Analiza ryzyk w obszarze cyberbezpieczeństwa w oparciu o normę ISO/IEC 27001:2022 oraz metodykę MITRE

Kontekst: dlaczego ocena ryzyka bywa fikcją

Norma ISO/IEC 27001:2022 wymaga od organizacji przeprowadzenia formalnej oceny ryzyka bezpieczeństwa informacji - to jeden z fundamentów systemu zarządzania bezpieczeństwem informacji (SZBI). Czego norma jednak celowo nie robi, to narzucenie konkretnej metodyki szacowania ryzyka. Decyzję, jak dokładnie identyfikować zagrożenia i oceniać ich prawdopodobieństwo, ustawa zostawia samej organizacji - co w praktyce oznacza, że jakość analizy ryzyka zależy niemal wyłącznie od tego, jak dobrze zespół odpowiedzialny za nią rozumie, jak faktycznie działają atakujący.

W efekcie w wielu organizacjach ocena ryzyka sprowadza się do arkusza kalkulacyjnego z listą ogólnych zagrożeń - „nieautoryzowany dostęp”, „złośliwe oprogramowanie”, „błąd ludzki” - ocenionych subiektywnie jako wysokie, średnie lub niskie ryzyko, bez jasnego uzasadnienia, dlaczego akurat tak. Taki dokument spełnia formalny wymóg normy i przechodzi audyt certyfikujący, ale niewiele mówi o tym, czy organizacja jest rzeczywiście przygotowana na atak, jaki najprawdopodobniej ją spotka. Audytor certyfikujący sprawdza, czy proces oceny ryzyka istnieje i jest udokumentowany zgodnie z przyjętą metodyką - nie ocenia merytorycznie, czy ta metodyka faktycznie odzwierciedla realny krajobraz zagrożeń, bo to wykracza poza zakres typowego audytu zgodności.

W tym artykule pokazujemy, jak wypełnić tę lukę, łącząc formalne wymogi normy ISO/IEC 27001:2022 z metodyką MITRE ATT&CK - opartą nie na teoretycznych kategoriach zagrożeń, lecz na udokumentowanych, realnie zaobserwowanych technikach ataku.

Co daje ISO 27001, a czego nie daje

Norma ISO/IEC 27001:2022 dostarcza solidną strukturę: wymóg systematycznej identyfikacji ryzyka (klauzula 6.1.2), wdrożenia procesu jego oceny (klauzula 8.2), a także zestaw 93 kontroli bezpieczeństwa w Załączniku A, pogrupowanych w cztery tematy - organizacyjne, dotyczące ludzi, fizyczne i technologiczne. Deklaracja stosowania (Statement of Applicability, SoA) wymaga uzasadnienia, które z tych kontroli zostały wdrożone, a które świadomie pominięte i dlaczego.

To, czego norma nie dostarcza, to odpowiedzi na pytanie: jakimi konkretnie metodami atakujący faktycznie próbują naruszyć bezpieczeństwo organizacji podobnej do Twojej? Bez tej wiedzy zespół odpowiedzialny za ocenę ryzyka pracuje na poziomie ogólnych kategorii, zamiast konkretnych, sprawdzalnych scenariuszy - a to prowadzi do sytuacji, w której dokumentacja ryzyka jest formalnie kompletna, lecz merytorycznie oderwana od rzeczywistego profilu zagrożeń organizacji.

Czym jest MITRE ATT&CK i jak wypełnia tę lukę

MITRE ATT&CK to publicznie dostępna baza wiedzy o taktykach i technikach wykorzystywanych przez atakujących, budowana od 2013 roku na podstawie realnie udokumentowanych incydentów i kampanii - nie teoretycznych rozważań o tym, co atakujący mógłby zrobić, lecz katalogu tego, co faktycznie robił.

Struktura ramówki opiera się na dwóch poziomach. Taktyki opisują cel działania atakującego na danym etapie ataku - na przykład uzyskanie początkowego dostępu, unikanie wykrycia czy eksfiltrację danych. Techniki (i bardziej szczegółowe subtechniki) opisują konkretny sposób osiągnięcia tego celu - na przykład wykorzystanie przejętych, ważnych danych uwierzytelniających, phishing ukierunkowany na konkretne stanowisko w organizacji, czy użycie legalnych narzędzi administracyjnych do ukrycia złośliwej aktywności w typowym ruchu sieciowym.

Kluczowa różnica względem klasycznej, kategorialnej listy zagrożeń polega na tym, że każda technika w ATT&CK jest powiązana z udokumentowanymi przypadkami jej wykorzystania w realnych atakach - co pozwala ocenić nie „czy teoretycznie mogłoby się to zdarzyć”, lecz „jak często i w jakich okolicznościach faktycznie się to zdarza” organizacjom o podobnym profilu.

