قيادة برنامج الأمن: المخاطر بالأرقام والحوادث الكبرى

طريقان إلى نفس الفكرة

قبل أن تبدأ

الفكرة الجوهرية

1الخطر بالمال

سجل المخاطر في المرحلة الأولى كان «عالي، متوسط، منخفض». هذا يكفي للترتيب، لكنه لا يجيب عن سؤال المدير المالي. الخطوة التالية: رقم بالمال، ولو تقريبيًا، مع مدى يوضح عدم اليقين. والمهم ليس الدقة المطلقة، بل أن تقارن الخيارات بالوحدة نفسها.

النصف الأول هو حساب الكتب الكلاسيكي. الثاني يقرّب طريقة FAIR: مدى بدل رقم، ومحاكاة تعطيك «سنة سيئة» (المئين التسعين) لا المتوسط فقط.

import random

random.seed(7)

def ale(sle, aro):
    return sle * aro

def rosi(ale_before, ale_after, cost):
    return (ale_before - ale_after - cost) / cost

# Ransomware on the ERP system, in SAR.  SLE = asset value x exposure factor
sle = 8_000_000 * 0.6                     # 4.8 M: downtime, recovery, fines, lost trust
before, after = ale(sle, 0.5), ale(sle, 0.15)   # one in two years -> about one in seven
cost = 600_000                            # immutable backups + EDR + MFA for admins, per year
print(f"SLE {sle:,.0f}   ALE before {before:,.0f}   after {after:,.0f}")
print(f"ROSI = ({before:,.0f} - {after:,.0f} - {cost:,.0f}) / {cost:,.0f} = {rosi(before, after, cost):.0%}")

# FAIR style: ranges instead of one number, simulated many times
def tri(low, likely, high):
    return random.triangular(low, high, likely)

def one_year(aro):
    hits = sum(random.random() < aro / 12 for _ in range(12))    # each month may bring an attack
    return sum(tri(1.5e6, 3.5e6, 9.4e6) for _ in range(hits))     # each loss somewhere in a range

years = sorted(one_year(0.5) for _ in range(10_000))
print(f"simulated: average {sum(years) / len(years):,.0f}, median {years[5_000]:,.0f}, "
      f"bad year (90th percentile) {years[9_000]:,.0f}")

2مقاييس تقود القرار

المقياس الجيد يجيب عن سؤال ويدفع لفعل. «عدد الهجمات المحجوبة» رقم كبير يُرضي لكنه لا يقول شيئًا. هذه مقاييس تقول:

3قيادة الحادثة الكبرى

في الحادثة الكبرى أخطر شيء ليس المهاجم، بل الفوضى: عشرون شخصًا في مكالمة، كل واحد يقترح، ولا أحد يقرر، والمدير التنفيذي يتصل كل عشر دقائق. الحل أدوار مكتوبة قبل الحادثة، يعرفها الجميع ويتدربون عليها. امشِ الساعات الأولى من حادثة فدية:

مثال محلول

المسألة: عندك ميزانية 900 ألف ريال، وثلاثة مشاريع: (أ) نسخ احتياطية غير قابلة للتعديل بـ 300 ألف تخفض ALE للفدية من 2.4 مليون إلى 1.2 مليون؛ (ب) أداة DLP بـ 600 ألف تخفض ALE لتسرب البيانات من 900 ألف إلى 600 ألف؛ (ج) مفاتيح FIDO2 للجميع بـ 250 ألفًا تخفض ALE لسرقة الحسابات من 1.5 مليون إلى 0.4 مليون. ماذا تختار؟

الحل: احسب ROSI لكل مشروع: (أ) (1.2M − 300k) ÷ 300k = 300%؛ (ب) (300k − 600k) ÷ 600k = −50%، أي يكلف أكثر مما يوفر؛ (ج) (1.1M − 250k) ÷ 250k = 340%. اختر (ج) و(أ) بمجموع 550 ألفًا، واترك (ب) الآن. والـ 350 ألفًا الباقية؟ لا تصرفها لأنها موجودة: اقترح أعلى خطر تالٍ في السجل، أو أعدها. وفي العرض للإدارة: ثلاثة أسطر بالأرقام، ونبّه إلى أن الأرقام تقديرات بمدى، وأنك ستقيس الأثر بعد سنة (عدد سرقات الحسابات ونتائج اختبار الاستعادة).

خرافة مقابل حقيقة

أين تقابله في العمل

اختبر فهمك

بطاقات مراجعة سريعة

تحقق من فهمك