مخاطر تكنولوجيا المعلومات
قياس مخاطر تكنولوجيا المعلومات

يمكن قياس مخاطر تكنولوجيا المعلومات (أو المخاطر الإلكترونية) على عدة مستويات. على مستوى الأعمال، تُدار المخاطر بشكل شامل. بينما تميل أقسام تكنولوجيا المعلومات في الخطوط الأمامية ومراكز عمليات الشبكة إلى قياس المخاطر الفردية بشكل أكثر تفصيلًا. إن إدارة العلاقة بين هذين المستويين تلعب دورًا حيويًا لمديري أمن المعلومات في العصر الحديث.
عند قياس المخاطر من أي نوع، يعتبر اختيار المعادلة المناسبة لتهديد معين، وأصوله، والبيانات المتاحة خطوة أساسية. هذه العملية بحد ذاتها معقدة، ولكن هناك مكونات مشتركة لمعادلات المخاطر يمكن أن تكون مفيدة لفهمها.
توجد أربع قوى أساسية تشارك في إدارة المخاطر، والتي تنطبق أيضًا على الأمن السيبراني: الأصول، التأثير، التهديدات، والاحتمالية.
الأصول: تشمل الأشياء الملموسة وغير الملموسة التي لها قيمة، وتتمتع بقدر من السيطرة الداخلية.
التأثير: يشير إلى الخسارة أو الضرر الذي قد يتعرض له أحد الأصول، وهنا لديك أيضًا بعض التحكم.
التهديدات: تمثل المخاطر التي يشكلها الأعداء وطرق هجمتهم، وهي خارج نطاق السيطرة.
الاحتمالية: تُعتبر العامل الحاسم الذي يحدد ما إذا كان التهديد سيتحقق، ومتى سينجح، ومدى الضرر الناتج عنه.
على الرغم من عدم وجود سيطرة كاملة على جميع العوامل، إلا أنه من الممكن تشكيل الاحتمالات والتأثير عليها لإدارة المخاطر بشكل فعال.
من الناحية الرياضية، يمكن تمثيل القوى في صيغة مثل:
الخطر=p(الأصول,التهديد)×d(الأصول,التهديد)
حيث يُمثل p() احتمال حدوث أو نجاح التهديد ضد أحد الأصول، و d() يُمثل احتمال حدوث مستويات مختلفة من الضرر.
أدى مجال إدارة مخاطر تكنولوجيا المعلومات إلى ظهور عدد من المصطلحات والتقنيات الفريدة لهذه الصناعة. ومع ذلك، لا يزال يتعين التوفيق بين بعض شروط الصناعة. على سبيل المثال، يُستخدم مصطلح "الضعف" (Vulnerability) غالبًا بالتبادل مع "احتمالية الحدوث" (Likelihood of Occurrence)، وهو ما قد يكون إشكاليًا.
تتضمن المصطلحات والتقنيات المستخدمة بشكل متكرر في إدارة مخاطر تكنولوجيا المعلومات ما يلي:
التقييم (Assessment): عملية تحديد وتقييم المخاطر المحتملة.
التخفيف (Mitigation): الإجراءات المتخذة لتقليل المخاطر.
التهديدات (Threats): أي عنصر يمكن أن يتسبب في ضرر للأصول.
التحليل (Analysis): دراسة المخاطر لتحديد تأثيراتها المحتملة.
الاستجابة (Response): الخطوات المتخذة للتعامل مع المخاطر عند ظهورها.
الامتثال (Compliance): الالتزام بالقوانين واللوائح المعمول بها في مجال تكنولوجيا المعلومات.
هذه المصطلحات تعكس أهمية الفهم الدقيق للمخاطر وكيفية التعامل معها بفعالية.
يمكن أن يكون الحدث مؤكدًا أو غير مؤكد.
يمكن أن يكون الحدث عبارة عن حدث واحد أو سلسلة من الأحداث. :(دليل ISO/IEC 73)
يمكن أن يكون هناك أكثر من نتيجة لحدث واحد.
يمكن أن تتراوح العواقب من الإيجابية إلى السلبية.
يمكن التعبير عن النتائج نوعيًا أو كميًا (دليل ISO/IEC 73)
إن المخاطر R هي حاصل ضرب احتمالية وقوع حادث أمني L مضروبة في التأثير I الذي سوف تتعرض له المنظمة بسبب الحادث، أي:
إن احتمال وقوع حادث أمني يعتمد على احتمال ظهور التهديد واحتمال أن يتمكن التهديد من استغلال نقاط الضعف ذات الصلة في النظام بنجاح.
