YS
Stanislav Sharakhin
Привет Maxpatrol)
)))))
Size: a a a
2020 July 18
S
У нас он был большой, прям очень, тяжко менеджить.
AB
Stanislav Sharakhin
Это можно легко посчитать, там проблема только с вероятностью эксплуатации.
Те, кто принимают решение мыслят ущербом, а не вероятностью. Если сумеете вероятность в деньги пересчитать - тогда бинго, у вас появится очень мощный аргумент.
S
Те, кто принимают решение мыслят ущербом, а не вероятностью. Если сумеете вероятность в деньги пересчитать - тогда бинго, у вас появится очень мощный аргумент.
Ну как мы помним, риск это ущерб, который причиняется ввиду реализации угрозы 6а ассете. В деньгах посчитать можно если знаешь стоимость импакта на ассет, а бизнес обычно ооочень приблизительно это знает.
S
С другой стороны, по классике, стоимость защиты может быть почти равна ущербу, бизнес на этр никогда не пойдёт.
AB
Stanislav Sharakhin
Ну как мы помним, риск это ущерб, который причиняется ввиду реализации угрозы 6а ассете. В деньгах посчитать можно если знаешь стоимость импакта на ассет, а бизнес обычно ооочень приблизительно это знает.
Вы пробовали считать? Сами банки не могут оценить ущерб от атаки. Оценки получаются плюс-минус километр
S
Вы пробовали считать? Сами банки не могут оценить ущерб от атаки. Оценки получаются плюс-минус километр
Пробовали, я ж и говорю, там всегда споры за вероятность и ущерб
S
Хотя, даже если взять ARO раз в 50-100 лет для критичного ассета, бюджета на ИБ должно хватить навсегда
S
Удивлён, думал в банках ущерб от операционных рисков норм просчитан
YS
Stanislav Sharakhin
Удивлён, думал в банках ущерб от операционных рисков норм просчитан
Не всегда и не везде)) банки они тоже разные, как и все компании)
AB
Stanislav Sharakhin
Удивлён, думал в банках ущерб от операционных рисков норм просчитан
Это было 5 лет назад, и беда в том, что они считают риск очень крупно. И их ассеты != ассеты с точки зрения ИБ. Поэтому их расчеты тяжело перенести на дефекты ИБ.
S
Не всегда и не везде)) банки они тоже разные, как и все компании)
Я б сказал, везде плохо. В 100% случаев при смене работы, на старом месте было лучше с ИБ :)
S
Это было 5 лет назад, и беда в том, что они считают риск очень крупно. И их ассеты != ассеты с точки зрения ИБ. Поэтому их расчеты тяжело перенести на дефекты ИБ.
Понятно что очень крупно, но если там используется интегральный показатель с весами, вполне можно попробовать влезть.
S
Есть ещё в ИБ некий Key risk indicator, это опережающий показатель, но мне пока ума не хватает его считать.
RR
Stanislav Sharakhin
Я б сказал, везде плохо. В 100% случаев при смене работы, на старом месте было лучше с ИБ :)
Это хороший показатель))
RR
Я как человек пытающийся быть рациональным сказал бы что если риски нельзя посчитать то и нефиг, надо пользоваться тем что можно посчитать, например уменьшать количество найденных уязвимостей в сонаркубе)
S
Я как человек пытающийся быть рациональным сказал бы что если риски нельзя посчитать то и нефиг, надо пользоваться тем что можно посчитать, например уменьшать количество найденных уязвимостей в сонаркубе)
Само собой. Я просто перфекционист-прокрастинатор, лучше хорошо и никогда, чем плохо но сейчас)
AB
Мы сейчас считаем взвешенный рисковый индекс, вывешиваем антигероев на дашбордах.
S
Мы сейчас считаем взвешенный рисковый индекс, вывешиваем антигероев на дашбордах.
WRT?
AB
Если ещё и фамилию рядом писать, то реакция много быстрее идёт