Как оценить риски в кибербезопасности. Лучшие инструменты и практики

Оглавление

Дуглас У. Хаббард. Как оценить риски в кибербезопасности. Лучшие инструменты и практики

Предисловие

Предисловие

Благодарности

Об авторах

Введение

Часть I. Почему для оценки риска в сфере кибербезопасности необходимы более эффективные инструменты измерения

Глава 1. Самая нужная «заплатка» в кибербезопасности

Глобальная поверхность атаки

Ответ на киберугрозу

Глава 2. Руководство по измерениям для сферы кибербезопасности

Концепция измерений

Байесовские измерения: прагматическая концепция для принятия решений

Объект измерений

Методы измерения

Глава 3. Моделируем немедленно!

Введение в практические количественные методы оценки в сфере кибербезопасности

Простая замена «один на один»

Эксперт как инструмент

Вычисляя неопределенность

Визуализация риска

Поддержка решения: рентабельность смягчения последствий

Куда двигаться дальше

Глава 4. Самое важное измерение в области кибербезопасности

Аналитическое плацебо: почему нельзя доверять только мнению

Почему у вас больше данных, чем кажется

Когда алгоритмы превосходят экспертов

Инструменты для повышения эффективности человеческого компонента

Резюме и дальнейшие шаги

Глава 5. Матрицы риска, факторы лжи, заблуждения и другие препятствия, мешающие измерению риска

Изучение местности: опрос специалистов в области кибербезопасности

Какого цвета ваш риск? Общепринятая – и рискованная – матрица рисков

Exsupero Ursus и другие заблуждения

Заключение

Формирование положительного отношения к более эффективным методам

Часть II. Эволюция модели риска кибербезопасности

Глава 6. Разложение на составляющие

Разбор по деталям

Разложение простой модели замены «один на один»

Дополнительные рекомендации по разложению на составляющие: понятность, наблюдаемость, полезность

Трудное разложение на составляющие: ущерб репутации

Заключение

Глава 7. Калиброванные оценки: что вам известно уже сейчас?

Введение в субъективную вероятность

Упражнение в калибровке

Дальнейшее совершенствование калибровки

Концептуальные помехи калибровке

Исключительно философская интерлюдия

Эффект калибровки

Глава 8. Уменьшение неопределенности с помощью байесовских методов

Пример крупной утечки данных

Краткое знакомство с байесовским подходом и теорией вероятности

Применение формулы Байеса к ситуации взлома облачного хранилища

Глава 9. Эффективные методы на основе формулы Байеса

Вычисление частоты с помощью (очень) малого количества точек данных: бета-распределение

Разложение на составляющие вероятностей с несколькими условиями

Дальнейшее снижение неопределенности и когда к нему следует прибегать

Использование имеющихся ресурсов для снижения неопределенности

Завершая разговор о байесовском методе

Часть III. Управление рисками кибербезопасности в организации

Глава 10. На пути к зрелости метрик безопасности

Введение: модель зрелости метрик операционной безопасности

Анализ скудных данных

Функциональные метрики безопасности

Витрины данных безопасности

Предписывающая аналитика

Глава 11. Насколько эффективно взаимодействуют мои вложения в безопасность?

Решение проблем, связанных с БА

Только факты. Что такое размерное моделирование и зачем оно мне нужно?

Пример применения размерного моделирования: повышенная угроза кражи данных

Моделирование процессов работы с людьми

Глава 12. Призыв к действию

Как внедрить управление рисками кибербезопасности

Составление стратегической хартии управления рисками кибербезопасности

Роли и обязанности УРК в организации

Аудит аудита

Что должна сделать экосистема кибербезопасности для вашей поддержки

Удастся ли избежать «Большого взлома»?

Приложения

Приложение А. Избранные распределения вероятности

Приложение Б. Приглашенные авторы

Объединение источников данных для получения информации в киберсфере

Изъян средних значений в кибербезопасности

Взлом паролей

Киберконтрразведка

Как можно применить моделирование катастроф к киберриску

Отрывок из книги

Нам повезло получить два предисловия от двух ведущих умов в области оценки рисков кибербезопасности: Дэниела Э. Гира – младшего и Стюарта Мак-Клара.

Я с удовольствием рекомендую книгу «Как оценить риски в кибербезопасности. Лучшие инструменты и практики». Тема бесспорно актуальная, я и сам уже долгое время пытаюсь к ней подступиться1. Это сложная проблема, и, думаю, будет уместно процитировать бывшего госсекретаря США Джона Фостера Даллеса: «Мерилом успеха выступает не факт наличия сложной проблемы, требующей решения, а то, является ли она той же самой проблемой, что возникла у вас в прошлом году». Данная книга как минимум обещает помочь оставить позади часть старых и сложных проблем.

.....

• Можно значительно улучшить существующие методы. Многие аспекты существующих методов были оценены и признаны непродуктивными. Подобное неприемлемо в масштабах проблем, с которыми сталкивается сфера кибербезопасности.

• В кибербезопасности можно применять тот же количественный язык анализа рисков, что и в других сферах. Как будет показано далее, существует множество областей, в которых риск огромен, данные минимальны, а участники хаотичны, и для этих областей регулярно строятся модели с помощью традиционных математических методов. Не нужно заново изобретать терминологию или методы, когда они уже есть в других сферах, где также сталкиваются со сложными проблемами анализа рисков.

.....