Modello di valutazione del rischio di cybersecurity

Introduzione

Le minacce alla cybersecurity stanno diventando più comuni e sofisticate — e le violazioni sono sempre più costose. Infatti, il costo medio globale di una violazione dei dati ha raggiunto 4,45 milioni di dollari, nel 2023, con un aumento del 15% in soli tre anni.

Le valutazioni regolari del rischio di cybersecurity possono aiutare la tua organizzazione a proteggere i suoi dati — e il suo business. Leggi questa guida per scoprire i benefici delle valutazioni del rischio di cybersecurity, i tipi di valutazioni e i loro componenti principali. Poi scarica i modelli gratuiti per la valutazione del rischio della sicurezza informatica che forniamo per iniziare con le valutazioni per la conformità HIPAA e GDPR.

Comprensione delle valutazioni dei rischi di cybersecurity

Una valutazione del rischio di cybersecurity risk assessment valuta la capacità di un'organizzazione di identificare, difendersi contro e dare priorità alle minacce ai suoi dati e sistemi. La valutazione comporta l'identificazione dei information security risks — minacce che possono potenzialmente sfruttare le vulnerabilità dei tuoi beni.

Ogni organizzazione, indipendentemente dalle dimensioni o dal settore, dovrebbe condurre regolarmente . Le informazioni raccolte possono aiutarti a implementare una politica di sicurezza efficace e ad allocare correttamente le risorse per migliorare la tua sicurezza. Ciò può includere la correzione di vulnerabilità come account utente con privilegi eccessivi e configurazioni errate, nonché il miglioramento delle capacità di rilevamento e risposta alle minacce per garantire una migliore difesa contro attacchi di tipo password guessing, phishing, ransomware e altri. Rafforzando la cybersicurezza, riduci il rischio di perdita di dati, perdite finanziarie, cause legali e danni reputazionali duraturi.

Inoltre, le valutazioni del rischio di cybersecurity sono inestimabili per ottenere e mantenere la conformità con regolamenti come HIPAA e GDPR, così da poter evitare pesanti multe e altre penalità. I modelli forniti nel link sottostante offrono degli schemi per eseguire valutazioni del rischio che aiutano con la conformità a HIPAA e GDPR.

Panoramica del processo di valutazione dei rischi di cybersecurity

Ad alto livello, il processo di valutazione del rischio di cybersecurity include i seguenti passaggi:

1. Individua tutti gli asset di valore nella tua organizzazione che potrebbero essere danneggiati dalle minacce. Esempi includono siti web, server, segreti commerciali e documenti dei partner.
2. Identifica le potenziali conseguenze in caso di danneggiamento di ogni asset, incluse perdite finanziarie, costi legali, perdita di dati e tempo di inattività del sistema.
3. Identificate le minacce e il loro livello. Le minacce sono qualsiasi evento che può causare danni ai vostri beni e alla postura di sicurezza della vostra azienda. Esempi includono guasti di sistema, disastri naturali, azioni umane malevole e errori umani.
4. Identificate vulnerabilità e valutate la probabilità che terze parti le sfruttino. Le vulnerabilità sono debolezze che potrebbero permettere a una terza parte di violare la vostra sicurezza e danneggiare i vostri beni.
5. Valutare i rischi. I rischi sono la probabilità che una data minaccia sfrutti le vulnerabilità dell'ambiente e causi danni a uno o più beni, portando a danni monetari. I livelli di rischio possono essere assegnati a categorie qualitative (come alto, moderato e basso) o a valori numerici. Le organizzazioni più piccole possono optare per un approccio qualitativo, almeno inizialmente, perché è più semplice da eseguire, ma le valutazioni quantitative sono più utili per analisi costi-benefici dettagliate.
6. Crea un piano di gestione dei rischi con i dati raccolti. Ecco un esempio in forma di tabella:

1. Crea una strategia di potenziamento dell'infrastruttura IT per mitigare le vulnerabilità più importanti e ottenere l'approvazione finale dalla direzione.
2. Definire i processi di mitigazione. Questo vi aiuterà a prevenire incidenti di cybersecurity in futuro o, se dovessero verificarsi, a renderli meno dannosi.

Metodi di valutazione del rischio di cybersecurity

Le organizzazioni possono scegliere tra diversi metodi di valutazione del rischio di cybersecurity, tra cui i seguenti:

• Le valutazioni dei rischi generiche seguono un modello e sono utilizzate per una vasta gamma di casi. Solitamente pongono domande generiche per offrire visibilità sui rischi, come "Utilizzate firewall?" e "Utilizzate la crittografia end-to-end?" Questo è un tipo basilare di valutazione dei rischi che dovrebbe essere integrato con strumenti più complessi.
• Le valutazioni dei rischi specifici del sito si concentrano tipicamente su casi d'uso, persone, ambienti o luoghi specifici. Sono generalmente associate a una posizione geografica, come un ufficio specifico. Pertanto, non sono particolarmente utili se la tua azienda ha un ecosistema iper-connesso in cui i rischi possono diffondersi rapidamente da una filiale o area all'altra.
• Le valutazioni dinamiche del rischio forniscono un monitoraggio e delle risposte continui. Questo metodo consente ai team di monitorare costantemente i rischi emergenti in tempo reale e di mitigarli il più presto possibile.

Risorse per le valutazioni dei rischi di cybersecurity

Per condurre valutazioni del rischio di cybersecurity, le organizzazioni, indipendentemente dalle dimensioni o dal settore, possono fare riferimento alle seguenti risorse.

