TL;DR

Eine kurze Zusammenfassung der Fliege und ihres potenziellen Anwendungsfalls in der Cybersicherheit:

• Die Fliege ist ein Konzept, das aus der Sicherheitsindustrie stammt. Es wird verwendet, um Sicherheitsrisiken und ihre Kontrollen darzustellen. Es ist etwas, das auch in der Cybersicherheit angewendet werden kann.
• Es ist eine visuelle Darstellung, in deren Mittelpunkt das negative Ereignis (z. B. Ransomware) steht. Die Ursachen werden links neben dem Ereignis dargestellt; und die Auswirkungen sind auf der rechten Seite.
• Fliegen dienen nicht nur der Vorbeugung, sondern auch der Genesung.
• Steuerelemente sind in den Diagrammen enthalten und können geschichtet werden, um die Verteidigung in der Tiefe zu zeigen.
• Die Fliege ist ein fantastisches Werkzeug, um hochrangige Stakeholder und andere Teile des Unternehmens einzubeziehen. Es kann auch als Kernstück für alle Cyber-Sicherheitsstrategien und Änderungsprogramme verwendet werden.

Eines der Dinge, die ich in meiner Karriere im Bereich Cyber ​​Security erkannt habe, ist, dass es eine ziemliche Herausforderung sein kann, ein Risikobild zu entwickeln und an hochrangige Stakeholder auf eine prägnante und leicht verständliche Weise zu vermitteln.

Als ich vor einigen Jahren versuchte, herauszufinden, ob es einen besseren Weg gibt, stieß ich auf eine vielversprechende Technik, die aus der Sicherheitsindustrie stammt: das so genannte Bow-Tie-Diagramm.

Es ist ein interessantes Konzept, das auf die Sicherheit in der chemischen Industrie in den 70er Jahren zurückgeht. Einen guten Artikel zu diesem Thema gibt es hier:https://www.gov.uk/government/news/bowtie-a-visual-tool-to-keep-an-overview-of-risk-management-practices.

Das Herzstück, und einer der Gründe, warum ich es liebe, ist eine einfache visuelle Möglichkeit, die Ursachen und Auswirkungen eines Risikos zu vermitteln, zusammen mit den Kontrollen, die notwendig sind, um einen Vorfall zu verhindern und sich von ihm zu erholen. Wenn Sie nach einer netten und einfachen Möglichkeit suchen, dem Vorstand Risiken zu vermitteln und beim Aufbau einer Cybersicherheitsstrategie zu helfen, ist die Fliege eine großartige visuelle Hilfe.

In diesem Whitepaper werde ich Ihnen das Konzept des Bow-Tie-Diagramms vorstellen, zeigen, wie es in der Cybersicherheit angewendet werden kann, und einige der zugrunde liegenden Prinzipien hervorheben, die bei der Kommunikation zwischen Interessengruppen oder beim Helfen mit großer Wirkung eingesetzt werden können Strategien zu entwickeln.

Was ist ein Bow-Tie-Diagramm?

Das Bowtie-Diagramm enthält 6 Teile: die Gefahr, das Ereignis, die Ursachen, die Auswirkungen, die vorbeugenden Kontrollen und die Wiederherstellungskontrollen.

In seinem Herzen sitzt eine Gefahr und ein negatives Ereignis. Angesichts der Assoziation des Bow-Tie-Diagramms mit der Sicherheitsindustrie ist ein klassisches Beispiel die Gefahr der „Arbeit in der Höhe“, bei der das negative Ereignis beispielsweise „Sturz“ ist. Aus Sicht des Risikomanagements besteht bei Arbeiten in der Höhe ein „Absturzrisiko“.

Auf der linken Seite des Diagramms sind alle möglichen Ursachen aufgeführt, die zum Eintreten des Ereignisses führen könnten. Dies kann sein: Arbeiten auf einer ungesicherten Leiter, Ausrutschen, Stolpern auf einer Plattform usw.

Auf der rechten Seite des Diagramms sind alle möglichen Auswirkungen aufgeführt. Ein Sturz aus großer Höhe kann zum Tod oder zu Verletzungen führen; aber es könnte auch dazu führen, dass ein oder mehrere Mitglieder des Führungsteams inhaftiert werden, Geldstrafen verhängt werden, das Unternehmen geschlossen wird, der Ruf verloren geht usw. Alles in allem gibt es jetzt ein einziges Diagramm, das die Ursachen und Auswirkungen von erfasst ein Vorfall.

