风险管理之基本的风险评估和管理方法

• 1.介绍
• 2.步骤 1 – 建立风险管理的背景
• 3.步骤 2 – 定义风险评估范围
• 4.步骤 3 – 了解您的资产并评估影响
• 5.步骤 4 - 评估威胁
• 6.步骤 5 – 评估您的弱点
• 7.步骤 6 – 估计可能性
• 8.步骤 7 – 评估网络安全风险
• 9. 步骤 8 – 确定风险优先级并提出风险管理行动建议
• 10.步骤 9 – 制定风险处理计划
• 11.步骤 10 – 制定保障计划
• 12.步骤 11 – 持续迭代和改进

基本网络风险评估、分析和管理方法。

介绍

健康警告#1

步骤 1 – 建立风险管理的背景

步骤2 – 定义风险评估范围

除了表达评估的边界之外，对于系统范围的任何模型来说，描述以下内容也很有用：

• 范围内的内部以及外部与其他系统、服务或组织的任何互连
• 组织可以对其内的资产和系统施加控制的边界，以及不能控制的边界
• 评估范围内的系统以某种方式依赖的任何外部系统、服务或组织

步骤 3 – 了解资产并评估影响

表 1：资产登记示例

步骤 4 - 评估威胁

这一步是要理解两件事，

1. 谁或什么可能对您的组织及其目标构成威胁。
2. 他们可能会如何攻击或以其他方式损害您关心的事物。

健康警告#2

下一步是了解威胁可能如何攻击，以及它们可能针对组织和试图保护的事物使用的策略和技术。威胁建模等技术以及使用助记符（如STRIDE、网络杀伤链、攻击树的开发和威胁信息的公开知识库（如MITRE ATT&CK））对于建立这种理解非常有帮助，并为进一步评估提供信息。网络安全风险。

如果不确定如何记录威胁分析或无法对一种威胁与另一种威胁进行评级，那么可以考虑使用简单的 3x3 矩阵，其中威胁能力、动机和威胁本身按照简单的从低到高的等级进行评分。

表 2：威胁分析示例

健康警告 #3

应该意识到，虽然矩阵易于使用，但如果使用不当，可能会导致错误和风险传达错误。如果您要使用如上所示的矩阵，请确保仔细传达量表和所使用的任何标签的含义。

步骤 5 – 评估弱点

人员、流程、地点和技术中可能存在漏洞，威胁行为者可能会利用这些漏洞来实现其目的和目标。有多种技术和资源可以帮助您评估漏洞：

• 可以使用良好的指导（例如NCSC 的安全系统管理指南、安全设计原则或云安全指南）来帮助您思考使用的系统和服务中可能存在漏洞的位置
• 可以构建攻击树来帮助您了解威胁行为者为实现其目标而需要采取的步骤
• 可以利用公开披露的技术漏洞的目录或数据库（例如 MITRE 的常见漏洞枚举 [CVE] 数据库）来帮助您了解影响您使用的技术的已知漏洞
• 可以使用威胁信息的知识库（例如 MITRE ATT&CK）来帮助您更多地了解作为现实世界和已知攻击的一部分而被利用的漏洞
• 可以根据漏洞被利用的难易程度、漏洞在您的组织及其系统中的传播范围以及威胁行为者知道或假设您存在影响您的系统的漏洞的难易程度来评估漏洞和服务

如果不确定如何记录漏洞分析或无法对一个漏洞与另一个漏洞进行评级，那么您可以考虑使用简单的 3x3 矩阵，其中威胁暴露度、可利用性和漏洞本身按照简单的从低到高进行评分规模。

表 3：漏洞分析示例

步骤 6 – 估计可能性

以某种方式结合对威胁和漏洞的分析，以评估特定威胁利用特定策略或技术来利用漏洞来实现其目的和目标的可能性，从而对发生。

可能性是对某事发生的可能性的估计，可能性可以用一个尺度来描述，其中 0 表示某事没有发生的可能性，1 表示某事将会发生，各种确定性/不确定性状态作为其间的尺度间隔。可能性也可以表示为某事发生的百分比概率，0% 表示没有机会，100% 表示某事会发生。这些等级可以使用标签来表示，例如低、中和高。

在考虑可能性时，您应该寻找有关这些威胁、漏洞和攻击对与您类似的其他组织或部门产生什么影响的信息。例如，如果您的竞争对手或与您合作的合作伙伴组织正在遭受类似的攻击，那么可以肯定地说您也可能会受到攻击。

估计可能性的另一种方法是将其视为威胁动机和能力、漏洞利用的容易程度以及您暴露于该漏洞的程度的某种产物。在这种情况下记录和分析可能性的一个简单方法是使用如下所示的矩阵，其中威胁和漏洞评级以及可能性进行评分并以简单的从低到高的等级表示。

表 4：似然分析示例

无论决定估计、分析和描述可能性，都应该记住，风险管理是一种应对不确定性的练习。这意味着我们需要注意，不要通过对风险的任何组成部分（即威胁、脆弱性、影响和可能性）进行估计、评估或评级，给决策者带来错误的确定性。这可以通过帮助决策者了解用于分析、评估和评级风险组成部分（例如可能性）的方法、流程和信息，并以有意义的方式传达风险来实现。这将在下一步中更详细地讨论。