إن عواقب وقوع حادث أمني هي وظيفة التأثير المحتمل الذي سيحدثه الحادث على المنظمة نتيجة للأضرار التي ستلحق بأصول المنظمة. الضرر مرتبط بقيمة الأصول بالنسبة للمنظمة؛ فالأصل نفسه يمكن أن يكون له قيم مختلفة بالنسبة للمنظمات المختلفة.
لذا فإن R يمكن أن تكون دالة لأربعة عوامل :
أ = قيمة الأصول
T = احتمالية التهديد
V = طبيعة الثغرة الأمنية أي احتمالية إمكانية استغلالها (متناسبة مع الفائدة المحتملة للمهاجم وعكسيا مع تكلفة الاستغلال)
أنا = التأثير المحتمل، مدى الضرر
إذا كانت القيم العددية (مثل المال مقابل التأثير والاحتمالات للعوامل الأخرى) متاحة، فيمكن التعبير عن المخاطر من حيث القيمة النقدية، مما يتيح مقارنتها بتكلفة التدابير المضادة والمخاطر المتبقية بعد تطبيق الرقابة الأمنية. ومع ذلك، ليس من العملي دائمًا التعبير عن هذه القيم بشكل دقيق.
لذلك، في الخطوة الأولى من تقييم المخاطر، يتم تصنيف المخاطر بدون أبعاد على مقاييس مكونة من ثلاث أو خمس خطوات. هذه المقاييس تساعد في تقديم تقدير نسبي للمخاطر وتسهيل اتخاذ القرارات حول كيفية التعامل معها.
يقترح OWASP إرشادات عملية لقياس المخاطر  استنادًا إلى:
تقدير احتمال كمتوسط بين العوامل المختلفة في مقياس من 0 إلى 9:
عوامل عامل التهديد
مستوى المهارات: ما مدى مهارة هذه المجموعة من عملاء التهديد؟ لا مهارات فنية (1) ، بعض مهارات فنية (3) ، مستخدم حاسوب متقدم (4) ، مهارات الشبكة والبرمجة (6) ، مهارات اختراق الأمن (9)
الدافع: ما هو الدافع لهذا المجموعة من وكلاء التهديد للعثور على هذه الضعف والاستغلال منه؟ قليل أو لا مكافأة (1) ، مكافأة محتملة (4) ، مكافحة عالية (9)
الفرصة: ما هي الموارد والفرص التي تتطلبها هذه المجموعة من عناصر التهديد للعثور على هذه الضعف والاستغلال منه؟ الوصول الكامل أو الموارد الثمينة المطلوبة (0) ، الوصول الخاص أو الموارد المطلوبة (4) ، بعض الوصول أو الموارد المتطلبة (7) ، لا توفر الوصول او الموارد المطلبة (9)
حجم: كم عدد هذه المجموعة من العملاء المهددين؟ المطورين (2) مدراء النظام (2) مستخدمي الإنترنت الداخلي (4) الشركاء (5) المستخدمين الموثقين (6) ومستخدمي الإنترنت المجهولين (9)
عوامل الضعف: مجموعة من العوامل التالية مرتبطة بالضعف المعني. الهدف هنا هو تقدير احتمال اكتشاف الضعف المحدد المرتبط والاستغلال منه. افترضوا وكيل التهديد المختار أعلاه
سهولة الكشف: كم من السهل على هذه المجموعة من وكلاء التهديد اكتشاف هذه الضعف؟ مستحيل عمليًا (1) صعب (3) سهل (7) ، أدوات آلية متاحة (9)
سهولة الاستغلال: كم من السهل على هذه المجموعة من وكلاء التهديد استغلال هذه الضعف؟ الأدوات النظرية (1) الصعبة (3) السهلة (5) والآلية المتاحة (9)
الوعي: ما مدى معرفة هذه الضعفية لهذه المجموعة من عوامل التهديد؟ غير معروف (1) مخفي (4) واضح (6) ، معروف للجمهور (9)
اكتشاف الاختراق: ما هي احتمالية اكتشاف عملية استغلال؟ الكشف النشط في التطبيق (1) ، المسجلة والمراجعة (3) ، المسجلات دون مراجعة (8), غير المسجلة (9)
تقدير الأثر كمتوسط بين العوامل المختلفة على مقياس من 0 إلى 9
عوامل التأثير الفني؛ يمكن تقسيم التأثير التقني إلى عوامل تتوافق مع المجالات الأمنية التقليدية التي تهتم بها: السرية والنزاهة والتوفر والمساءلة. الهدف هو تقدير حجم التأثير على النظام إذا كان من المفترض استغلال الضعف.
