Chapterبەش 2 · Lectureوانە 2.1

Security Planning and Risk Assessmentپلاندانانی ئاسایش و هەڵسەنگاندنی مەترسی

The six steps of information security planning, risk assessment as a business decision, the threats–vulnerabilities–consequences picture, measuring risk as likelihood × impact with a risk matrix, the four risk responses, how much security is worth paying for, and where all this sits in the NIST Cybersecurity Framework 2.0.

شەش هەنگاوەکەی پلاندانانی ، وەک بڕیارێکی بازرگانی، وێنەی ––ئەنجامەکان، پێوانی وەک × بە ، چوار وەڵامەکەی ، چەند شایەنی پارەدانە و شوێنی هەموو ئەمانە لە ⁦2.0⁩دا.

18 min read19 خولەک خوێندنەوە · 17 stepsهەنگاو

What you will learnچی فێر دەبیت

List and explain the six steps of information security planning.
Explain why risk assessment is a business decision and name its four concerns.
Score risks as likelihood × impact, place them in a risk matrix and rank them.
Choose a fitting response (mitigate, avoid, transfer, accept) for a risk.
Read the security investment graph correctly and relate risk management to NIST CSF 2.0.

شەش هەنگاوەکەی پلاندانانی بنووسیت و ڕوونیان بکەیتەوە.
ڕوونی بکەیتەوە بۆچی بڕیارێکی بازرگانییە و چوار بابەتەکەی ناو ببەیت.
نمرە بە بدەیت وەک × ، لە دایانبنێیت و ڕیزیان بکەیت.
وەڵامێکی گونجاو (کەمکردنەوە، دوورکەوتنەوە، گواستنەوە، قبووڵکردن) بۆ هەڵبژێریت.
گرافی خەرجیی بە دروستی بخوێنیتەوە و بە ⁦2.0⁩ـەوە ببەستیتەوە.

You cannot protect everything equallyناتوانیت هەموو شتێک وەک یەک بپارێزیت

Money, time and skilled people are always limited. An organisation cannot put the strongest protection on everything, so it must decide where to put its effort. That decision is risk management: find what could go wrong, judge how likely and how harmful each thing is, and deal with the biggest risks first.

پارە، کات و کەسی شارەزا هەمیشە سنووردارن. ڕێکخراوێک ناتوانێت بەهێزترین پاراستن بخاتە سەر هەموو شتێک، بۆیە دەبێت بڕیار بدات هەوڵەکانی بخاتە کوێ. ئەم بڕیارە ـە: بدۆزەرەوە چی دەکرێت تێک بچێت، بڕیار بدە هەر شتێک چەند ئەگەری هەیە و چەند زیانبەخشە و سەرەتا گەورەترین چارەسەر بکە.

Definitionپێناسە

The ongoing work of finding an organisation's , judging how serious they are and choosing what to do about each one: reduce, avoid, transfer or accept it.

کاری بەردەوامی دۆزینەوەی دامەزراوەیەکە، هەڵسەنگاندنی ئەوەی چەندە جددین و هەڵبژاردنی ئەوەی بۆ هەریەکەیان چی بکرێت: کەمکردنەوە، دوورکەوتنەوە، گواستنەوە یان قبووڵکردن.

A tea house in the bazaarچایخانەیەک لە بازاڕدا

A tea-house owner thinks about what could go wrong. A gas leak is rare but could be deadly, so he repairs the pipes and fits a gas alarm. Broken glasses happen every day but cost little, so he simply accepts them. A burglary is possible and costly, so he buys a strong shutter and insures the shop. Without a word for it, he is managing risk: likelihood, impact and a response for each.

خاوەنی چایخانەیەک بیر لەوە دەکاتەوە کە چی دەکرێت تێک بچێت. دزەکردنی غاز دەگمەنە بەڵام دەکرێت کوشندە بێت، بۆیە بۆرییەکان چاک دەکاتەوە و ئامێری ئاگادارکردنەوەی غاز دادەنێت. شکانی پەرداخ هەموو ڕۆژێک ڕوودەدات بەڵام تێچووی کەمە، بۆیە بە سادەیی قبووڵی دەکات. دزی ڕەنگە ڕووبدات و گرانە، بۆیە دەرگایەکی ئاسنینی بەهێز دەکڕێت و دوکانەکە بیمە دەکات. بەبێ ئەوەی ناوی بزانێت، بەڕێوە دەبات: ، و وەڵامێک بۆ هەریەکەیان.