Klasyczna ocena ryzyka odpowiada na pytanie „co mogłoby pójść nie tak” w sposób tak ogólny, że odpowiedź brzmi zawsze tak samo, niezależnie od branży. Mapowanie na konkretne techniki ATT&CK zmusza do odpowiedzi na dokładniejsze pytanie: która konkretna metoda ataku, udokumentowana w realnych incydentach, rzeczywiście ominie nasze obecne zabezpieczenia? To pytanie da się już zweryfikować, a nie tylko oszacować.

Kamil Ciaś, współzałożyciel betternow.group | Chief Information Security Officer | Dyrektor ds. Bezpieczeństwa Informacji / Dyrektor ds. Cyberbezpieczeństwa

Jak połączyć obie metodyki w praktyce

Połączenie obu podejść nie wymaga rezygnacji ze struktury wymaganej przez normę - wymaga jedynie wypełnienia jej konkretniejszą treścią na kluczowym etapie.

Krok 1: zidentyfikuj aktywa i kontekst, tak jak wymaga tego norma. Punktem wyjścia pozostaje standardowa inwentaryzacja aktywów informacyjnych i systemów - to się nie zmienia. Zmienia się to, co dzieje się z tą listą w kolejnym kroku.

Krok 2: zamiast wymyślać zagrożenia, zmapuj relewantne techniki ATT&CK. Dla każdego istotnego aktywa lub systemu określ, które taktyki i techniki z macierzy ATT&CK są realistycznie istotne dla jego profilu - inaczej wygląda ekspozycja serwera z publicznym dostępem, inaczej stacji roboczej pracownika działu finansowego, a jeszcze inaczej środowiska chmurowego z integracjami zewnętrznych dostawców.

Krok 3: oceń, czy istniejące kontrole faktycznie adresują te konkretne techniki. To etap analizy luk (gap analysis) - dla każdej zmapowanej techniki sprawdź, czy posiadane kontrole z Załącznika A rzeczywiście ją wykrywają, utrudniają lub uniemożliwiają, czy tylko teoretycznie powinny to robić. Różnica bywa spora: polityka haseł istnieje na papierze, ale bez wymuszonego uwierzytelniania wieloskładnikowego nie chroni realnie przed techniką wykorzystania przejętych danych uwierzytelniających.

Krok 4: priorytetyzuj na podstawie udokumentowanej częstości wykorzystania, nie tylko intuicji zespołu. Część technik odpowiada za nieproporcjonalnie dużą część realnych incydentów - warto oprzeć priorytety właśnie na tym, a nie na tym, która luka wydaje się subiektywnie najbardziej niepokojąca osobie wypełniającej arkusz ryzyka.

Krok 5: przełóż wynik z powrotem na formalne wymogi normy. Zmapowane techniki, ich pokrycie przez istniejące kontrole i zidentyfikowane luki trafiają do rejestru ryzyka i planu postępowania z ryzykiem - ale teraz każda pozycja ma konkretne, możliwe do zweryfikowania uzasadnienie, zamiast samej subiektywnej etykiety.

Narzędzia, które ułatwiają mapowanie

Ręczne przechodzenie przez kilkaset technik ATT&CK dla każdego aktywa byłoby niepraktyczne, ale nie trzeba zaczynać tego procesu od zera. MITRE ATT&CK Navigator, darmowe narzędzie udostępnione przez samą organizację MITRE, pozwala wizualnie zaznaczyć, które techniki są pokryte przez istniejące kontrole, które częściowo, a które wcale - w formie czytelnej, kolorowej mapy zamiast tabeli z dziesiątkami wierszy trudnych do ogarnięcia na pierwszy rzut oka.

Wiele organizacji zaczyna od gotowych, publicznie dostępnych profili zagrożeń charakterystycznych dla swojej branży, zamiast mapować wszystkie techniki od podstaw - dla sektora finansowego czy dostawców usług chmurowych takie profile są dziś dość dobrze udokumentowane w publicznie dostępnych raportach i analizach. To znacząco skraca czas pierwszego przejścia przez proces, a szczegółowe dostrojenie mapowania do specyfiki konkretnej organizacji można wykonać w kolejnych iteracjach, zamiast czekać, aż wszystko będzie idealnie dopracowane od pierwszego podejścia.

Studium przypadku

Firma dostarczająca oprogramowanie SaaS do zarządzania kadrami i płacami dla około 200 klientów biznesowych, zatrudniająca 45 osób, posiadała certyfikat ISO 27001 od dwóch lat. Rejestr ryzyka, przygotowany przy pierwszej certyfikacji, zawierał kilkanaście pozycji sformułowanych bardzo ogólnie - „nieautoryzowany dostęp do danych klientów” oceniony jako ryzyko wysokie, z adnotacją „mitygowane przez politykę haseł i szkolenia”. Dokument przechodził kolejne audyty nadzoru bez zastrzeżeń.

