آشنایی با مولفه های ریسک

در این مقاله تلاش می شود تا پیش از بیان هر تعریفی از مفهوم ریسک ، مولفه های اساسی تشکیل دهنده آنرا شناخته و تا حد امکان توصیف کنیم . چرا که هر ریسکی صرف نظر از خاستگاه و ماهیت آن همواره شامل پنج مولفه زیر است و در حقیقت بخش مهمی از دانش و هنر تحلیل ریسک بر شناسایی و برآورد این پنج مولفه بنیادین استوار است که به شدت به دانش افراد خبره ، خرد جمعی و کارگروهی مبتنی است :

1-دارایی (Asset)

2- تهدید (Threat)

3- منبع یا عامل تهدید (Threat Source or Threat Agent)

4- احتمال وقوع تهدید (Threat Likelihood)

5- شدت اثر یا پیامد تهدید (Threat Impact)  

برای درک ساده و توجه به تفاوت برخی از این مفاهیم به تصویر زیر دقت بفرمایید در این تصویر مفاهیم تهدید ، منبع تهدید و آسیب پذیری در خصوص یک دارایی خاص که در بسیاری از سازمانها به اشتباه یکسان و هم معنی در نظر گرفته می شوند به روشنی نمایش داده شده است و با توجه به آن می توان گفت که دارایی در معرض تهدید قرارگرفته سرمایه انسانی سازمان است , عامل تهدید جانوری است درنده به نام تمساح ، آسیب پذیری می تواند ناتوانی یا مهارت اندک نیروی انسانی در حفظ تعادل خود باشد ، تهدید ، افتادن در کام جانور است و پیامد آن خواندن غزل خداحافظی با زندگی است.

از دیدگاه امنیت اطلاعات ، هر رویداد ، شرایط یا پدیده ای که در ارتباط و برهم کنش با سامانه های اطلاعاتی ، زیرساخت های فن آوری اطلاعات و محیط پردازشی ومحاسباتی سازمان بوده و دارای توانایی نهفته و استعداد خفته برای تاثیرگذاری زیانبار و نیز وارد ساختن خسارت برعملیات سازمان ، دارائیهای اطلاعاتی و سرمایه انسانی آن باشد را تهدید در نظر می گیریم. به زبان ساده تر ، تهدید قابلیت یک عامل تهدید در بهره کشی و سوء استفاده برنامه ریزی شده یا تصادفی از یک آسیب پذیری است. از این رو لازم به گفتن است که یک تهدید به خودی خود یک اقدام نیست و تنها زمانی خطرناک است و توانایی خفته آن در وارد کردن خسارت به سازمان ، بیدار می گردد که با یک منبع یا عامل تهدید همراه گردد . یعنی یک تهدید توسط منبع تهدید فعال می شود. بنابراین در نظر گرفتن تفاوت این دو مفهوم به هنگام ارزیابی و مدیریت ریسک اهمیت زیادی دارد. برای مثال قطع برق (Power Failure) و یا افزایش لحظه ای ولتاژ (Power Surge) دو تهدید جداگانه هستندکه منبع تهدید یا عامل تهدید آنها می تواند اختلال در خطوط انتقال شبکه توزیع برق و یا مشکل رخ داده در سیم کشی سمت مشترک باشد. همچنین دسترسی غیر مجاز به منابع حفاظت شده موجود در File Server سازمان که یک دارایی اطلاعاتی است یک تهدید است اما عامل این تهدید ممکن است یک مهاجم خارجی و یا یک کاربر بداندیش داخلی باشد .

منبع یا عامل تهدید هرآن چیزی است که بهره کشی و سوء استفاده از یک آسیب پذیری را به صورتی خواسته یا ناخواسته ، تصادفی یا برنامه ریزی شده وجهه همت خود قرار می دهد بنابراین می تواند قصد و نیت یک راهبر(Administrator) ناراضی شبکه باشد که با برنامه قبلی در پی بهره برداری از آسیب پذیری های شناخته شده است و یا ممکن است یک کاربر عادی سازمان باشد که به سبب خطایی ناخواسته و تصادفی موجب از دسترس خارج شدن یک سرویس خاص می گردد در همین حال منبع تهدید می تواند وضعیتی چون اختلال ایجاد شده در شبکه توزیع برق منطقه ای در بازه زمانی اوج مصرف مشترکین خانگی در روزهای گرم تابستان باشد و یا یک روال امنیتی باشدکه به صورتی کاملا تصادفی از آسیب پذیری خاصی سوء استفاده کرده و موجب فعال شدن تهدیدی برعلیه سازمان می گردد.

