保護するリスクが非常に低いときにセキュリティのベストプラクティスを適用することが重要なのはなぜですか？
時々、セキュリティのベストプラクティスは、ありそうもない攻撃からユーザーを保護します。これらのシナリオでは、このようなセキュリティ対策の実装をどのように防御しますか？
たとえば、シンクライアントのBIOSへのパスワード保護アクセス。物理的にアクセスできる攻撃者は、USBから起動して認証なしでシステムのデータにアクセスするためにBIOS構成を変更できるため、パスワードのないBIOSは危険です。この場合、攻撃者は物理的なアクセスを必要とし、シンクライアントはあまり重要な情報を保存しません。など、リスクは非常に低いです。
他の例は、システムを強化する際のいくつかの対策に関連している場合があります。
この場合、このセキュリティ対策を会社の他のメンバーと合理的にするように強制しない方がいいですか、それとも将来的に顔をパンチする小さな穴を開けていますか？
シンクライアントが格納する情報量に関係なく、これによる潜在的な影響は少なくありません。
特にリスクは、攻撃者がルートキットやソフトウェアキーロガーのようなものをシンクライアントのオペレーティングシステムにインストールすることであり、検査では発見できない可能性があります。 （これはEvil Maid攻撃の変種です）。
管理者が将来そのクライアントを使用する場合、それはネットワークのゲームオーバーになります。シンクライアントは、ネットワークへのさらなる攻撃を開始したり、偵察を行ったりするための足掛かりとしても使用できます。
BIOSを保護すると、シンクライアントOSの整合性が保護され、これが発生しなくなります。
ここでのより広いレッスン：ベストプラクティスは、すべてのリスクを評価するための費用と困難を節約します。
コストは、リスクとその軽減を評価するための基礎です。防御策（ベストプラクティスなど）を実装するためのコスト（金銭的なコスト、運用コスト、使いやすさのコストなど）が、実現されるリスクによって引き起こされる損害を超える場合、リスクの受け入れを選択することは正当です。
これは、リスク管理のかなり基本的な概念です。
ベストプラクティスは法律ではなく推奨事項です。彼らは通常彼らが推奨される理由の説明が付属しています。説明があなたのケースに当てはまらないと思われる場合は、推奨事項を無視してかまいません。あなたはこの気持ちで正しいかもしれません、したがってあなたはコストを節約することができます。
ただし、作業環境によっては推奨事項を単に無視することはできませんが、無視できると感じる理由を文書化する必要があることに注意してください。また、ベストプラクティスが無視されたために何か悪いことが起こった場合は、責任を負うことになるかもしれません。したがって、推奨事項に従うことは、無視するよりも簡単でリスクが少ないことがよくあります。
ここで考慮すべき要素はいくつかあります。
対策を実施するコストはいくらですか？すべてのBIOSを保護することは面倒なことですが、お金や労力の大きな支出ではありません。
悪いことが起こるリスクは何ですか？可能性はかなり低いですが、影響は中程度です（キーロガーが言及されており、システム上で独自のコードを実行している誰かに他の多くの問題があります。つまり、システムではなくなります）。実際のリスクは低から中です。
実装の影響は何ですか？平均的なユーザーがシンクライアントのBIOSにアクセスする正当な理由はありますか？あんまり。
したがって、軽減にそれほどコストがかからず、大きな影響がなく、低から中程度のリスクから保護できるものがあります。それは個人的にそれを実装する良い議論だと思います。
多くの場合、非常に低いリスクが何を意味するのかという質問に要約されます。リスクの低さについて正確な知識がある場合は、リスクを軽減しない場合の予想コストを計算できます。
実際には、正確なリスクを知ることはほとんどありません。多くの場合、潜在的なセキュリティ問題は、リスクの実際の評価を試みずに、非常に低いリスクとして却下されます。
多くの場合、十分な精度でリスクを評価するよりも、セキュリティの問題を解決するための労力が少なくて済みますセキュリティの脆弱性に対処するかどうかについて、情報に基づいた決定を行います。私にとっては、非常にリスクの低いセキュリティの脆弱性に対処するための主要な議論です。これは、リスクの評価に関連するコストのほとんどを節約できることを意味します。
低リスクであると知られているセキュリティ問題と低リスクであると想定されるセキュリティ問題との違いを常に区別できるのは誰ですか？
場合によっては、個々のセキュリティ問題を低リスクしきい値に対して評価するよりも、セキュリティ問題を互いに評価するほうが生産的です。
特定の例では、BIOS設定の悪意のある変更のリスクと、MITMデバイスでバグが発生しているデバイスのネットワーク接続のリスクを比較できます。
採用する姿勢は、運用している環境に基づいています。少なくとも、作成するセキュリティポリシーは、予算と想定している脅威モデルに比例します。保護しているドルの価値を評価しないと、穴がどこにあるのかを突き止めるのに途方もない時間を費やすことになります。一方、犯罪者の要素は、保護された要素が少ない/ない要素を使用して、より価値の高いターゲットを検索します。
また、リスクを軽減するためのベンダーがすべての問題を解決するための特効薬を用意しているわけではないことにも注意してください。最終的には、セキュリティを担当するのはあなたとビジネスだけです。ビジネスの観点からは、セキュリティエラー/欠陥のコストを回すことができますが、長期的には役に立たない可能性があります。現時点では、かなり退屈な世界です。
時々、セキュリティのベストプラクティスは非常にありそうもないリスクからあなたを守ります。そのシナリオでは、これらのセキュリティ対策の実装をどのように防御しますか？
何も守る必要はありません。数字が示すように：
- 攻撃Xが発生する確率=P。