Where the analogy stops workingسنووری ئەم نموونەیە

A tea house changes slowly and its dangers are well known. In cybersecurity, new attacks appear every month, attackers adapt to your defences, and many numbers are rough estimates, so the assessment must be repeated often.

چایخانە هێواش دەگۆڕێت و مەترسییەکانی ناسراون. لە هەموو مانگێک نوێ دەردەکەون، خۆیان لەگەڵ بەرگرییەکانت دەگونجێنن و زۆربەی ژمارەکان خەمڵاندنی نزیکن، بۆیە هەڵسەنگاندنەکە دەبێت زوو زوو دووبارە بکرێتەوە.

Quick checkپشکنینی خێراWhy do organisations need risk management?بۆچی ڕێکخراوەکان پێویستیان بە هەیە؟Because only IT staff are allowed to make decisionsچونکە تەنها کارمەندانی IT ڕێگەیان پێدراوە بڕیار بدەنBecause it removes all risks for everچونکە هەموو مەترسییەکان بۆ هەمیشە لادەباتBecause resources are limited, so they must decide which risks to handle firstچونکە سەرچاوەکان سنووردارن، بۆیە دەبێت بڕیار بدەن سەرەتا کام مەترسی چارەسەر بکەن

Information security planning: six stepsپلاندانانی ئاسایشی زانیاری: شەش هەنگاو

The lecture lists six steps. When you run an organisation, or even one office, all six must be considered so that it is as well protected as possible:

وانەکە شەش هەنگاو دەژمێرێت. کاتێک ڕێکخراوێک یان تەنانەت ئۆفیسێکت هەیە، دەبێت هەر شەشیان ڕەچاو بکرێن تاکو تا بکرێت پارێزراو بێت:

Organisation analysisشیکردنەوەی ڕێکخراو
Find the organisation's strong and weak points for security, and its type, so you know which risks it may face.
خاڵە بەهێز و لاوازەکانی ڕێکخراوەکە لە ڕووی و جۆرەکەی دیاری بکە، بۆ ئەوەی بزانیت ڕەنگە ڕووبەڕووی کام ببێتەوە.
Risk managementبەڕێوەبردنی مەترسی
List and count all the risks, with their causes and possible solutions.
هەموو بنووسە و بیانژمێرە، لەگەڵ هۆکار و چارەسەرە گونجاوەکانیان.
Mitigation approaches and their costsڕێگاکانی کەمکردنەوەی مەترسی و تێچوونیان
For each risk, consider how to reduce or correct it, and what that costs in money and in other ways.
بۆ هەر ، بیر بکەرەوە چۆن کەمی بکەیتەوە یان چاکی بکەیتەوە و ئەمە بە پارە و بە شێوەی تر چەندی تێدەچێت.
Security policyسیاسەتی ئاسایش
Write down how people inside must behave: how they log in, which windows and files they may open, what they report. See Achieving security.
بنووسە خەڵکی ناوەوە چۆن ڕەفتار بکەن: چۆن دەچنە ژوورەوە، کام پەنجەرە و فایل دەکەنەوە، چی ڕادەگەیەنن. سەیری گەیشتن بە ئاسایش بکە.
Implementation and testingجێبەجێکردن و تاقیکردنەوە
Put the chosen controls in place, then test that they really work, for example by restoring a backup.
کۆنترۆڵە هەڵبژێردراوەکان دابنێ، پاشان تاقی بکەرەوە کە بەڕاستی کار دەکەن، بۆ نموونە بە گەڕاندنەوەی .
Security training and awarenessڕاهێنان و هۆشیاریی ئاسایش
The security specialist both trains people and keeps them aware of news about new attacks, hacks and security.
هەم خەڵک ڕادەهێنێت و هەم ئاگاداریان دەکاتەوە لە هەواڵی نوێ، هاککردن و .