Nachdem die Ursachen und Wirkungen dargelegt sind, können wir dann damit beginnen, die Präventions- und Wiederherstellungskontrollen auf das Diagramm zu legen. Um zu verhindern, dass die Ursachen zu einer Wirkung führen, wenden wir vorbeugende Kontrollen an – links im Diagramm – wie das Verbot der Verwendung von Leitern, die Verwendung von Gurten und Seilen, die Sicherstellung, dass die in der Höhe arbeitenden Personen entsprechend geschult sind usw.

Die Kontrollen, die rechts vom negativen Ereignis liegen, sind die Wiederherstellungskontrollen – diejenigen, die benötigt werden, um eine angemessene Reaktion (oder eine Reihe von Reaktionen) sicherzustellen, um die Auswirkungen eines Ereignisses zu mindern. Dies kann Versicherungen, dokumentierte Notfallmaßnahmen, Erste-Hilfe-Schulungen usw. umfassen.

Das Endergebnis ist ein Diagramm, das alle Ursachen und Auswirkungen eines unerwünschten Ereignisses sowie die mehrschichtigen Kontrollen darstellt, die erforderlich sind, um es zu verhindern und zu beheben – alles in einem einzigen Diagramm.

Beispiel Cybersicherheit

Um die Fliege im Kontext der Cybersicherheit zu demonstrieren, ist hier ein Beispiel für die Verwendung von Ransomware als zentrales negatives Ereignis.

Dies ist keinesfalls ein vollständiger Überblick, und mit etwas mehr Analyse können zusätzliche Ursachen, Auswirkungen und Kontrollen abgeleitet werden, da bin ich mir sicher. Für die Zwecke dieser Einführung in Bow-Tie-Diagramme reicht es jedoch als Beispiel aus, um die Konzepte für Cybersicherheitszwecke zu demonstrieren.

Die Gefahr und das Ereignis

Im Mittelpunkt steht das negative Ereignis (Risikowahrnehmung), an dem wir interessiert sind. In diesem Fall ist es Ransomware: die Geißel des modernen Unternehmens.

Ransomware ist jedoch nur möglich, wenn Ihre Mitarbeiter und Ihre Systeme mit dem Internet verbunden sind. Dies unterstreicht, dass die Gefahr in diesem Fall die Internetverbindung ist.

Die Gefahr an sich trägt nicht viel dazu bei, wenn wir Risiken betrachten (z. B. das Risiko, das von Ransomware ausgeht). Was jedoch hilfreich ist, ist damit zu beginnen, eine taxonomieähnliche Struktur auf Risiken anzuwenden. Nachdem Sie einige davon gemacht haben, erhalten Sie möglicherweise eine Reihe gängiger Fliegemuster für verschiedene Gefahren. Beispielsweise kann es eine Reihe gängiger Bow-Tie-Diagramme geben, die mit „Internetkonnektivität“ verbunden sind. Ebenso kann es eine Liste von Fliegen geben, die für so etwas wie „Heimarbeit“ relevant sind.

Mit ein wenig anfänglicher Arbeit beim Identifizieren von Gefahren und negativen Ereignissen können Sie sehr schnell damit beginnen, ein Sicherheitsmodell für Ihre Organisation zu entwickeln. Wenn ein Projekt sagt, dass es eine neue Reihe von Tools zur Unterstützung der Heimarbeit einsetzen möchte: Alles, was Sie tun müssen, ist, ihm die relevanten Fliege-Modelle zu geben und ihnen zu sagen, dass dies die Kontrollen sind, die vorhanden sein müssen. Obwohl der Schwerpunkt dieses Dokuments darauf liegt, wie man den leitenden Angestellten ein Risikobild vermittelt, kann das Bow-Tie-Konzept auch als eine Art Architektur-Leitfaden verwendet werden, um sicherzustellen, dass Projekte das Richtige tun.

Ursachen und Auswirkungen

Ursachen sind die Dinge, die zu einem negativen Ereignis führen können. Das Öffnen einer „Phishing-E-Mail“ und das Klicken auf einen eingebetteten Link kann dazu führen, dass Ransomware in das Unternehmen eindringt.

Es gibt viele Open-Source-Informationen, die Ihnen einen Hinweis auf die Arten von Ursachen geben können, die zu den identifizierten negativen Ereignissen führen können. Ebenso ist ein bisschen Ideenfindung mit den Fachexperten Ihrer Systeme eine gute Möglichkeit, eine gute Liste möglicher Ursachen zu erstellen.

Auf der anderen Seite der Fliege befinden sich die Einschläge. Dies erfasst die potenziellen Auswirkungen eines negativen Ereignisses. Wenn Ransomware durch Ihre Systeme wütet, werden Sie wahrscheinlich mit einem Verlust von Kundendaten, einem Verlust von Systemen und definitiv mit einem Reputationsverlust enden.

