Tengo una pregunta de práctica aquí:
Una empresa va a determinar los peligros a los que está expuesta. ¿A qué llamamos posible? evento que puede tener un efecto perturbador en la confiabilidad de la información:
A) Vulnerabilidad
B) Ataque
C) Riesgo
D) Dependencia
E) Amenaza
Estoy recibiendo E) una amenaza para esta pregunta, pero estoy un poco confundido porque la vulnerabilidad es la debilidad de un sistema que lo hace vulnerable a estos ataques.
¿Puede alguien aclarar si E es correcta?
Sí, E es correcta. Una vulnerabilidad es una debilidad que podría causar daños (ya sea por confidencialidad, integridad o disponibilidad). Una amenaza es un agente que podría exponer la vulnerabilidad. La pregunta es sobre un "evento", que es la amenaza.
Una amenaza es el agente inteligente que probablemente explote la vulnerabilidad del sistema / aplicación.
Podemos comenzar a entenderlo observando la definición de amenaza en general, no en términos de seguridad informática. Como está escrito en Cambridge Dictionary , una amenaza "la posibilidad de que ocurra algo no deseado, o una persona o cosa que pueda causar que algo no deseado suceda "
Desde la perspectiva de la seguridad informática, ISO 27005 lo define como:
Una causa potencial de un incidente, que puede causar daños a los sistemas y organización. El Glosario nacional de aseguramiento de la información define la amenaza como:
De la definición del glosario de aseguramiento de la información nacional;
Cualquier circunstancia o evento con el potencial de impactar adversamente un IS a través de acceso no autorizado, destrucción, divulgación, modificación de datos, y / o denegación de servicio.
Por lo tanto, es simplemente un peligro potencial que podría ocurrir en el futuro. Por ejemplo, reclamamos la oración "Los ransomwares se están volviendo más fuertes y más amplios" . Otro ejemplo, podemos contar "malware de Crpytojacking" como una amenaza. Sin embargo, no discutimos sobre qué tipo de vulnerabilidad están explotando. Puede leer y buscar Informes de amenazas para comprender qué se entiende por amenaza a la seguridad. Informe de amenazas de seguridad en Internet de Symantec es una fuente que creo que es beneficiosa.
Creo que nuevamente debemos referirnos a lo que dicen las comunidades y estándares oficiales y globalmente aceptados;
Definición de la norma ISO 27005:
Una debilidad de un activo o grupo de activos que puede ser explotado por una o más amenazas donde un activo es cualquier cosa que tenga valor para la organización, sus operaciones comerciales y su continuidad, incluidos los recursos de información que respaldan la misión de la organización
IETF RFC 2828 define la vulnerabilidad como;
Una falla o debilidad en el diseño, implementación u operación de un sistema y la gestión que podría ser explotada para violar el sistema política de seguridad
Desde NIST:
Una falla o debilidad en los procedimientos de seguridad del sistema, el diseño, la implementación o los controles internos que podrían ejercerse (activarse accidentalmente o explotarse intencionalmente) y resultar en una violación de la seguridad o una violación de la política de seguridad del sistema.
Simplemente, podemos analizar qué amenazas pueden dañar nuestro sistema. Por otro lado, podemos buscar qué vulnerabilidades en nuestro sistema pueden dar lugar a una posible vulnerabilidad que causará daños. Una amenaza puede incluir el resultado de muchas vulnerabilidades diferentes. Mientras que una vulnerabilidad puede llevar a muchos tipos diferentes de amenazas.
Lea otras preguntas en las etiquetas vulnerability cissp