IT-risico evalueren: Strategieën, frameworks en best practices voor bedrijfsbescherming

Michael Aminzade van Trustwave

Foutloze bescherming tegen cybercriminelen is bijna onmogelijk, maar systematische IT-risicoassessments geven organisaties de beste verdediging tegen aanvallen.

Met het dreigingslandschap in constante flux, is het prioriteren van risicomanagement-reviews die uw unieke uitdagingen aanpakken essentieel.

"Eenmaal de grootste risico's geïdentificeerd zijn, kan het implementeren van het optimale beveiligingsniveau dat uw specifieke behoeften adresseren, beginnen," zegt Michael Aminzade, vice president of Global Compliance and Risk Services bij Trustwave.

Een uitgebreide informatiebeveiligings-risicoassessment uitvoeren onthult de meest kritieke gaten en stelt u in staat een gerichte mitigatieplan te ontwikkelen. Voordat u begint, moet u uw zakelijke doelen begrijpen, potentiële dreigingen identificeren, de waarschijnlijkheid van compromittering beoordelen en de impact van een verlies kwantificeren. Senior management, IT-administrators en stakeholders betrekken via diepgangende interviews zorgt ervoor dat alle organisatiefacetten geëvalueerd worden op beveiligingsgaten.

De klassieke CIA triade - confidentialiteit, integriteit en beschikbaarheid - dient als foundationele gids voor cyberbeveiligingsassessments. Een balans tussen de drie te vinden is uitdagend; overbenadrukken van beschikbaarheid kan confidentialiteit en integriteit undermijnen, terwijl een overmatige focus op confidentialiteit of integriteit beschikbaarheid kan ondermijnen.

Na voltooiing van de assessment, bepaalt u welke beveiligingscontroles het beste bedrijfsrisico mitigeren. Deze controls mengen typisch technologie, beleid, processen en procedures.

Risico-assessment frameworks

Bij het uitvoeren van een beveiligingsrisicoassessment kunt u kiezen uit diverse welgevestigde frameworks. De vijf meest brede geadopteerde zijn de ISO 27000x Serie, OCTAVE, COBIT, NIST 800-53, en het NIST Cybersecurity Framework (CSF). NIST, een VS Handelsdepartement agentschap, biedt gratis richtlijndocumenten die het CSF de voorkeurkeuze maken voor bedrijven, onderwijsinstellingen en overheidsinstanties wereldwijd.

Het CSF is gestructureerd rond drie componenten: het framework profiel, de framework kern, en de implementatietiers. Zijn flexibiliteit stelt het in staat om naast andere risicomanagement-processen te opereren, zoals ISO-standaarden, en het is relevant voor organisaties buiten de VS.

NIST 800-53 ondersteunt compliance met VS Federal Information Processing Standards (FIPS) en voorafgaat aan het CSF. Het levert bewijs van controle-effectiviteit, inzichten in risicomanagement-kwaliteit, en informatie over de sterktes en zwaktes van informatiesystemen.

Best practice

Naarmate cybercrimine commercialiseert, bewegen veel organisaties verder dan compliance naar uitgebreide risicomigratie en databeschermingsstrategieën. Moderne risico-assessment methodologieën dekken nu de gehele supply chain, inclusief derde-partij vendor toegang tot interne systemen.

De BYOD-trend heeft de behoefte aan robuuste endpoint-beveiliging en een dieper begrip van hoe endpoints een organisatie's risicoprofiel beïnvloeden, vergroot. Gegeven deze toegevoegde complexiteit, kan partneren met een managed security services provider (MSSP) onschatbaar waardevol zijn. Hun diepe expertise helpt u een uitbreidend netwerklandschap te beveiligen.

Een risico-assessmentmodel ontwikkelen vereist senior management buy-in. Executives moeten de inherente risico's ofwel accepteren of committeren aan een remediatieplan dat de risicopostuur afstemt op de tolerantieniveaus van de organisatie. Ideaal zou de CISO of CIO de assessment-planning, bevindingen en remediatieplannen moeten toezien, en regelmatige updates aan het executieve team leveren. Alle werknemers delen echter verantwoordelijkheid voor de organisatie's beveiliging.

Training moet dekken hoe dreigingen zoals kwaadaardige e-mails te spotten en procedures voor het rapporteren van verdachte incidenten uitleggen. Hoewel perfecte beveiliging onbereikbaar is, is het doel het optimale beveiligingsniveau voor uw bedrijf te bereiken.

Een risicoframework vestigen en IT-risicoassessments uitvoeren identificeren het passende beveiligingsniveau voor uw organisatie. Eenmaal zwaktes geïdentificeerd zijn, kunnen ze gecorrigeerd worden, wat uw bedrijf beschermt.

Risicoassessments combineren met beveiligingsvolwassenheidsevaluaties stelt organisaties in staat een strategische investeringsroadmap te bouwen en ROI aan stakeholders te demonstreren.

De auteur van deze blog is Michael Aminzade, vice president of Global Compliance and Risk Services bij Trustwave