فقدان السرية: كم من البيانات يمكن الكشف عنها ومدى حساسيتها؟ الحد الأدنى من البيانات غير الحساسة التي تم الكشف عنها (2) ، الحد الأقل من البيانة الحساسة المكشف عنها (6) ، والبيانات غير حاسمة المكشف عليها (6) ، والبيئة الكبيرة من البياناتك الحساسة المعروضة (7), وجميع البيانات المكشفة (9)
فقدان النزاهة: كم من البيانات يمكن أن تكون فاسدة وكم هي تلفها؟ البيانات المتلفة قليلاً (1) ، البيانات الملفة بشكل خطير (3) ، البيانة المتوسطة المتلفة بشكل طفيف (5) ، البياناتك المتوسطة الملفة جدًا (7) ، جميع البيانات فاسدة تماماً (9)
فقدان الوصول إلى الخدمة كم من الخدمة يمكن أن تخسر وكم هي حيوية؟ انقطاع الحد الأدنى للخدمات الثانوية (1) انقطاع الخدمات الأساسية الحد الأقل (5) وانقطاع الخوادم الثانوية الكبيرة (5) وانقطاب الخدمات الأولية الكبيرة (7) وانقطاع جميع الخدمات تماما (9)
فقدان المساءلة: هل يمكن تعقب أفعال العملاء الذين يُهددونهم إلى شخص واحد؟ يمكن تتبعها بالكامل (1) ، ويمكن تتبعها على الأرجح (7) ، مجهولة بالكامل (9)
عوامل تأثير الأعمال: تأثير الأعلام ينبع من التأثير التقني، ولكنه يتطلب فهم عميق لما هو مهم للشركة التي تدير التطبيق. بشكل عام، يجب أن تسعى إلى دعم مخاطرك مع تأثير الأعمال، وخاصة إذا كان جمهورك على مستوى تنفيذي. المخاطر التجارية هي ما يبرر الاستثمار في إصلاح مشاكل الأمن.
الضرر المالي: كم من الضرر المالي الذي سيؤدي إليه الاستغلال؟ أقل من تكلفة تحديد الضعف (1) تأثير طفيف على الربح السنوي (3) تأثير كبير على الربح ٱلسنوي (7) ، الإفلاس (9)
أضرر السمعة: هل سيؤدي التغلب على السمعة إلى ضرر يمكن أن يضر بالشركة؟ الأضرار الحد الأدنى (1) فقدان الحسابات الرئيسية (4) فقدان النوع الجيد (5) ، أضرار العلامة التجارية (9)
عدم الامتثال: كم من التعرض يسبب عدم الامتثل؟ انتهاك طفيف (2) انتهاك واضح (5) انتهاك رفيع المستوى (7)
انتهاك الخصوصية: كم من المعلومات الشخصية التي يمكن أن تكشف عنها؟ شخص واحد (3) ، مئات الأشخاص (5) ، آلاف الأشخاص (7) ، ملايين الأشخاص (9)
إذا تم حساب تأثير الأعمال بدقة استخدمها في ما يلي وإلا استخدم تأثير التقني
معدل احتمالية التأثير في مقياس منخفض، متوسط، مرتفع، افتراض أن أقل من 3 هو منخفضة، 3 إلى أقل من 6 هو متوسط، و 6 إلى 9 هو مرتفع.
الحساب من المخاطر باستخدام الجدول التالي
| خطورة المخاطر الإجمالية | خطورة المخاطر الإجمالية | خطورة المخاطر الإجمالية | خطورة المخاطر الإجمالية | خطورة المخاطر الإجمالية |
| --- | --- | --- | --- | --- |
| تأثير | عالي | واسطة | عالي | شديد الأهمية |
| تأثير | واسطة | قليل | واسطة | عالي |
| تأثير | قليل | لا أحد | قليل | واسطة |
| تأثير |  | قليل | واسطة | عالي |
: احتمالية