Evaluating IT Risk: Strategies, Frameworks, and Best Practices for Business Protection
Michael Aminzade dari Trustwave
Mencapai perlindungan sempurna dari kriminal siber hampir mustahil, tetapi penilaian risiko TI yang sistematis memberikan organisasi pertahanan terbaik terhadap serangan.
Dengan lanskap ancaman yang terus berubah, memprioritaskan ulasan manajemen risiko yang menanggapi tantangan unik Anda adalah esensial.
“Setelah risiko terbesar telah diidentifikasi, implementasi tingkat keamanan optimal yang menjawab kebutuhan spesifik Anda dapat dimulai,” kata Michael Aminzade, vice president Global Compliance and Risk Services di Trustwave.
Menjalankan penilaian risiko keamanan informasi yang komprehensif mengungkapkan kesenjangan paling kritis dan memungkinkan Anda untuk merencanakan mitigasi yang terfokus. Sebelum memulai, Anda harus memahami tujuan bisnis Anda, mengidentifikasi ancaman potensial, menilai kemungkinan kompromi, dan mengukur dampak kehilangan. Melibatkan manajemen senior, administrator TI, dan pemangku kepentingan melalui wawancara mendalam memastikan semua aspek organisasi dievaluasi untuk kesenjangan keamanan.
Triad CIA klasik—kerahasiaan, integritas, dan ketersediaan—berfungsi sebagai panduan dasar untuk penilaian keamanan siber. Menyeimbangkan ketiga hal ini sulit; terlalu menekankan ketersediaan dapat merusak kerahasiaan dan integritas, sementara fokus berlebih pada kerahasiaan atau integritas dapat merusak ketersediaan.
Setelah menyelesaikan penilaian, Anda menentukan kontrol keamanan mana yang paling baik mengurangi risiko bisnis. Kontrol ini biasanya mencampur teknologi, kebijakan, proses, dan prosedur.
Kerangka penilaian risiko
Saat melakukan penilaian risiko keamanan, Anda dapat memilih dari beberapa kerangka kerja yang sudah terbentuk. Lima yang paling banyak diadopsi adalah Seri ISO 27000x, OCTAVE, COBIT, NIST 800-53, dan NIST Cybersecurity Framework (CSF). NIST, sebuah agensi Departemen Perdagangan AS, menawarkan dokumen panduan gratis yang menjadikan CSF pilihan yang disukai untuk bisnis, lembaga pendidikan, dan agensi pemerintah di seluruh dunia.
CSF terstruktur di sekitar tiga komponen: profil kerangka, inti kerangka, dan tingkatan implementasi. Fleksibilitasnya memungkinkannya untuk beroperasi bersama proses manajemen risiko lainnya, seperti standar ISO, dan relevan bagi organisasi di luar Amerika Serikat.
NIST 800-53 mendukung kepatuhan dengan Federal Information Processing Standards (FIPS) AS dan lebih lama dari CSF. Ia memberikan bukti efektivitas kontrol, wawasan tentang kualitas manajemen risiko, dan informasi tentang kekuatan dan kelemahan sistem informasi.
Best practice
Seiring komersialisasi kejahatan siber, banyak organisasi bergerak dari kepatuhan menuju strategi mitigasi risiko dan perlindungan data yang komprehensif. Metodologi penilaian risiko modern kini mencakup seluruh rantai pasok, termasuk akses vendor pihak ketiga ke sistem internal.
Tren BYOD telah meningkatkan kebutuhan akan keamanan endpoint yang kuat dan pemahaman yang lebih dalam tentang bagaimana endpoint mempengaruhi profil risiko organisasi. Mengingat kompleksitas tambahan ini, bermitra dengan penyedia layanan keamanan terkelola (MSSP) dapat sangat berharga. Keahlian mendalam mereka membantu Anda mengamankan lanskap jaringan yang berkembang.
Membangun model penilaian risiko membutuhkan komitmen manajemen senior. Eksekutif harus menerima risiko inherent atau berkomitmen pada rencana remediasi yang menyelaraskan postur risiko dengan tingkat toleransi organisasi. Idealnya, CISO atau CIO harus mengawasi jadwal penilaian, temuan, dan rencana remediasi, serta memberikan pembaruan reguler kepada tim eksekutif. Namun, semua karyawan berbagi tanggung jawab untuk keamanan organisasi.
Pelatihan harus mencakup cara mendeteksi ancaman seperti email berbahaya dan merumuskan prosedur untuk melaporkan insiden yang dicurigai. Sementara keamanan sempurna tidak tercapai, tujuannya adalah untuk mencapai tingkat keamanan optimal untuk bisnis Anda.
Membangun kerangka risiko dan melakukan penilaian risiko TI mengidentifikasi tingkat keamanan yang tepat untuk organisasi Anda. Setelah kelemahan diidentifikasi, mereka dapat diperbaiki, melindungi bisnis Anda.
Menggabungkan penilaian risiko dengan evaluasi maturitas keamanan memungkinkan organisasi untuk membangun peta jalan investasi strategis dan menunjukkan ROI kepada pemangku kepentingan.
Penulis blog ini adalah Michael Aminzade, vice president Global Compliance and Risk Services di Trustwave