- 発生した場合のXの総コスト= TC。 （これには、違反、収益の損失、評判、訴訟、危機管理などの診断と修正が含まれている必要があります。）
- そもそもXを防ぐためのセキュリティ対策のコスト=C。
方程式は単純です：
C <P * TC
方程式が真の場合、セキュリティ対策を実装する必要があります。もちろん、困難な部分は、最初にPとTCを計算することですが、TCに対して過度に保守的であり、Pに対して過度に楽観的である可能性があり、それでも価値のある投資になります。さらに、セキュリティ対策を投資家や顧客に公表するという追加のメリットも得られます。
これは明らかに考慮すべきすべての要素の単純化しすぎですが、ROIの観点からは、ロジックは維持されます。
つまり、これは シュローダーの回答 の拡張のようなものです。
ここでは、「リスク」とは少し混同していると思います。コンピューターシステムの観点からリスクを見ている（BIOSのパスワード、AVのインストール、ファイアウォールの使用など）。シュローダーが話している視点は、ビジネスの視点からです。マシンが侵害された場合、関連するコストはどれくらいですか？
ビジネスに「リスク」がある場合、 できることはいくつかあります ：
リスクを受け入れる-悪いことは何も起こらないと仮定し、それが起こっても対処するのは大きな問題ではないでしょう。
リスク回避-リスクにさらされることをまったく避けてください。
リスク制限（緩和）-リスクの発生の可能性を減らします。
リスク移転（CYA）-他の誰かがリスクに責任があることを確認してください。
明確にするために、スレッドで議論されている2つのタイプのリスク：
特定のシステムが侵害された場合のリスクビジネスのリスク。これには、顧客の財務情報（クレジットカード番号など）だけでなく、専有情報、営業秘密、機密情報などが含まれます。
OPが提案するリスク：コンピューターが特定の方法で侵害されるリスク。
ここに私が得ているニュアンスがあります：＃1はビジネスのリスクです。このリスクに対処するための戦略は、通常、リスクの制限（緩和）によるものです。そこで＃2が登場します。＃2は、＃1が発生する可能性を軽減します。 ＃2でコンピューターが危険にさらされる可能性のあるさまざまな方法を検討し、＃1を可能な限り軽減するための予防策を実装します。多くの「ベストプラクティス」は安価または非常に簡単であるため（つまり、そのコストは簡単に正当化されます）、個人的に攻撃ベクトルが非常にありそうにない場合でも、それらに従うことは理にかなっています。
あなたの例に関して：
安全なデータを含むシステム/ネットワーク/フォレスト/ものへのすべてのアクセスは、端がどんなに小さくても、端から端まで安全に保つ必要があります。
generalのセキュリティに関して：
システム/ネットワーク/フォレスト/安全なデータを含むものへのすべてのアクセスは安全に保つ必要があります。
どうして？
これには理由があります。安全なデータを含むネットワークへの単一のアクセスポイントは、それ自体がセキュリティを必要としています。システム全体で何が起こったかの情報は、安全なデータを最小限の部分で安全に保つために安全でなければなりません。チェーンの1つのリンクが切断されると、チェーンは切断されます。
しかし、クライアントにセキュリティ情報がない場合、どうすればそのチェーンを切断できますか？単純、ネットワークを観察することによる。ネットワークで何が行われているのかを確認できれば、どのキーがどのロックをどのように、どのようにして利用できるかを知ることができます。それから私はあなたのネットワークに入り、あなたのデータを取得する簡単な方法を持っています。そのため、端から端まで、すべてのアクティビティを安全に保つ必要があります。
顔を殴る例を見てみましょう：
- あなたの家は安全だと思います。
- あなたは指だけがあなたを中に入れることを意味するバイオメトリック指紋スキャナー（LIKE ON TV）を持っています
- 6年前、7000万マイル離れた店先のドアノブに触れる
- そのプリントを持ち上げます
- 私はあなたのプリントを識別します（長い間引き抜かれたプロセスを通じて）
- 私はあなたが寝ている間にあなたの家を開くためにそのプリントを使います
- 私はあなたの顔を殴ります
何マイルも離れていて、その版画には他にも多くの版画があり、それ以降も、私は結局そこにあなたの版画を見つけ、それを使って家を開くことができました。これはありそうもないことですが、本当にやりたいことがあれば、時間、努力、そして忍耐力を使って、あなたの顔を殴ることができます。
それでも、これは例を示す以上のものではありません。代わりにセキュリティの真実を述べましょう：
世界で最も安全なシステムは、地下に埋設され、未知の場所にあり、焼けてパリパリになり、破壊されました。
確かにそれはほんの少しの舌ですが、それは全体の考えを理解します。したがって、このセキュリティのベストプラクティスを引き続き使用する必要があります。結局のところ、お使いのシステムは世界で最も安全なシステムではないので、近づいてみてください。
すでに述べたように、セキュリティは主にリスク対コストのアプローチです。
しかし、私見では、考慮すべきもう1つの点があります。セキュリティを構築する場合と同様に、窓が開いたままの場合、補強されたドアはほとんど役に立ちません。リスクを正しく評価するには、何を防御したいかを知る必要があります。つまり、BIOSをパスワードで保護するのは物理的なアクセスを持つ攻撃者にとってはベクターになる可能性があるだからです。私見、攻撃者がコンピューターに物理的にアクセスできる場合、何でも問題が発生する可能性があるため、このコンピューターは危険にさらされます：キーボード自体の物理キーロガー、内部コネクタと外部プラグ間のネットワークアナライザー、ボックス内の悪意のあるUSBデバイス、など.
しかし、BIOSパスワードは、攻撃がポストに到達した場合のさらなる感染を防ぐことができ、主に不注意または不器用なユーザーが自分の端末を破ったり侵害したりするのを防ぐため、依然として良い習慣です。