Rýchly rozvoj informačných a komunikačných technológií so sebou prinášajú nevyhnutnosť systematicky riešiť ich ochranu. V tejto oblasti existuje množstvo špecifických odborných termínov a my postupne niektoré vysvetlíme. Aký je rozdiel medzi zraniteľnosťou, hrozbou, rizikom a udalosťou?
Najskôr si však definujme čo je aktívum, keďže o jeho poškodení alebo strate bude reč. Rozumieme pod ním všetko, čo má pre osobu, organizáciu, obec či štát hodnotu, a čoho narušením utrpí ujmu alebo škodu. Aktívom sú teda nielen nehnuteľnosti, hnuteľný majetok, financie, ale aj údaje, dobré meno, postavenie v práci, dôveryhodnosť, kredibilita, čistý trestný register, zdravie, HDP štátu, kvalita školstva a iné.
Zraniteľnosť (Vulnerability)
Pod týmto pojmom sa skrýva akékoľvek slabé miesto informačného aktíva, slabina v informačnom systéme, v bezpečnostných procedúrach systému, opatreniach alebo ich implementácii. Je to diera, na ktorú treba aplikovať záplatu (patch) prostredníctvom patch manažmentu. Konkrétne problémy je vhodné udržiavať v zozname známych zraniteľností, ktoré by sme mali identifikovať najmä cez zber informácií z oficiálnych zdrojov, napríklad od výrobcov a dodávateľov softvéru, hardvéru, systémových integrátorov, a pod. Ak si za príklad vezmeme ľudské zdravie ako aktívum, obmedzí nás v práci keď prechladneme. V prípade, že má pršať si preto vezmeme dáždnik. Zabudli sme však, že má diery. Mraky sú v tomto príklade hrozbou, dáždnik je ochranným mechanizmom a diera v ňom je zraniteľnosťou. Ak sme ju včas zaplátali, tak svoje aktívum (zdravie) ochránime. Ak sme si ju ale nevšimli, stále je šanca vziať si pršiplášť alebo dokonca zostať doma, a tak sa nevystaviť hrozbe. Opatrení na ošetrenie rizika prechladnutia (obmedzenia aktíva) je teda viacero.
Hrozba (Threat)
V prípade kybernetickej bezpečnosti je to zámerný pokus o získanie prístupu k systému jednotlivca alebo organizácie. Aktéri neustále vylepšujú svoje metódy útoku, vyhýbajú sa tak odhaleniu a zneužívajú novoobjavené citlivé miesta. Spoliehajú sa však aj na bežné metódy, na ktoré sa možno pripraviť. Inými slovami, hrozba je následná možnosť, že akákoľvek udalosť využije jestvujúcu zraniteľnosť a má nepriaznivý vplyv na kybernetickú bezpečnosť. Jej identifikácia sa vykonáva na princípe najhoršieho scenára (worst case) a hrozby sú uvedené v referenčnom katalógu hrozieb (ISO/IEC 27005:2022). Odporúča sa priebežne ho dopĺňať a brať pritom do úvahy skúsenosti z incidentov v minulosti. Prax delí hrozby na úmyselné, náhodné, a spôsobené vplyvom prostredia. Medzi najznámejšie patrí malvér, ransomvér, phishing, sociálne inžinierstvo, ale aj hrozby zvnútra organizácie.
Riziko (Risk)
Jednoducho povedané, je to miera pravdepodobnosti, že nastane nejaká nečakaná udalosť. V praxi to znamená situáciu, v ktorej konkrétna hrozba využije známu alebo neznámu zraniteľnosť s negatívnym dopadom na chránené aktíva. Výšku rizika ovplyvňuje miera pravdepodobnosti, že sa udalosť stane, a rozsah následku (škody, ujmy), ktorú spôsobí.
Udalosť (Security Incident)
Rozumieme pod ňou situáciu, ktorá spôsobí alebo môže spôsobiť nežiaduce prerušenie činnosti, stratu, núdzový stav alebo krízu v organizácii alebo v systéme. Pojem incident vysvetľujeme ako konkrétnu realizáciu hrozby, narušenia alebo útoku, zvyčajne spôsobenú človekom. Je ním napríklad porušenie bezpečnostnej politiky, prienik hackera do systému, narušenie objektu, únik utajovanej skutočnosti, strata služobného preukazu. Nie každý bezpečnostný incident musí spôsobiť škodu, napríklad pri streľbe osoba nemusí byť zasiahnutá, hackerský útok nemusí uspieť, jazda na červenú nemusí viesť k dopravnej nehode.
Účinná obrana sa začína poznaním stavu bezpečnosti IT prostredia a ošetrením zraniteľností. Pre pochopenie celej problematiky je preto dôležité správne sa orientovať v terminológii kybernetickej bezpečnosti.
