מודל הערכת איומים הוא ייצוג של תוכנית הארגון בנוגע לזיהוי האיומים האפשריים והאמצעים שינקוט כדי למזער או למנוע איומים אלה. מודלים אלה עשויים להשתמש גיליונות אלקטרוניים, גרפים, תרשימי זרימה, דיאגרמות או מספר עזרים אחרים כדי להמחיש את הנקודות הדרושות.
מטרה
מטרת מודל הערכת האיומים היא לתת לארגונים את היכולת לזהות איומים אפשריים לפני שהם מתרחשים ומתווים דרכים למנוע מהם או לבטל את השפעתם. ככל שהארגון הופך להיות גדול ומורכב יותר ויותר, סוגי האיומים השונים העומדים בפניו יכולים לגדול במספר וגודל, וחשוב שיהיה מודל מבוסס שהארגון יוכל להשתמש בו כדי לארגן ולנתח את האיומים הללו ולאחר מכן ליישם נגדם אמצעים נגדיים. ניסיון למזער איומים ללא שימוש במודל יכול להיות מבלבל, לא יעיל ואפילו יעיל.
שימושים
מודלים להערכת איומים יכולים להיות שימושיים כשמדובר בעניינים של אחריות, כגון סיכוני בטיחות העלולים לגרום ללקוחות להגיש תביעות אזרחיות כנגד קמעונאי. הם יכולים גם להתמודד עם דברים כמו אבטחת המחשב, אשר יכול להיות חשוב מאוד עבור חברות להתמודד עם חנויות עצום של פרטי חשבון הלקוח, במיוחד כאשר הם לאחסן מידע כמו מספרי כרטיסי אשראי, כתובות ומספרי ביטוח לאומי. על ידי יצירת איומים אפשריים ועלייה בדרכי ההתמודדות עמם, ארגונים יכולים להגן על עצמם, על המוניטין שלהם, על לקוחותיהם ועל החברה בכלל.
בעיות ליבה
על פי ג 'יימס ביין "סקירה של איום וסיכון הערכה" עבור מכון SANS, מקור לאימון אבטחת מידע, כל מודל הערכת האיום צריך להתמודד עם מספר נושאים מרכזיים. ראשית, עליו לזהות מה צריך להיות מוגן, כגון נכסים פיזיים או מידע רגיש. שנית, עליו לזהות את כל האיומים והפגיעות שארגון מתמודד איתם. שלישית, הוא חייב לפרוש את ההשלכות המלאות של מה יקרה אם כל הנכסים בעלי ערך היו ללכת לאיבוד. רביעית, היא חייבת לתת כמה פתרונות לגבי האופן שבו הארגון יכול למזער את החשיפה שלו לאיומים כאלה.
ניתוח איומים
בביצוע הערכת איום, עליך לנתח את טיבם ואת חומרתם של האיומים שארגוןך פונה אליהם. ההיבט החשוב ביותר של סיווג איומים הוא לזהות אותם כאדם אנושי או לא אנושי. איום אנושי, למשל, יהיה האקר, עובד ממורמר, עובד לא מאומן או גנב. איום לא אנושי יהיה אסון טבע או כישלון בציוד. מודל הערכת איומים חייב לסייע לך לרשום את כל האיומים האלה לכמת את מידת החומרה שלהם.
