hakkında bilgi edinin

Bilmeniz gereken bir diğer şey, saldırının potansiyel etkisidir.

Tüm bu bilgiler siber güvenlik risklerinizi belirlemenize yardımcı olacaktır. Bu nedenle, siber güvenlik riskiniz, bir olayın meydana gelme olasılığının ve gerçekleşmesi durumunda oluşabilecek olası kayıpların bir karışımıdır.

Siber güvenlik risklerinin büyüklüğünü kim belirlemelidir?

Bu alıştırma söz konusu olduğunda herkes gemide olmalı olsa da, sonuçta işi gerçekten yapacak bir takımın veya bireyin sorumluluğundadır. Sorumlu ekip veya birey, ağ ve dijital altyapının nasıl çalıştığını tam olarak anlamalıdır.

Bilginin bir departmandan diğerine nasıl aktığına ve hatta değerlendirmeler için yararlı olabilecek şeylerin ticari tarafındaki diğer bilgilere karşı keskin bir anlayışa sahip olması gerekir.

Ancak, bunun için çalışanınız yoksa, her zaman dış kaynak kullanabilirsiniz. İnternet risk değerlendirmeleri sağlayabilecek şirketler ve bireyler vardır. Bununla birlikte, tavsiye istemelisiniz. Aynı amaçla bir danışman veya şirket atayan akranlarını ve diğer şirketleri kontrol edebilirsiniz.

Zaten bazı olası satışlar belirledikten sonra, her zaman bir şirketi veya potansiyel danışmanı denetlemelisiniz. Yorumları çevrimiçi olarak kontrol edin veya önceki müşterilerden yorumlar alın. Nasıl doğru çalıştıkları, profesyonellikleri, çalışma ahlakı ve yetkinlikleri hakkında fikir edinebilirsiniz. Kısacası, hangisinin gerçekten harika bir iş yaptığını ve hangisinin sadece raporu doldurmaya çalıştığını ve ardından zor kazanılan gelirinizden sağmasını sağladığını bileceksiniz.

Son olarak, bir teklif isteyin. Bu, fiyat ve maliyetlerden kurtulmanıza yardımcı olacaktır. Bu aynı zamanda yapacakları işin kapsamını bilmenize de yardımcı olacaktır.

Sorunlar ve sınırlamalar

Bu seçeneklerin sınırlamaları ve dezavantajları vardır. Kaynak yoğun. Siber güvenliğinizi mevcut nakit akışınızla gözden geçirmek için BT ekibinizi tahsis edemez veya bir şirket kiralayamayabilirsiniz.

Dahası, bu seçenekler sadece belirli bir süre için iyidir. Virüsten koruma yazılımınız test sırasında virüslü bir e-postayı geri alabilir, ancak bu, gelecekte her şeyi arayabileceğini garanti etmez.

Sızma testleri, iç denetimler ve dış izleyiciler de çok özneldir. Genellikle bir işverenin anlayamayacağı teknik metrikler üretir.

Sonuçta, çoğu küçük işletmenin gördüğü senaryo, bugün bir karar vermeleri gerektiğidir, ancak son çeyrekte yapılan testlere güvenemezler. Başka bir denetime ihtiyaçları var, ancak bir aydan fazla süren ve dürüst olmak gerekirse, son süreç çok pahalıydı. Bu nedenle, siber güvenlik risklerini belirlemek için bu operasyonları üstlenmeyi seçen çoğu küçük işletme için, bu en azından bir sorundur.

Siber güvenlik risklerini belirleme: kolay değil gerekli

Yapmaya değer her şey çok iş alacaktır. İyi haber şu ki siber güvenlik risk tanımlaması bunlardan biri. Doğru zamanda kolaylaşır, ancak bunu ilk kez yaptığınızda çok çaba gerektirir.

Buna değer olmanın faydaları var. BT ve ödeme risklerinizin tam bir görünümünü elde etmenize yardımcı olur ve uzun vadede tasarruf etmenize yardımcı olur. BT güvenlik bütçenizi daha verimli bir şekilde ayırmanıza yardımcı olmak için siber güvenlik risklerini belirlemekten elde ettiğiniz bilgileri kullanabileceğiniz için beklemek zorunda bile değilsiniz.