Risk kontrol stratejileri - Risk control strategies

Risk Kontrol Stratejileri BT tarafından kullanılan savunma önlemleri ve InfoSec sınırlanacak topluluklar güvenlik açıkları ve yönet riskler kabul edilebilir bir seviyeye. Birkaç tane var stratejiler bu, tek bir savunma ölçüsü olarak veya birden fazla stratejinin bir arada kullanılması halinde kullanılabilir. Bir risk değerlendirmesi risk yönetimine yardımcı olmak için kaynakları ve varlıkları potansiyel olarak etkileyebilecek tehditleri ve güvenlik açıklarını belirleme ve belirleme sürecine dahil edilmesi gereken önemli bir araçtır. Risk yönetimi aynı zamanda bir risk kontrol stratejisinin bir bileşenidir çünkü Nelson ve ark. (2015) "risk yönetiminin, ekipmanın değiştirilmesi gibi herhangi bir işlem veya işlem için ne kadar riskin kabul edilebilir olduğunun belirlenmesini içerdiğini" belirtmektedir.[1]

Tehdit Örnekleri
Sosyal mühendislik
Çalınması
Vandalizm
Doğanın güçleri
İnsan hatası
Yazılım hataları
Donanım hataları

Stratejiler

Güvenlik açıklarından kaynaklanan riskleri kontrol etmek için beş temel strateji [2]

  1. Savunma - Kalan kontrolsüz riski ortadan kaldıran veya azaltan önlemlerin uygulanması
  2. Transferral - Riskleri diğer alanlara veya dış varlıklara kaydırmak
  3. Azaltma - Bir saldırgan bir güvenlik açığından başarıyla yararlanırsa bilgi varlıklarının etkisini azaltma
  4. Kabul - Bir riski kontrolsüz bırakmayı seçmenin sonuçlarını anlamak ve ardından kontrol etme girişimi olmaksızın kalan riski uygun şekilde kabul etmek
  5. Fesih - Bilgi varlığının kuruluşun işletim ortamından kaldırılması veya durdurulması

Savunma

Savunma stratejisi, koruma gerektiren güvenlik açığından yararlanılmasını engellemeye çalışır. Savunma yöntemleri, bir savunma stratejisi olarak koruma sağlamak için fiziksel, mantıksal veya her ikisinin bir kombinasyonunu uygulayabilir. Birden fazla savunma önlemi katmanının uygulanmasına derinlemesine savunma. Derinlemesine savunma, Stewart ve ark. (2012), "katmanlı güvenlik sağlamak için birden çok katman veya erişim kontrol düzeyi uygulanıyor" olarak tanımlamaktadır. [3]

Transfer

Stalling & Brown'a göre bu strateji, "riskten sorumlu olanın üçüncü bir tarafla paylaşılmasıdır. Bu genellikle, ortaya çıkan riske karşı sigorta yaptırarak, başka bir kuruluşla sözleşme yaparak veya ortaklık veya ortak girişim kullanarak gerçekleştirilir. Tehdit ortaya çıktığında riski ve maliyeti paylaşacak yapılar.[4] Sigorta satın alma eylemi, risk transferine bir örnektir.

Azaltma

hafifletme strateji, başarılı bir saldırıyı sınırlandırmak için önlemler alarak bir güvenlik açığının zararını azaltmaya çalışır. Hill'e (2012) göre, "bu, riske maruz kalma yaratan bir kusuru düzeltmekle veya zayıflığın gerçekten hasara neden olma olasılığını azaltan veya ilişkili risk durumunda etkiyi azaltan telafi edici kontroller koyarak yapılabilir. Kusur aslında gerçekleşti.[5]

Kabul

Bu strateji, tanımlanan riski kabul eder ve hiçbir savunma stratejisi uygulamaz. Bir kabul stratejisi kullanmanın bir nedeni, koruma önlemlerinin yerleştirilmesiyle ilgili maliyetin, başarılı bir saldırı veya uzlaşmanın zararından daha ağır basmasıdır.

Sonlandırma

Bir varlığı korumak için bir koruma kullanmak veya sıfır koruma sağlamak ve bir varlığın risklerini kabul etmek yerine, bu strateji varlığı risklerle ortamdan uzaklaştırır. Bu stratejinin bir örneği, bir sunucuyu bir ağdan kaldırmak olabilir, çünkü şirket, risk endişeleri nedeniyle kaynağın sonlandırılmasının, onu ağda bırakmanın faydasından daha ağır bastığını belirlemiştir.

Referanslar

  1. ^ Nelson, B., Phillips, A. ve Steuart, C. (2015). Bilgisayar adli tıp ve soruşturma rehberi (5. baskı). Boston, MA: Cengage Learning.
  2. ^ Whitman, M. E. ve Mattord, H.J. (2014). Bilgi güvenliği yönetimi (4. baskı). Stamford, CT: Cengage Learning.
  3. ^ Stewart, J., Chapple, M. ve Gibson, D. (2012). CISSP: sertifikalı bilgi sistemleri güvenliği profesyonel çalışma kılavuzu (6. baskı). Indianapolis, IN: Wiley.
  4. ^ Stallings, W. ve Brown, L. (2015). Bilgisayar güvenliği ilkeleri ve uygulamaları (3. baskı). Upper Saddle River, NJ: Pearson Education, Inc.
  5. ^ Hill, D.G. (2009). Veri koruması. Boca Raton, Florida: CRC Press.

Dış bağlantılar