Bei der Betrachtung von Cyber-Ereignissen sind die Auswirkungen tendenziell standardisierter. Sie könnten bereits eine Wirkungsbibliothek definiert haben, und dann besteht die einzige Anforderung bei Sitzungen zur „Ideengenerierung“ darin, zu verstehen, welche davon auf bestimmte Situationen zutreffen.

Präventive und Reaktionskontrollen.

Wenn wir eine nackte Fliege betrachten, mit Ursachen auf der linken Seite, Ereignissen in der Mitte und Auswirkungen auf der rechten Seite, stellt dies eine Liste möglicher Pfade von links nach rechts dar (eine Reihe von Permutationen von Ursache und Wirkung für in Ermangelung einer besseren Definition). Im Fall der nackten Fliege erkennen wir, was schief gehen kann und was die Auswirkungen sein könnten, aber wir überlegen nicht, wie wir sie kontrollieren können.

Hier werden Präventiv- und Wiederherstellungskontrollen angewendet. Das Ziel ist es, das Auftreten von Ereignissen so schwer wie möglich zu machen; und wenn doch, wollen wir auch versuchen, die Auswirkungen so weit wie möglich zu mindern.

Der Ansatz bei der Anwendung dieser Kontrollen (bildhaft) besteht darin, sie im Wesentlichen auf den Pfaden von den Ursachen zum Ereignis und dann vom Ereignis zu den Auswirkungen zu platzieren.

Beim Bow Tie-Konzept sind wir nicht auf einzelne Bedienelemente beschränkt. Wir können sie von links nach rechts schichten! Dadurch demonstrieren wir eine umfassende Verteidigung; Das heißt, wir können Kontrollebenen hinzufügen, um die Wahrscheinlichkeit zu verringern und die Auswirkungen zu begrenzen, wenn Ereignisse eintreten, und um die Kontrolle aufrechtzuerhalten, falls eine unserer Kontrollen versagt.

Etwas anderes, das zu beachten ist, ist, dass wir auch Ereignisse und Auswirkungen kontrollieren können. Optisch ist dies großartig, da es den leitenden Angestellten leicht zu demonstrieren ist, welche der Kontrollen wahrscheinlich den größten risikomindernden Effekt haben. Aus der Perspektive der Unternehmensarchitektur können die Architekten auch die gleichen Bow Ties nutzen, um mit dem Aufbau einer umfassenderen Strategie und Roadmap zu beginnen, die in das Änderungsprogramm der Organisation für die Cybersicherheit einfließen.

Was Fliegen nicht sind …

Fliegen sind großartige visuelle Hilfsmittel. Sie sind brillante Werkzeuge, um eine visuelle Darstellung dessen zu liefern, was schief gehen könnte und wie wir es entweder von vornherein verhindern oder versuchen könnten, die Folgen zu begrenzen, wenn es passiert. Sie sollen Menschen helfen, Risikogespräche zu führen. Meiner Erfahrung nach sind sie auch eine großartige „Architektur“-Hilfe beim Aufbau einer Strategie.

Fliegen sind jedoch keine Risikoinstrumente. Sie zeigen natürlich nicht die Wahrscheinlichkeit der Ursachen und das Ausmaß der Auswirkungen (zumindest nicht ohne viele Optimierungen). Durch Drehen des Bow Tie-Griffs erhalten Sie keine priorisierte Liste oder riskieren das andere Ende davon.

Bow Ties müssen stattdessen zusätzlich zu den von Ihnen verwendeten Risikomanagement-Tools verwendet werden (ob es sich um ein teures Risikomanagement-Tool für Unternehmen oder nur um eine Tabellenkalkulation handelt). Die Fliege hilft, diese Tools zu ergänzen, indem sie eine Möglichkeit hinzufügt, eine menschlichere, intuitivere visuelle Hilfe für Risiken und Kontrollen bereitzustellen.

Schlussfolgerungen

Die Fliege ist eine großartige Möglichkeit, Risiken visuell zu vermitteln. Sie eignen sich auch hervorragend, um bestehende Risikomanagement-Tools zu ergänzen (insbesondere solche, die dazu neigen, Unmengen von Risikotabellen zu erstellen). Sie können sehr schnell eine Reihe von Bildern der schlimmsten Risiken der Organisation (zusammen mit Kontrollen) erstellen, um Gespräche mit wichtigen Interessengruppen zu führen.

Es ist ein großartiges Engagement-Tool, das mit großer Wirkung eingesetzt werden kann, wenn Sie an Folgendem arbeiten:

• Entwicklung der Cybersicherheitsstrategie des Unternehmens;
• Entwicklung der Sicherheitsarchitektur;
• Bereitstellung von Mitteilungen an interne und externe Interessengruppen; und
• Als Nordstern für das Cybersicherheitsprogramm des Unternehmens fungieren.