Quick checkپشکنینی خێراIn which step does the shop decide what each fix costs and whether it is worth it?لە کام هەنگاودا دوکانەکە بڕیار دەدات هەر چارەسەرێک چەندی تێدەچێت و شایەنی ئەوە هەیە یان نا؟Mitigation approaches and their costsڕێگاکانی کەمکردنەوەی مەترسی و تێچوونیانSecurity training and awarenessڕاهێنان و هۆشیاریی ئاسایشOrganisation analysisشیکردنەوەی ڕێکخراو

Information security planning: six stepsپلاندانانی ئاسایشی زانیاری: شەش هەنگاو

The six steps in a small online shopشەش هەنگاوەکە لە دوکانێکی ئۆنلاینی بچووکدا

Follow the six steps for a small online shop with one office PC, a website, card payments and two staff.

شەش هەنگاوەکە بۆ دوکانێکی ئۆنلاینی بچووک پەیڕەو بکە کە یەک ئۆفیس، ، پارەدان بە کارت و دوو کارمەندی هەیە.

The six steps in a small online shopشەش هەنگاوەکە لە دوکانێکی ئۆنلاینی بچووکدا
Stepهەنگاو	In the shopلە دوکانەکەدا
Organisation analysisشیکردنەوەی ڕێکخراو	One office PC, a website, card payments, two staff, no IT person.یەک کۆمپیوتەری ئۆفیس، ، پارەدان بە کارت، دوو کارمەند، هیچ کەسێکی IT نییە.
Risk management	Phishing, ransomware, a stolen laptop, power cuts…، ، لاپتۆپی دزراو، بڕانی کارەبا…
Mitigation approaches and their costsڕێگاکانی و تێچوونیان	MFA is free; an offline backup drive costs little.MFA بەخۆڕاییە؛ دیسکێکی دەرهێڵ کەمی تێدەچێت.
Security policy	Rules for who may see orders, long passwords with MFA, and “report strange e-mails at once”.یاسا بۆ ئەوەی کێ دەتوانێت داواکارییەکان ببینێت، درێژ لەگەڵ MFA و « سەیر دەستبەجێ ڕابگەیەنە».
Implementation and testingجێبەجێکردن و تاقیکردنەوە	MFA and a weekly offline backup are switched on; then one backup is restored to check that it works.MFA و هەفتانەی دەرهێڵ چالاک دەکرێن؛ پاشان دەگەڕێنرێتەوە بۆ ئەوەی بزانن کار دەکات.
Security training and awarenessڕاهێنان و	A short monthly talk about the latest phishing tricks.قسەکردنێکی کورتی مانگانە لەبارەی نوێترین فێڵەکانی .

Quick checkپشکنینی خێراThe shop restores one backup to check that it really works. Which planning step is this?دوکانەکە دەگەڕێنێتەوە بۆ ئەوەی بزانێت بەڕاستی کار دەکات. ئەمە کام هەنگاوی پلاندانانە؟Security policyسیاسەتی ئاسایشImplementation and testingجێبەجێکردن و تاقیکردنەوەSecurity training and awarenessڕاهێنان و هۆشیاریی ئاسایش

Risk assessment is a business decisionهەڵسەنگاندنی مەترسی بڕیارێکی بازرگانییە

Definitionپێناسە

Finding the , and of an organisation and estimating, for each , how likely it is and how big its would be, so that the most serious risks are handled first.

دۆزینەوەی ، و دامەزراوەیەکە و خەمڵاندنی ئەوەی بۆ هەر ئەگەری ڕوودانی چەندە و چەند گەورە دەبێت، بۆ ئەوەی جددیترین مەترسییەکان سەرەتا چارەسەر بکرێن.

The lecture calls risk assessment a business policy decision: it is not only the IT team's job. Four things matter:

وانەکە ناو دەنێت بڕیارێکی سیاسەتی بازرگانی: تەنها کاری تیمی IT نییە. چوار شت گرنگن:

Communication between technical and administrative staff. IT people and managers (the decision-makers) must talk clearly about security and the risks of attacks, so that together they can face future problems successfully.
Internal vs external resources. Decide wisely whether to use your own staff and equipment, or outside experts and services, to face problems and attacks.
Legal and regulatory requirements. Make sure the organisation follows the laws that apply to it, such as data-protection rules.
Developing security capabilities. Improve the organisation's security over time by providing the needed equipment and skilled people.