Centro per il metodo di valutazione del rischio della sicurezza di Internet (CIS RAM)

Le organizzazioni possono utilizzare CIS RAM per valutare la loro postura di sicurezza informatica rispetto ai CIS Critical Security Controls, un insieme di migliori pratiche per migliorare la sicurezza informatica. CIS RAM può essere utilizzato in diversi modi:

• Gli analisti dei rischi possono utilizzare CIS RAM per simulare minacce prevedibili.
• Esperti di cybersecurity esperti possono utilizzare le istruzioni CIS RAM per modellare minacce contro gli asset e determinare la configurazione appropriata per proteggere gli asset di dati.
• Gli esperti di rischio informatico possono utilizzare CIS RAM per analizzare i rischi basandosi sui percorsi di attacco.

NIST SP 800-30

NIST SP 800-30 fornisce anche linee guida sulla conduzione delle valutazioni dei rischi. Sebbene sia destinato ai sistemi informativi federali e alle organizzazioni, può essere utilizzato da qualsiasi organizzazione interessata a migliorare la cybersecurity e la gestione dei rischi.

Esplora come le valutazioni dei rischi possono essere applicate attraverso tre livelli di gestione del rischio:

• Livello 1 — Organizzazione
• Livello 2 — Processo aziendale/missione
• Tier 3 — Sistema informativo

Questi livelli informano l'ambito della valutazione del rischio e ne influenzano gli impatti.

ISO/IEC 27000

ISO/IEC 27000 è una famiglia internazionale di standard per la gestione del rischio della sicurezza delle informazioni. Include:

• ISO/IEC 27000 tratta la sicurezza per ogni tipo di tecnologia dell'informazione.
• ISO/IEC 27001 descrive come le organizzazioni possono migliorare la sicurezza delle informazioni, la cybersecurity e la protezione della privacy utilizzando un sistema di gestione della sicurezza delle informazioni (ISMS).
• ISO/IEC 27002 si basa su ISO/IEC 27001 fornendo indicazioni sulla scelta dei controlli di sicurezza appropriati come parte del dispiegamento di ISMS.

NIST Risk Management Framework

Il NIST Risk Management Framework aiuta le organizzazioni a determinare se i loro controlli di gestione del rischio sono stati implementati correttamente, stanno funzionando come previsto e stanno producendo il risultato desiderato per quanto riguarda il soddisfacimento dei loro requisiti di sicurezza e privacy.

Il NIST Risk Management Framework aiuta le organizzazioni con quanto segue:

• Selezione dei valutatori del rischio e dei team di valutazione
• Sviluppare un piano d'azione e tappe per le valutazioni dei rischi
• Sviluppo di rapporti di valutazione della sicurezza e della privacy
• Garantire che le valutazioni del controllo siano condotte secondo i piani di valutazione
• Aggiornamento dei piani di privacy e sicurezza per riflettere i cambiamenti nell'implementazione dei controlli basati su azioni di rimedio e valutazioni

Componenti chiave di una valutazione del rischio di cybersecurity

Una solida valutazione del rischio di cybersecurity dovrebbe avere i seguenti componenti chiave:

• Introduzione — Spiegare come e perché l'azienda ha gestito il processo di valutazione. Includere una descrizione dei sistemi e del software esaminati e specificare chi era responsabile della raccolta, fornitura e valutazione delle informazioni.
• Scopo — Spiegare perché viene eseguita la valutazione del rischio.
• Ambito — Definire l'ambito della valutazione del sistema IT. Descrivere gli utenti, i componenti del sistema e altri dettagli da considerare nella valutazione del rischio di cybersecurity.
• Descrizione del sistema — Elenca l'hardware, i sistemi, le interfacce, il software e i dati che sono stati esaminati, così come ciò che era fuori dall'ambito della valutazione.
• Partecipanti — Elenca nomi e ruoli di tutti i partecipanti, inclusi il team di valutazione dei rischi, i proprietari delle risorse e i team IT e di sicurezza.
• Approccio alla valutazione — Spiegare le tecniche e la metodologia utilizzate per la valutazione del rischio.
• Identificazione e valutazione dei rischi— Compilare i risultati della valutazione.
• Inventario dei dati — Identificare tutti gli asset di valore rilevanti, inclusi i dati regolamentati, i dati critici, i server e altri tipi di dati la cui esposizione avrebbe un impatto significativo sulle operazioni aziendali.
• Utenti del sistema — Dettagliare chi utilizza i sistemi, incluso il loro livello di accesso e la posizione.
• Minacce — Catalogare minacce, come guasti di sistema, disastri naturali, azioni umane malevole e errori umani.
• Vulnerabilità — Identificare debolezze e lacune di sicurezza che potrebbero permettere alle minacce di violare la tua sicurezza. Ad esempio, l'assenza di un piano di disaster recovery potrebbe portare alla perdita di dati importanti in caso di disastro.
• Determinazione del rischio — Valutare la possibilità che le vulnerabilità possano portare a danni. Assicurarsi di eseguire la determinazione della probabilità di rischio, l'analisi dell'impatto e la valutazione del livello di rischio.
• Risultati della valutazione dei rischi — Elenca vulnerabilità e minacce, valuta il rischio di ciascuna e fornisce raccomandazioni per l'implementazione dei controlli.

Prossimi passi

Scarica un PDF con modelli gratuiti di valutazione dei rischi che possono aiutare con la conformità HIPAA e GDPR.