Telegram-канал alukatsky - Пост Лукацкого: Technologies

Пост Лукацкого

25 November 2025 19:51

А Nano Banana Pro неплоха... 🎨

#оценказащищенности

Пост Лукацкого

25 November 2025 10:34

На конференции OWASP Global AppSec 🖥 известный эксперт по моделированию угроз Адам Шостак заявил (и я его в этом поддерживаю), что попытки количественно измерять и управлять рисками в кибербезопасности – это зачастую пустая трата времени и усилий. Он отметил, что в бизнес- и технологическом контексте риска (вероятность × ущерб) мы часто действуем так, как будто эта модель работает, хотя она не решает наши реальные проблемы 💡

Почему Адам так считает? Да все просто. Нельзя достоверно измерить вероятность наступления инцидента, а также невозможно точно оценить его воздействие (ущерб) до того, как он случится 🤔 Да, можно прикинуть статьи затрат, но не более. Часто организации пользуются таким понятием риска ИБ как аксиомой, хотя оно не всегда применимо – особенно когда речь о редких или единичных инцидентах, где статистика неприменима. Эта фиксация на "риск = вероятность × ущерб" приводит к внутренним спорам и нежелательным последствиям (например, спор о цифрах вместо фокусировки на защите) 🤔

Шостак предлагает другой подход – вместо попыток "измерить риск ИБ" использовать моделирование угроз; что и понятно, раз он много лет занимается этой темой. Он предлагает задавать следующие вопросы: 🤔
1️⃣ Что мы создаем / над чем работаем?
2️⃣ Что может пойти не так?
3️⃣ Что мы можем с этим сделать?
4️⃣ Провели ли мы работу качественно?

Также он приводит пример Microsoft 📱, где использовали не столько оценку вероятности и ущерба, сколько "bug bars" – шкалы, где уязвимости ранжируются по серьезности, а не по оценке вероятности. Адам Шостак подчеркивает: приоритизация должна опираться не на "риск" в математическом смысле 🧮, а на три фактора:
*️⃣ стоимость исправления,
*️⃣ эффект от исправления,
*️⃣ нагрузку на безопасность.

Я уже много лет придерживаюсь той же позиции относительно киберрисков, но с предложенной Шостаком заменой не согласен 🙅‍♂️ Он принижает тему, делая ее более техничной, вместо того, чтобы говорить на ином языке с бизнесом, который не позволит у вас спрашивать: "А откуда вы взяли эти цифры?". Идея с теми же недопустимыми событиями на уровне топ-менеджмента прекрасно заменяет тему рисков. Если, конечно, у нас нет законодательных ограничений (а они есть) и сложившаяся привычка. Но об этом в следующий раз 🤔

#риски #метрики #модельугроз #недопустимое