ID.RA-01 ID.RA-02 ID.RA-03 ID.RA-04 ID.RA-05 ID.RA-06 ID.RA-07 ID.RA-08 ID.RA-09 ID.RA-10

Rizikos vertinimas (RA)

Organizacija supranta kibernetinio saugumo riziką organizacijai, turtui ir asmenims

ID.RA-01

Nustatomos, patvirtinamos ir registruojamos pažeidžiamosios turto vietos

1. Naudokite pažeidžiamumų valdymo technologijas, kad nustatytumėte nepataisytą ir neteisingai sukonfigūruotą programinę įrangą;
2. Įvertinkite tinklo ir sistemos architektūrą, ar joje nėra kibernetiniam saugumui įtakos turinčių projektavimo ir įgyvendinimo trūkumų;
3. Peržiūrėkite, analizuokite, testuokite organizacijoje sukurtą programinę įrangą, kad nustatytumėte dizaino, kodavimo ir numatytosios konfigūracijos pažeidžiamumus;
4. Patalpas, kuriose saugomas ypatingos svarbos kompiuterinis turtas, įvertinkite dėl fizinio pažeidžiamumo ir atsparumo problemų;
5. Stebėkite kibernetinių grėsmių žvalgybos šaltinius ir ieškokite informacijos apie naujus produktų ir paslaugų pažeidžiamumus;
6. Peržiūrėkite procesus ir procedūras dėl trūkumų, kuriais būtų galima pasinaudoti siekiant paveikti kibernetinį saugumą.

Nuoroda į originalą

ID.RA-02

Kibernetinių grėsmių žvalgybinė informacija gaunama iš dalijimosi informacija forumų ir kitų šaltinių

1. Sukonfigūruokite kibernetinio saugumo įrankius ir technologijas, turinčias aptikimo ar reagavimo galimybes, kad saugiai priimtų kibernetinių grėsmių žvalgybos srautus;
2. Gaukite ir peržiūrėkite patikimų trečiųjų šalių pranešimus apie esamus grėsmingus veikėjus ir jų taktikas, technikas bei procedūras (TTP);
3. Stebėkite kibernetinių grėsmių žvalgybos šaltinius, kad gautumėte gauti informacijos apie naujų technologijų pažeidžiamumo tipus.

Nuoroda į originalą

ID.RA-03

Nustatomos ir registruojamos vidinės ir išorinės grėsmės organizacijai

1. Naudokite kibernetinių grėsmių žvalgybos duomenis, kad žinotumėte, kokio tipo grėsmių dalyviai gali atakuoti organizaciją ir kokias TTP jie gali naudoti;
2. Vykdykite grėsmių medžioklę, aplinkoje ieškodami pavojingų dalyvių požymių;
3. Įdiekite procesus, skirtus identifikuoti vidinius grėsmių veikėjus.

Nuoroda į originalą

ID.RA-04

Nustatomas ir registruojamas potencialus grėsmių poveikis ir tikimybė išnaudojus pažeidžiamumus

1. Verslo lyderiai ir kibernetinio saugumo rizikos valdymo specialistai bendradarbiauja, kad įvertintų rizikos scenarijų tikimybę ir poveikį bei užregistruotų juos rizikos registruose;
2. Išvardykite galimus verslo padarinius, kylančius dėl neteisėtos prieigos prie organizacijos komunikacijų, sistemų ir duomenų, apdorojamų tose sistemose;
3. Atsižvelkite į galimus grandininių gedimų padarinius sistemų sistemoms.

Nuoroda į originalą

ID.RA-05

Grėsmės, pažeidžiamumai, tikėtinumas ir poveikis naudojami siekiant suprasti būdingą riziką ir nustatyti reagavimo į riziką prioritetus

1. Kurti grėsmių modelius, siekiant geriau suprasti rizikas, susijusias su duomenimis, ir nustatyti tinkamus rizikos atsakus;
2. Nustatykite kibernetinio saugumo išteklių paskirstymo ir investicijų prioritetus, remdamiesi įvertintomis tikimybėmis ir poveikiu.

Nuoroda į originalą

ID.RA-06

Pasirenkami, nustatomi prioritetai, planuojami, stebimi ir perduodami reagavimo į riziką būdai

1. Taikykite pažeidžiamumo valdymo plano kriterijus sprendžiant ar priimti, perkelti, sumažinti ar išvengti rizikos;
2. Taikykite pažeidžiamumo valdymo plano kriterijus, renkantis kompensuojančias kontrolės priemones rizikai mažinti;
3. Stebėkite rizikos atsako įgyvendinimo pažangą (pvz., veiksmų planas ir etapai [POA&M], rizikos registras, išsami rizikos ataskaita);
4. Naudokite rizikos vertinimo atradimus, sprendimams ir veiksmams dėl reagavimo į riziką pagrįsti;
5. Planuojamus rizikos atsakus paveiktiems suinteresuotiesiems subjektams komunikuokite prioriteto tvarka.

Nuoroda į originalą

ID.RA-07

Pakeitimai ir išimtys kontroliuojami, vertinamas jų poveikis rizikai, registruojami ir stebimi

1. Įgyvendinkite ir laikykitės procedūrų formaliam dokumentavimui, peržiūroms, testavimui, siūlomų pakeitimų patvirtinimui ir pageidaujamoms išimtims;
2. Dokumentuokite galimas rizikas, susijusias su kiekvieno siūlomo pakeitimo įgyvendinimu arba neatlikimu, ir pateikite gaires kaip atšaukti pakeitimus;
3. Dokumentuokite rizikas, susijusias su kiekviena prašoma išimtimi, ir planą, kaip reaguoti į tas rizikas;
4. Periodiškai peržiūrėkite rizikas, kurios buvo priimtos remiantis planuojtais ateities veiksmais ar etapais.

Nuoroda į originalą

ID.RA-08

Nustatomi pažeidžiamumo atskleidimo gavimo, analizės ir reagavimo procesai

1. Vykdykite pažeidžiamumo informacijos dalijimąsi tarp organizacijos ir jos tiekėjų, laikydamiesi sutartyse apibrėžtų taisyklių ir protokolų;
2. Paskirkite atsakomybes ir patikrinkite vykdymą procedūrų, skirtų kibernetinių grėsmių, pažeidžiamumų ar incidentų atskleidimų iš tiekėjų, klientų, partnerių ir vyriausybinių kibernetinio saugumo organizacijų apdorojimui, poveikio analizei ir reagavimui.

Nuoroda į originalą

ID.RA-09

Prieš įsigyjant ar naudojant techninę ir programinę įrangą įvertinamas autentiškumas ir vientisumas

1. Prieš įsigydami ir naudodami svarbiausių technologijų produktus ir paslaugas, įvertinkite jų autentiškumą ir kibernetinį saugumą.

Nuoroda į originalą

ID.RA-10

Kritiniai tiekėjai įvertinami prieš pirkimą

1. Atlikite tiekėjų rizikos vertinimus pagal verslo ir taikomus kibernetinio saugumo reikalavimus, įskaitant tiekimo grandinę.

Nuoroda į originalą