সংগঠন নেটওয়ার্ক সিকিউরিটি হুমকির জন্য কোয়ানটিটেটিভ রিস্ক অ্যানালাইসিস (QRA) কেন করে? পদ্ধতি ও টুলস

কোয়ানটিটেটিভ রিস্ক অ্যানালাইসিস (Quantitative Risk Analysis - QRA) কী?

QRA হল সিকিউরিটি রিস্ককে সাংখ্যিক মান (Monetary Value, Probability, Time) এ পরিমাপ করার প্রক্রিয়া। এটি কোয়ালিটেটিভ (High/Medium/Low) রিস্ক অ্যানালাইসিসের পরের ধাপ, যেখানে রিস্কের আনুমানিক আর্থিক ক্ষতি (ALE - Annualized Loss Expectancy) ক্যালকুলেট করা হয় সিদ্ধান্ত গ্রহণে সহায়তা করার জন্য।

QRA কেন করবেন? (লाभ)

• ROI-ভিত্তিক সিদ্ধান্ত: সিকিউরিটি বাজেট জাস্টিফাই করতে পারা (বোর্ড/ম্যানেজমেন্ট কনভিন্স)।
• প্রায়োরিটাইজেশন: সবচেয়ে বেশি আর্থিক প্রভাব डालবে রিস্কগুলো আগে মিটিগেট করা।
• সাইবার ইনश्यোরেন্স প্রিমিয়াম নির্ধারণ।
• রেগুলেটরি কমপ্লায়ান্স (SOX, Basel III, GDPR) আউডিটের জন্য প্রুফ।
• কন্টিনজেন্সি রিজার্ভ (Budget/Schedule) নির্ধারণ।

QRA-এর মূল ফর্মুলা (FAIR Model / NIST SP 800-30)

ALE (Annualized Loss Expectancy) = SLE × ARO

• SLE (Single Loss Expectancy) = Asset Value (AV) × Exposure Factor (EF)
  • AV: অ্যাসেটের মোনেটারি ভ্যালু (ডেটা, সিস্টেম, রেপুটেশন, রেগুলেটরি ফাইন)۔
  • EF: একক ইভেন্টে অ্যাসেটের কত শতাংশ ক্ষতিগ্রস্ত হবে (০-১০০%)।
• ARO (Annualized Rate of Occurrence): বছরে একবার ঘটনার সম্ভাবনা (থ্রেট ইন্টেলিজেন্স, ইতিহাস, ভালনরেবিলিটি স্কোর থেকে অনুমান)।

উদাহরণ: র‍্যানসমওয়ার আক্রমণের QRA

সিদ্ধান্ত: যদি এন্টি-র‍্যানসমওয়ার সলিউশন (EDR, Immutable Backup, TRAINING) খরচ $150,000/বছর এবং ALE ৫০% কমায় → ROI = ($300,000 - $150,000) / $150,000 = 100%। বাজেট এপ্রুভ করা যাবে।

QRA পদ্ধতি ও টেকনিক

• Monte Carlo Simulation: হাজার হাজার ইটারেশন রান করে প্রোবাবিলিটি ডিস্ট্রিবিউশন জেনারেট (RiskLens, @RISK, ModelRisk)।
• FAIR Model (Factor Analysis of Information Risk): সাইবার রিস্ক কোয়ানটিফাই করার ইন্টারন্যাশনাল স্ট্যান্ডার্ড (Open Group)।
• Decision Tree Analysis: বিভিন্ন মিটিগেশন অপশনের আউটকাম প্রোবাবিলিটি ও কস্ট তুলনা।
• Sensitivity Analysis: কোন ভেরিয়েবল (EF, ARO) সবচেয়ে বেশি ALE-কে প্রভাবিত করছে।
• Expected Monetary Value (EMV): প্রজেক্ট ম্যানেজমেন্টে রিস্ক কোয়ানটিফিকেশন।

QRA এর চ্যালেঞ্জ ও সীমাবদ্ধতা

• ডেটা অভাব: ইতিহাসগত ইভেন্ট ডেটা কম, থ্রেট ল্যান্ডস্কেপ দ্রুত বদলায়।
• সাবজেক্টিভিটি: EF, ARO অনুমান এক্সপার্ট জাজমেন্টের ওপর নির্ভরশীল।
• ইনট্যাঞ্জিবল অ্যাসেট (রেপুটেশন, ব্র্যান্ড ভ্যালু) কোয়ানটিফাই করা কঠিন।
• কমপ্লেক্সিটি এবং রিসোর্স সাপেক্ষ।

কোয়ালিটেটিভ vs কোয়ানটিটেটিভ: কবে কী?