پەیوەندی لە نێوان کارمەندانی تەکنیکی و ئیداری. خەڵکی IT و بەڕێوەبەران (بڕیاردەران) دەبێت بە ڕوونی لەبارەی و قسە بکەن، بۆ ئەوەی پێکەوە بە سەرکەوتوویی ڕووبەڕووی کێشەکانی داهاتوو ببنەوە.
سەرچاوەی ناوەوە بەرامبەر دەرەوە. بە ژیری بڕیار بدە کە کارمەند و کەلوپەلی خۆت بەکار دەهێنیت، یان پسپۆڕ و خزمەتگوزاریی دەرەوە، بۆ ڕووبەڕووبوونەوەی کێشە و .
پێداویستیی یاسایی و ڕێنمایی. دڵنیا ببەرەوە کە ڕێکخراوەکە پەیڕەوی ئەو یاسایانە دەکات کە دەیگرنەوە، وەک یاساکانی پاراستنی ().
پەرەپێدانی تواناکانی . بە تێپەڕبوونی کات ڕێکخراوەکە باشتر بکە بە دابینکردنی کەلوپەلی پێویست و کەسی شارەزا.

Communication is often the hardest part. “Server 3 is two years without patches” means little to a manager. “If attackers use this hole, the shop could be offline for a week and lose its card payments” leads to a decision. Good assessments speak in business impact.

پەیوەندی زۆرجار قورسترین بەشە. « ژمارە 3 دوو ساڵە بۆ دانەنراوە» بۆ بەڕێوەبەرێک واتای کەمە. «ئەگەر ئەم کونە بەکار بهێنن، دوکانەکە دەکرێت هەفتەیەک داخراو بێت و پارەدانی کارتی لەدەست بدات» دەبێتە هۆی بڕیار. هەڵسەنگاندنی باش بە زمانی کاریگەریی بازرگانی قسە دەکات.

Quick checkپشکنینی خێراWhy does the lecture call risk assessment a business decision?بۆچی وانەکە ناو دەنێت بڕیارێکی بازرگانی؟Because only shops and companies need itچونکە تەنها دوکان و کۆمپانیاکان پێویستیان پێیەتیBecause managers must weigh risks against money, laws and goals, with IT's helpچونکە بەڕێوەبەران دەبێت بە یارمەتیی IT، مەترسییەکان لەگەڵ پارە، یاسا و ئامانجەکاندا بکێشنBecause the IT team can do it alone without telling anyoneچونکە تیمی IT دەتوانێت بە تەنها و بەبێ ئاگادارکردنەوەی کەس ئەنجامی بدات

Threats, vulnerabilities and consequencesهەڕەشەکان، خاڵە لاوازەکان و ئەنجامەکان

The lecture draws risk as a triangle with threats, vulnerabilities and consequences at its corners and risk in the middle. Risk is the overlap, or combination, of the three. When all three line up, the risk is high and the company must act to reduce it.

وانەکە وەک سێگۆشەیەک دەکێشێت کە ، و ئەنجامەکان لە گۆشەکانیدان و لە ناوەڕاستدا. بەشە هاوبەشەکە، یان تێکەڵەی هەر سێکیانە. کاتێک هەر سێکیان پێکەوە دەبن، بەرزە و کۆمپانیاکە دەبێت کار بکات بۆ کەمکردنەوەی.

Redrawn from the lecture's risk triangle as three overlapping circles.سێگۆشەی وانەکە وەک سێ بازنەی تێکەڵ دووبارە کێشراوەتەوە.CêIT

The owner's note adds: the faster any of T, V or C grows, the bigger the risk circle becomes. The other side is just as useful: shrink any one circle and the overlap shrinks with it.

تێبینیی خاوەنی کۆرسەکە زیاد دەکات: هەتا هەریەک لە T، V و C خێراتر گەورە ببێت، بازنەی گەورەتر دەبێت. لایەنەکەی تریش هەمان ئەندازە بەسوودە: هەر بازنەیەک بچووک بکەیتەوە، بەشە هاوبەشەکەش لەگەڵیدا بچووک دەبێتەوە.

