Falsk positiv vs. Sikkerhedshændelse

Hvorfor de er forskellige

En sikkerhedshændelse er reel skade eller en reel trussel; en falsk positiv lignede kun en, indtil nogen tjekkede.

Detektion og respons

En alarm om et angreb eller et problem, der viser sig ikke at findes, fordi harmløs aktivitet blev taget for skadelig.

Formelt

Resultatet, når et overvågningsværktøj, en regel eller en model markerer harmløs aktivitet som skadelig; det modsatte, en falsk negativ, er et reelt angreb, der slet ikke udløser nogen alarm.

Forklaret enkelt

Som en billarm, der går i gang, hver gang en lastbil kører forbi; efter en uge er der ingen på gaden, der så meget som kigger op.

I praksis

I en pensionskasse melder en alarm “muligt datatyveri” fra økonomiafdelingens drev; analytikeren ser, at det er rapportkørslen, der kører den sidste dag i hver måned, og lukker den.

Hvorfor det betyder noget

Hver enkelt spilder lidt tid, men mange af dem lærer medarbejderne at ignorere alarmer - og så bliver det ene reelle angreb vinket igennem sammen med resten.

Sikkerhedshændelse

Grundbegreber

En hændelse, der har skadet eller snart kan skade fortroligheden, integriteten eller tilgængeligheden af information eller systemer.

Formelt

Et faktisk eller sandsynligt brud på CIA-triaden eller organisationens sikkerhedspolitik, som kræver en reaktion. Til forskel fra en trussel, som blot er en mulighed, er en hændelse noget, der sker eller er sket.

Forklaret enkelt

Ikke stormvarslet i radioen, men vandet, der nu drypper ned fra loftet - noget er allerede galt, og nogen må handle.

I praksis

Mandag morgen opdager IT-supporten på et gymnasium, at filer på flere bærbare ikke kan åbnes, og IT-chefen opretter en hændelsessag og sætter planen for hændelseshåndtering i gang.

Hvorfor det betyder noget

Når noget kaldes en hændelse, starter uret - NIS2 kræver en tidlig varsling inden for 24 timer ved en væsentlig hændelse, og GDPR giver 72 timer til at anmelde et brud på persondatasikkerheden.