Kërcënime, dobësi dhe rrezik

Tri fjalë që ngatërrohen

Në bisedën e përditshme, "kërcënim", "dobësi" dhe "rrezik" përdoren sikur të thonë të njëjtën gjë. Në siguri nuk është kështu, dhe t'i mbash të ndara e bën shumë më të lehtë të vendosësh se çfarë të rregullosh më parë.

Ja shkurt. Një dobësi është një pikë e dobët. Një kërcënim është diçka që mund ta shfrytëzojë atë pikë të dobët. Rreziku është gjasa që kjo të ndodhë vërtet, dhe sa dëm do të sillte po të ndodhte.

Dobësia është një pikë e dobët

Dobësia është një hapësirë që mund të shfrytëzohet. Nuk është sulm dhe nuk është sulmuesi. Është thjesht dritarja e hapur.

Shembuj të përditshëm:

• softuer që nuk është përditësuar për të rregulluar një defekt të njohur
• një fjalëkalim i përdorur në disa faqe njëherësh
• një derë e lënë hapur për lehtësi

Asnjëra prej tyre nuk ka shkaktuar dëm në vetvete. Secila është një pikë e dobët që pret diçka ta gjejë.

Kërcënimi është ajo që mund ta shfrytëzojë

Kërcënim është çdo gjë që mund të përfitojë nga një dobësi dhe të shkaktojë dëm. Aty ku dobësia është pasive, kërcënimi është ana aktive: një valë email-esh mashtruese që synojnë stafin, program i dëmshëm, ose një person që futet pas teje përmes një dere të sigurt.

Një kërcënim pa një dobësi përkatëse zakonisht nuk shkon gjëkundi. Një dobësi pa kërcënim mund të rrijë e qetë me vite. Problemi nis kur të dyja përputhen.

Rreziku është të dyja bashkë

Rrezik është gjasa e humbjes, e vlerësuar nga sa e mundshme është dhe sa i rëndë do të ishte ndikimi. Këtu një dobësi dhe një kërcënim takohen me një pyetje të thjeshtë: sa duhet të na shqetësojë?

Ekipet e sigurisë i përgjigjen me një formulë të vogël:

Përparësia = Ndikimi × Gjasat

Ndikimi është sa serioze do të ishte po të ndodhte. Gjasat janë sa e mundshme është. Shumëzimi i të dyjave jep një përparësi që mund ta krahasosh mes problemesh krejt të ndryshme, kështu që ato më serioze dhe më të mundshme ngjiten në krye.

Një shembull i punuar

Një punonjës i financës merr një email që duket sikur vjen nga një furnitor i zakonshëm, duke kërkuar të ndryshojë llogarinë bankare për pagesën e radhës. Ky është mashtrimi me email biznesi (BEC), një formë e zakonshme e phishing-ut.

• Dobësia: nuk ka një hap që konfirmon një ndryshim të të dhënave bankare.
• Kërcënimi: një email mashtrues që kërkon pikërisht atë ndryshim.
• Rreziku: i lartë, sepse email-e të tillë janë të zakonshëm (të mundshëm) dhe një pagesë e gabuar është e shtrenjtë (ndikim i lartë).

Zgjidhja ndjek dobësinë. Shto një hap që verifikon çdo ndryshim të të dhënave të pagesës përmes një kanali të veçantë e të besuar, për shembull një telefonatë në një numër që e ke tashmë. Ai zakon i vetëm e kthen një rrezik të lartë në një të ulët.

Provo veten