Partبەش	Phone shop exampleنموونەی دوکانی مۆبایل
Threat	burglars are active in the areaدزەکان لە ناوچەکەدا چالاکن
Vulnerability	the back-door lock is brokenقفڵی دەرگای پشتەوە شکاوە
Consequenceئەنجام	phones worth $20,000 are insideمۆبایلی بە نرخی ⁦20,000⁩ دۆلار لە ناوەوەیە
Reduce one circleیەک بازنە بچووک بکەرەوە	fix the lock: the burglars are still there, but the risk falls sharplyقفڵەکە چاک بکەرەوە: دزەکان هێشتا هەن، بەڵام زۆر دادەبەزێت

From picture to numberلە وێنەوە بۆ ژمارە

The triangle is a simplification. Standards describe risk as a combination of how likely a harmful event is and how big its impact would be; the threat and the vulnerability decide the likelihood, the consequence is the impact. The next screen turns that into a number. The words themselves are defined in Threats, vulnerabilities, attacks and risk.

سێگۆشەکە سادەکراوەیە. ستانداردەکان وەک تێکەڵەیەک لە ڕووداوێکی زیانبەخش و قەبارەی وەسف دەکەن؛ و دیاری دەکەن و ئەنجامەکە . شاشەی داهاتوو ئەمە دەکات بە ژمارە. خودی وشەکان لە هەڕەشەکان، خاڵە لاوازەکان، هێرشەکان و مەترسی پێناسە کراون.

Quick checkپشکنینی خێراA server has a serious unpatched flaw, but it is switched off, unplugged and holds no data. Why is its risk low? گەورەی هەیە کە نەکراوە، بەڵام کوژاوەتەوە، پەیوەندیی بە هیچ شتێکەوە نییە و هیچ تێدا نییە. بۆچی نزمە؟Because it is a server and not a laptopچونکە ڕاژەکارە و لاپتۆپ نییەBecause unpatched flaws are never dangerousچونکە خاڵە لاوازەکان کە پینە نەکراون هەرگیز مەترسیدار نینNo threat can reach it and nothing is lost if it is hitهیچ هەڕەشەیەک ناگاتە پێی و ئەگەر لێی بدرێت هیچ شتێک لەدەست ناچێت

Measuring risk: likelihood × impactپێوانی مەترسی: ئەگەر × کاریگەری

To compare risks you need a number. NIST describes risk as a function of the harm an event would cause and the likelihood that it happens. The most common simple form multiplies the two:

بۆ بەراوردکردنی پێویستت بە ژمارەیە. NIST وەک تێکەڵەیەکی ئەو زیانەی ڕووداوێک دەیگەیەنێت و ڕوودانی وەسف دەکات. باوترین شێوەی سادە ئەم دووانە لێک دەدات:

R = L \times I

In a qualitative assessment each part gets a score, for example from 1 (very low) to 5 (very high). NIST's guide for risk assessments uses five levels in the same way. The scores are judgements made by people who know the system, not exact measurements.

لە هەڵسەنگاندنێکی چۆنایەتیدا هەر بەشێک نمرەیەک وەردەگرێت، بۆ نموونە لە 1 (زۆر کەم) تا 5 (زۆر زۆر). ڕێنمایی NIST بۆ بە هەمان شێوە پێنج ئاست بەکار دەهێنێت. نمرەکان بڕیاری ئەو کەسانەن کە سیستەمەکە دەناسن، نەک پێوانی ورد.

\begin{aligned} 3 \times 5 &= 15 \\ 4 \times 3 &= 12 \\ 2 \times 3 &= 6 \end{aligned}

Measuring risk: likelihood × impactپێوانی مەترسی: ئەگەر × کاریگەری

Measuring risk in moneyپێوانی مەترسی بە پارە

A quantitative assessment uses money instead. If a risk has a 10% chance per year of causing a $50,000 loss, its expected yearly loss is:

هەڵسەنگاندنی چەندایەتی لە جیاتی ئەوە پارە بەکار دەهێنێت. ئەگەر ساڵانە ⁦10%⁩ ئەگەری هەبێت زیانێکی ⁦50,000⁩ دۆلاری بگەیەنێت، زیانی چاوەڕوانکراوی ساڵانەی دەبێتە:

0.10 \times 50\,000 = 5\,000

Measuring risk: likelihood × impactپێوانی مەترسی: ئەگەر × کاریگەری

The risk matrixخشتەی مەترسی

Definitionپێناسە

A table that places each by its likelihood on one side and its on the other, coloured from green (low) to red (high), so that the most serious risks stand out.