Impulsem do zmiany stał się szczegółowy kwestionariusz bezpieczeństwa od jednego z większych klientów, który wprost pytał o zabezpieczenia przed konkretnymi technikami ataku - w tym phishingiem ukierunkowanym na pracowników z dostępem do danych płacowych oraz wykorzystaniem przejętych kont w środowisku chmurowym. Zespół nie potrafił odpowiedzieć precyzyjnie, bo rejestr ryzyka nigdy nie schodził na ten poziom szczegółowości.

Mapowanie aktywów firmy na relewantne techniki ATT&CK ujawniło konkretne luki: konta w panelu administracyjnym systemu kadrowego nie wymagały uwierzytelniania wieloskładnikowego, mimo że dawały dostęp do danych wynagrodzeń wszystkich klientów, a monitoring logowań nie wykrywał nietypowych wzorców dostępu spoza standardowych godzin pracy. Obie luki dotyczyły technik z kategorii wykorzystania ważnych, przejętych danych uwierzytelniających - jednej z najczęściej wykorzystywanych w realnych atakach na środowiska SaaS. Zespół wdrożył obowiązkowe MFA dla wszystkich kont administracyjnych, alerty dla logowań o nietypowych porach oraz zaktualizował rejestr ryzyka o konkretne, zmapowane techniki zamiast ogólnych kategorii.

Zaktualizowany rejestr ryzyka, przedstawiony klientowi jako odpowiedź na jego kwestionariusz bezpieczeństwa, zawierał konkretne odniesienia do zmapowanych technik oraz opis wdrożonych kontroli adresujących każdą z nich - zamiast ogólnikowego zapewnienia „stosujemy odpowiednie środki bezpieczeństwa”. Klient przedłużył umowę bez dalszych zastrzeżeń, a sam proces mapowania, powtórzony później dla pozostałych kluczowych systemów firmy, ujawnił jeszcze dwie mniej oczywiste luki związane z zarządzaniem dostępem byłych pracowników - obszar, który formalny audyt certyfikujący wcześniej dwukrotnie zaakceptował bez zastrzeżeń.

Zespoły techniczne czasem obawiają się, że wprowadzenie kolejnej metodyki obok już wdrożonej normy oznacza podwójną pracę i podwójną dokumentację. W praktyce dobrze wykonane mapowanie na ATT&CK nie zastępuje dokumentacji wymaganej przez ISO 27001 - ono ją wypełnia treścią, którą łatwiej zrozumieć zarządowi niż arkusz z kolumnami „wysokie/średnie/niskie” bez żadnego uzasadnienia.

Edyta Müller-Ciaś, współzałożycielka betternow.group | Chief Change & Culture Officer | dyrektorka ds. rozwoju organizacji | ekspertka ds. zarządzania zmianą i psychologii biznesu

Wnioski praktyczne

• Norma ISO 27001 wymaga oceny ryzyka, ale nie narzuca metodyki - jakość analizy zależy od tego, czym wypełni się tę lukę, a subiektywne kategorie „wysokie/średnie/niskie” bez konkretnego uzasadnienia to najsłabszy możliwy wybór.
• MITRE ATT&CK dostarcza konkretnych, udokumentowanych technik ataku zamiast teoretycznych kategorii zagrożeń - dzięki temu ocena ryzyka odpowiada na pytanie możliwe do zweryfikowania, a nie tylko oszacowania.
• Mapowanie technik na aktywa pozwala na rzeczywistą analizę luk - sprawdza, czy istniejące kontrole z Załącznika A faktycznie adresują konkretne metody ataku, a nie tylko istnieją formalnie w dokumentacji.
• Priorytetyzacja oparta na udokumentowanej częstości wykorzystania technik jest bardziej wiarygodna niż subiektywna intuicja zespołu wypełniającego rejestr ryzyka.
• Połączenie obu podejść nie zwiększa biurokracji, tylko jakość istniejącej dokumentacji - wynik nadal trafia do standardowego rejestru ryzyka i SoA wymaganych przez normę, tylko z konkretniejszym uzasadnieniem każdej pozycji.

Twoja ocena ryzyka przechodzi audyty, ale nie jesteś pewien, czy faktycznie odzwierciedla realne zagrożenia dla Twojej organizacji? betternow.group łączy wymogi normy ISO/IEC 27001:2022 z analizą opartą na metodyce MITRE ATT&CK, żeby dokumentacja ryzyka miała realne pokrycie w tym, jak faktycznie działają atakujący. Skontaktuj się z nami.