Risikoreduktion

ISO/IEC 27005 kalder denne mulighed risikomodifikation, og ISO 31000:2018 punkt 6.5.2 deler den op i at ændre sandsynligheden og at ændre konsekvenserne, ved siden af at fjerne risikokilden. Skellet er vigtigt, når kontroller skal vælges. Kontroller, der sænker sandsynligheden, virker før en hændelse: patching, MFA, netværkssegmentering, allow-listing af applikationer og sikker konfiguration. Kontroller, der sænker konsekvensen, virker under eller efter den: offline backup med testede gendannelser, uforanderlig logning, kryptering af lagrede data, så stjålne medier gør mindre skade, samt beredskabs- og kontinuitetsplaner. En risiko, der domineres af konsekvensen, fx ransomware mod et kritisk system, bringes sjældent inden for appetitten alene med forebyggelse, fordi ingen forebyggende kontrol er perfekt.

ISO/IEC 27002:2022 mærker hver af sine 93 kontroller med attributter, bl.a. kontroltype (forebyggende, opdagende, korrigerende) og cybersikkerhedsbegreb (identify, protect, detect, respond, recover), så man kan tjekke, at en håndteringsplan ikke hviler på én type alene. ISO/IEC 27001:2022 punkt 6.1.3 b) kræver, at organisationen fastlægger alle de kontroller, der er nødvendige for at gennemføre den valgte håndtering, fra en hvilken som helst kilde; c) at de sammenholdes med bilag A for at sikre, at ingen nødvendige kontroller er udeladt; og d) at der udarbejdes en Statement of Applicability, der lister de nødvendige kontroller, om de er implementeret, og begrundelsen for at medtage eller udelade hver kontrol i bilag A. Bilag A er en tjekliste mod udeladelser, ikke et katalog, der skal indføres i sin helhed.

Den forventede effekt af en kontrol er en antagelse, indtil den er efterprøvet. Inden for erklæringsarbejde skelnes der mellem designeffektivitet, om kontrollen som beskrevet ville dække scenariet, og driftseffektivitet, om den faktisk har virket over en periode, hvilket er forskellen på SOC 2 Type I og Type II. Residuale vurderinger bør bygge på dokumentation som testresultater, dækningsmålinger og hændelsesdata, ikke på, at en kontrol står på listen. Kompenserende kontroller bruges, når den foretrukne kontrol ikke kan lade sig gøre, fx ekstra overvågning og netværksisolering omkring et ældre system, der ikke kan patches, og bør dokumenteres med det hul, de dækker.

Reduktion har aftagende udbytte: De første kontroller mod en risiko fjerner som regel det meste af sandsynligheden billigt, og hvert næste skridt koster mere. Defence in depth begrunder lagdeling, men når meromkostningen overstiger den ekstra reduktion af det forventede tab, er accept eller overførsel af resten det rationelle valg. I modsætning til overførsel ændrer reduktion selve risikoen; i modsætning til undgåelse fortsætter aktiviteten.