خشتەیەکە کە هەر بەپێی ئەگەری ڕوودانی لە لایەک و لە لایەکی ترەوە دادەنێت و لە سەوزەوە (کەم) بۆ سوور (زۆر) ڕەنگ دەکرێت، بۆ ئەوەی جددیترین مەترسییەکان دیار بن.

A 5 × 5 risk matrix. The darker the cell, the sooner you act. ⁦5 × 5⁩. خانە تۆختر بێت، زووتر کار دەکەیت.CêIT

Each risk goes into the cell for its likelihood (row) and impact (column). Risks in the top-right corner are both likely and harmful: they are handled first. The colours are only a guide; each organisation chooses its own bands and what it will accept.

هەر دەچێتە ئەو خانەیەی کە بۆ (ڕیز) و (ستوون)ـەکەیەتی. ئەو لە گۆشەی سەرەوەی ڕاستدان هەم ئەگەری ڕوودانیان زۆرە و هەم زیانبەخشن: یەکەم جار چارەسەر دەکرێن. ڕەنگەکان تەنها ڕێنماییەکن؛ هەر ڕێکخراوێک بەشە ڕەنگییەکانی خۆی و ئەوەی قبووڵی دەکات هەڵدەبژێرێت.

Measuring risk: likelihood × impactپێوانی مەترسی: ئەگەر × کاریگەری

Example: filling in the matrixنموونە: پڕکردنەوەی خشتەکە

The small online shop scores six risks. Watch them land in the matrix one by one.

دوکانە ئۆنلاینە بچووکەکە نمرە بە شەش دەدات. سەیر بکە چۆن یەک بە یەک دەکەونە ناو خشتەکەوە.

A 5 by 5 risk matrix fills up. Six risks appear one at a time as numbered dots with their scores: R1 phishing 4 × 3 = 12, R2 ransomware 3 × 5 = 15, R3 stolen laptop 2 × 3 = 6, R4 power cut 4 × 2 = 8, R5 flood 1 × 4 = 4, R6 spam 5 × 1 = 5. The last frame highlights R2 and R1 to handle first, and says to watch R5 because it is rare but serious. — Filling in a risk matrix for a small online shop.پڕکردنەوەی بۆ دوکانێکی ئۆنلاینی بچووک.CêIT

The shop's risks, ranked by score دوکانەکە، ڕیزکراو بەپێی نمرە
Risk	Likelihood	Impact	Scoreنمرە	Levelئاست
R2 Ransomware locks the order system⁦R2⁩ سیستەمی داواکارییەکان قفڵ دەکات	3	5	15	Highبەرز
R1 Staff click a phishing e-mail⁦R1⁩ کارمەندێک کرتە لە ئیمەیڵێکی دەکات	4	3	12	Highبەرز
R4 A power cut stops the shop PC⁦R4⁩ بڕانی کارەبا کۆمپیوتەری دوکانەکە دەوەستێنێت	4	2	8	Mediumمامناوەند
R3 A laptop is stolen from a car⁦R3⁩ لاپتۆپێک لە ناو ئۆتۆمبێلێک دەدزرێت	2	3	6	Mediumمامناوەند
R6 Spam arrives through the contact form⁦R6⁩ سپام لە ڕێگەی فۆرمی پەیوەندییەوە دێت	5	1	5	Mediumمامناوەند
R5 A flood destroys the office server⁦R5⁩ لافاو ئۆفیسەکە لەناو دەبات	1	4	4	Lowنزم

The shop handles R2 and R1 first (offline backups, MFA, a phishing talk). R5 scores only 4, but losing the only server would be very serious, so a cheap off-site backup is still a wise step.

دوکانەکە سەرەتا ⁦R2⁩ و ⁦R1⁩ چارەسەر دەکات ( دەرهێڵ، MFA، قسەکردنێک لەبارەی ). ⁦R5⁩ تەنها نمرەی 4ـە، بەڵام لەدەستدانی تاکە زۆر قورس دەبێت، بۆیە هەرزانی دەرەوەی شوێنەکە هێشتا هەنگاوێکی ژیرانەیە.

Four ways to respond to a riskچوار ڕێگای وەڵامدانەوەی مەترسی

Definitionپێناسە

The choice an organisation makes about a : reduce it (), avoid it by stopping the activity, transfer it (for example to an insurer) or accept it.