لازم به گفتن است که گاهی یک تهدید می تواند توسط چندین منبع تهدید فعال گردد برای مثال ممکن است سرور های فیزیکی سازمان که در حال اجرای Web Server کسب و کار هستند توسط عوامل تهدیدی چون یک راهبر بداندیش و ناراضی ، خطای مدیریتی و راهبری ، اشتباه سهوی یک کارمند بخش پشتیبانی ، خرابی سخت افزار و یا اختلال در شبکه توزیع برق با تهدید خاموشی و قطع برق مواجه شوند.

آسیب پذیری (Vulnerability) هر ضعف ، سستی و یا کاستی موجود در مولفه های یک محیط پردازشی و محاسباتی و زیرساخت های فن آوری اطلاعات و ارتباطات سازمان است که می تواند توسط یک منبع تهدید مورد بهره کشی و سوء استفاده قرار گیرد . مهم است بدانیم که از دید امنیت اطلاعات ، آسیب پذیری ،تمامی چرخه حیات هر یک ازمولفه های فنی ، انسانی و سازمانی فن آوری اطلاعات شامل طراحی ، پیاده سازی ، اجرا و پشتیبانی را در بر می گیرد و از سامانه های اطلاعاتی و سیستم های عامل گرفته تا خطی مشی امنیتی و جنبه های استخدام و بکارگیری نیروی انسانی و نیز برنامه های مهار و نظارت داخلی را شامل می شود. بنابراین بد نیست بدانیم که بسیاری از آسیب پذیری های موجود در سیستم های فن آوری اطلاعات مربوط به کنترل های امنیتی است که خواسته یا ناخواسته در سازمان اعمال نشده اند و یا به صورتی ناقص به کار گرفته شده اند و نمی توانند برخی از آسیب پذیری ها را پوشش دهند. همچنین لازم است اشاره شود که آسیب پذیری ها نباید تنها در سیستم های اطلاعاتی شناسایی شوند بلکه به هنگام شناسایی آنها باید زمینه گسترده تری شامل ساختار اداره و مدیریت کسب و کار ، روابط خارجی و تعامل سازمان با محیط خارج را در نظر گرفت برای مثال برخی از آسیب پذیری های سطح کلان سازمانی عبارتند از : تصمیمات متناقض در خصوص فعالیت ها و ماموریت های راهبردی سازمان ، فقدان راهبردهای مدیریت ریسک اثربخش ،عدم انطباق ساختار سازمان با ماموریت های آن ، وابستگی کسب و کار به یک زنجیره تامین مشخص ، وابستگی کسب و کار به فراهم کنندگان سرویسها ، خدمات ، تجهیزات و نرم افزارهای فن آوری اطلاعات خاص .

در ادامه چند نمونه تهدید به همراه منابع تهدید آن و آسیب پذیری های بهره برداری شده توسط منبع تهدید آورده می شود :

تهدید : دسترسی غیر مجاز به اطلاعات

منبع تهدید : کاربر بدانیش داخلی برای مثال یک کارمند ناراضی

مهاجم خارجی برای مثال یک دولت متخاصم یا یک گروه هکری

آسیب پذیری : غیر فعال نشدن نام کاربری افرادی که سازمان را ترک کرده اند.

استفاده از گذرواژه های ضعیف و قابل حدس

تغییر نیافتن نام کاربری و گذرواه پیش فرض

تهدید : باج افزار

منبع تهدید : تبهکاران سایبری ( در برخی از موارد نامشخص و نیازمند بررسی بین المللی)

آسیب پذیری : فقدان یک سیاست روشن و مشخص در خصوص پشتیبان گیری از اطلاعات

ناآگاهی کاربران و ارائه نشدن آموزش های کافی به آنان

فقدان یک خط مشی مشخص در بروزرسانی نرم افزار و سخت افزار

ترس سازمانها در تاثیر مخرب اعلام آلودگی به باج افزار بر حسن شهرت و عواقب قانونی

به روز نبودن ضد ویروس

فقدان سیاست های روشن و مشخص در خصوص دانلود و پیوست های مشکوک پست الکترونیک