步骤 7 – 评估网络安全风险

网络安全风险是与技术系统和服务的使用相关的未来事件，可能对某人、系统、企业或组织产生某种形式的影响。与其他业务领域（例如金融领域）的风险管理相比，在网络安全领域，我们认为这一未来事件与我们对技术的使用有关。危害可能包括与信息资产的机密性、完整性和可用性相关的传统影响，但组织和企业不应将他们的思维仅限于这些信息资产质量。损害可能包括系统或服务的正确运行、其可用性、企业的良好声誉、组织未能履行其法律、监管或合同责任或财务影响。

如前所述，为了提高对网络安全风险及其实现方式的理解和评估，可能会发现进行一些威胁建模或构建一些攻击树很有帮助。详细介绍技术漏洞和攻击的公开信息源（例如常见漏洞枚举列表和ATT&CK 知识库）（均由 MITRE 公司提供）也可能有助于了解可能出现问题的情况以及如何出现问题。

为了达到风险的定性水平，我们可以以某种方式将您对可能性的估计（包括威胁和脆弱性）与您对影响的评估结合起来，以得出风险。确保以有意义的方式传达您的风险，并传达与风险评估相关的不确定性。

如果没有足够的信心根据考虑的威胁、漏洞和影响信息自由地编写风险声明，或者您不知道如何将它们组合起来形成风险评级，那么可以考虑使用简单的矩阵例如下面的可能性评估和影响评估相结合得出风险评级。然后，该风险评级可用于帮助您向决策者传达已识别风险的重要性，或优先考虑一种风险。

表 5：风险声明示例

沟通并记录风险

确保使用风险声明以有意义的方式传达风险，使决策者能够了解所涉及的时间范围和不确定性。

在向决策者描述风险时，向他们传达分析的确定性或不确定性非常重要。如果不这样做，就会向决策者传达这样的信息：您完全确定您所描述的风险将会发生。例如，承认不确定性的风险声明可能如下所示：

“在未来 12 至 24 个月内，我们中的人很有可能成为网络犯罪团伙使用勒索软件攻击的目标（10% 左右）。如果勒索软件攻击成功，它可能会导致我们完全无法访问 IT 和 OT 系统，从而使我们在一段时间内无法与客户和合作伙伴沟通，无法制造我们的产品或提供我们的服务，直到恢复对我们的系统和信息的访问为止，我们每天的成本约为 1-200 万英镑。”

从这个声明中你可以看出，我们对可能性、时间尺度和影响的评估存在不确定性。

步骤 8 – 确定风险优先级并提出风险管理行动建议

在此步骤中，应该审查在前面的步骤中提出的整套风险，并确定风险管理的优先级。作为分析师并作为此过程的一部分，需要向业务部门推荐可以最有效地管理所识别的风险的方法。例如，可以建议企业：

• 使用某种技术或非技术网络安全控制来处理风险
• 通过改变或停止导致风险存在的活动来避免风险
• 通过将处理其财务影响的责任转移给第三方（例如通过保险）来转移风险，并指出通过网络保险转移风险仅处理已实现的风险的财务影响；风险的其他方面和影响，例如声誉、法律或监管影响，需要以其他方式进行管理
• 接受风险并且不采取任何行动，同时接受如果风险按照您的分析描述的那样实现，他们将不得不处理风险的后果

此步骤还提供了一个有用的机会来消除或组合重复的风险，并识别风险之间的联系和关系。例如，成功的拒绝服务风险可能依赖于最初意识到的网络钓鱼或恶意软件风险。请参阅下表，该表说明了如何呈现风险优先级列表。

表 6：优先风险示例

步骤 9 – 制定风险处理计划

如果您建议使用技术或非技术控制措施来处理网络安全风险，则有必要记录和描述这些控制措施，并尽可能提供有关如何/应该实施这些控制措施的指导和信息。在考虑您可能寻求应用的控制措施时，考虑使用提供良好控制基准的标准或方案可能会很有用。例如，国际标准组织 (ISO)或NCSC 的 Cyber Essentials 计划提供的内容。无论您选择应用什么控制或控制基线，都应注意确保明智且按比例地应用它们，以避免出现不必要的控制或更糟的情况，即控制不能有效地帮助管理风险。虽然真正的风险治疗计划将包括有关拟议治疗及其实施方式的更多细节，但基本治疗计划可能如下所示：

表 7：风险处理计划示例

步骤 10 – 制定保障计划

保证是一种提供信心的方法，让我们相信我们关心的事物受到保护，并且安全控制以您期望的方式单独和协同工作，以确保系统的安全。应不断从您用于处理网络安全风险的控制措施（无论是程序、物理、人员还是技术）中寻求保证。因此，通过有效利用保障活动来获得对风险处理的信心对于管理网络风险至关重要。要完成此步骤，您需要考虑如何获得并维持所提议的安全控制的保证。可以寻求保证：

• 安全控制结合起来保护我们关心的业务成果、系统或服务的方式。例如通过设计审查、架构审查、安全测试等。
• 控件的设计方式
• 实施控制的方式
• 控件的使用方式
• 通过控制测试
• 在使用和管理您的系统和服务的人员中
• 在您工作的地方以及容纳您的系统和服务的地方
• 在您的业务流程以及您使用的技术系统和服务中

您应该确保您已经考虑了对所建议的所有控制措施的保障，保障计划可能如下表所示。

表 8：保险计划示例

步骤 11 – 持续迭代和改进

重要的是：应将风险评估和管理视为一个持续的过程。如果不这样做，就意味着将很快无法调整系统、服务和安全性来应对新技术和新出现的威胁。这意味着应该定期重新审视网络安全风险评估和控制措施，并在出现重大变化时立即重新审视。可能促使审查的变化可能包括威胁的变化，或者系统或服务使用方式的重大变化。