ئەو بڕیارەیە کە دامەزراوەیەک بەرامبەر دەیدات: کەمی بکاتەوە ()، بە وەستاندنی چالاکییەکە لێی دوور بکەوێتەوە، بیگوازێتەوە (بۆ نموونە بۆ کۆمپانیای بیمە) یان قبووڵی بکات.

The four risk responsesچوار وەڵامەکەی
Responseوەڵام	What it meansواتاکەی	Shop exampleنموونەی دوکان
Mitigate (reduce)کەمکردنەوە	lower the likelihood or the impact with controls یان بە کۆنترۆڵ کەم بکەرەوە	MFA and training against phishing; offline backups against ransomwareMFA و ڕاهێنان دژی ؛ دەرهێڵ دژی
Avoidدوورکەوتنەوە	stop the activity that creates the riskئەو چالاکییە بوەستێنە کە دروست دەکات	stop storing customers' card numbers; let a payment company handle cardsواز لە هەڵگرتنی ژمارەی کارتی کڕیاران بهێنە؛ با کۆمپانیایەکی پارەدان کارتەکان بەڕێوە ببات
Transferگواستنەوە	pass part of the cost to someone elseبەشێک لە تێچوونەکە بگوازەرەوە بۆ لایەنێکی تر	cyber insurance; a contract that makes the hosting company responsible for its servers؛ گرێبەستێک کە کۆمپانیای هۆستینگ بەرپرسیار دەکات لە خۆی
Acceptقبووڵکردن	knowingly live with itبە ئاگاییەوە لەگەڵیدا بژی	spam through the contact form: low score, cheap to live withسپام لە ڕێگەی فۆرمی پەیوەندییەوە: نمرەی نزم، ژیان لەگەڵیدا هەرزانە

NIST's Cybersecurity Framework 2.0 lists the same options: an organisation may handle a risk by mitigating, transferring, avoiding or accepting it, depending on the likely impacts and likelihoods.

⁦2.0⁩ هەمان هەڵبژاردنەکان دەژمێرێت: ڕێکخراوێک دەتوانێت بە کەمکردنەوە، گواستنەوە، دوورکەوتنەوە یان قبووڵکردن چارەسەر بکات، بەپێی و چاوەڕوانکراوەکان.

Definitionپێناسە

The part of a that is still left after the chosen are in place. It is never zero; the organisation must decide whether it can accept it.

ئەو بەشەی کە دوای دانانی هێشتا ماوەتەوە. هەرگیز سفر نابێت؛ ڕێکخراوەکە دەبێت بڕیار بدات کە دەتوانێت قبووڵی بکات یان نا.

After mitigation some risk always remains. Managers must look at this residual risk and decide, in writing, whether they can accept it.

دوای کەمکردنەوە هەمیشە هەندێک دەمێنێتەوە. بەڕێوەبەران دەبێت سەیری ئەم بکەن و بە نووسراوی بڕیار بدەن کە دەتوانن قبووڵی بکەن یان نا.

How much security is enough?چەند ئاسایش بەسە؟

The lecture ends this topic with a graph. Across the bottom is the security level, from 0% to 100%; up the side is cost. The security investment line is the money spent on staff and equipment to protect the organisation. The cost of breaches line is what attacks cost the organisation. The dashed line is the total of the two.

وانەکە ئەم بابەتە بە گرافێک کۆتایی پێدەهێنێت. لە خوارەوە ئاستی ـە، لە ⁦0%⁩ تا ⁦100%⁩؛ بە لاوە تێچوونـە. هێڵی خەرجیی ئەو پارەیەیە کە بۆ کارمەند و کەلوپەل خەرج دەکرێت بۆ پاراستنی ڕێکخراوەکە. هێڵی تێچووی ئەوەیە کە لە ڕێکخراوەکەی دەکەون. هێڵە پچڕپچڕەکە کۆی گشتیی هەردووکیانە.

Redrawn from the lecture graph: total cost is lowest at a middle level of security, not at 100%.لە گرافی وانەکەوە دووبارە کێشراوەتەوە: کۆی تێچوون لە ئاستێکی ناوەندیی لە هەموو کەمترە، نەک لە ⁦100%⁩.CêIT

What the graph really showsگرافەکە بەڕاستی چی نیشان دەدات

The notes read the red line as “the level of attacks” and conclude that the more money goes to security, the lower the level of attacks. Two corrections: (1) the red line is the cost of breaches, the losses that attacks cause, not how many attacks there are; (2) the point of the graph is that the total cost (dashed) is lowest at a middle level of security, the yellow dot “optimal level of security at a minimum cost”. Past that point each extra step of security costs more than the losses it prevents, and 100% security is impossible at any price.

تێبینییەکان هێڵە سوورەکە بە «ئاستی » دەخوێننەوە و دەڵێن هەتا پارەی زیاتر بۆ تەرخان بکرێت، ئاستی کەمتر دەبێتەوە. دوو ڕاستکردنەوە: ⁦(1)⁩ هێڵە سوورەکە تێچووی ـە، واتە ئەو زیانانەی دەیگەیەنن، نەک ژمارەی ؛ ⁦(2)⁩ مەبەستی گرافەکە ئەوەیە کە کۆی گشتیی تێچوون (هێڵە پچڕپچڕەکە) لە ئاستێکی ناوەندیی لە هەموو کەمترە، خاڵە زەردەکەی «باشترین ئاستی بە کەمترین تێچوون». دوای ئەو خاڵە هەر هەنگاوێکی زیادەی لەو زیانانەی ڕێگرییان لێدەکات گرانترە و ⁦100%⁩ بە هیچ نرخێک مەحاڵە.

Quick checkپشکنینی خێراWhat does the lowest point of the dashed line show?نزمترین خاڵی هێڵە پچڕپچڕەکە چی نیشان دەدات؟The point where attacks stop completelyئەو خاڵەی کە هێرشەکان بە تەواوی دەوەستنThe security level where investment plus breach losses cost the least togetherئەو ئاستەی ئاسایش کە خەرجی و زیانی دزەکردنەکانی دراوە پێکەوە کەمترین تێچوونیان هەیەThe point where the organisation spends nothing on securityئەو خاڵەی کە ڕێکخراوەکە هیچ پارەیەک بۆ ئاسایش خەرج ناکات

How much security is enough?چەند ئاسایش بەسە؟

How much to spend? The Gordon–Loeb guideچەند خەرج بکەین؟ ڕێنمایی گۆردن–لۆب

The Gordon–Loeb modelمۆدێلی گۆردن–لۆب

Economists Lawrence Gordon and Martin Loeb studied this question in 2002 (“The Economics of Information Security Investment”). Under their model's assumptions, a firm should normally spend no more than about 37% (1/e) of the expected loss on protecting a set of information. With the expected loss of $5,000 a year from the earlier example, that is at most about $1,840 a year. Later research shows that the exact limit depends on the assumptions, so treat it as a guide, not a law.

ئابووریناسان لۆرێنس گۆردن و مارتن لۆب لە ساڵی ⁦2002⁩دا لەم پرسیارەیان کۆڵییەوە («ئابووریی خەرجکردن لە »). بەپێی گریمانەکانی مۆدێلەکەیان، کۆمپانیایەک بە ئاسایی نابێت زیاتر لە نزیکەی ⁦37% (1/e)⁩ی زیانی چاوەڕوانکراو بۆ پاراستنی کۆمەڵێک خەرج بکات. بە زیانی چاوەڕوانکراوی ساڵانەی ⁦5,000⁩ دۆلاری نموونەکەی پێشوو، ئەمە ساڵانە زۆرترین نزیکەی ⁦1,840⁩ دۆلارە. توێژینەوەکانی دواتر نیشانیان داوە کە سنوورە وردەکە بە گریمانەکانەوە بەندە، بۆیە وەک ڕێنمایی سەیری بکە، نەک یاسا.

\frac{5\,000}{e} \approx \frac{5\,000}{2.718} \approx 1\,840

Quick checkپشکنینی خێراUsing the Gordon–Loeb guide, about how much at most should a firm spend each year to protect information whose expected loss is $10,000 a year?بە ڕێنمایی گۆردن–لۆب، کۆمپانیایەک ساڵانە نزیکەی زۆرترین چەند پارە خەرج بکات بۆ پاراستنی کە زیانی چاوەڕوانکراوی ساڵانەی ⁦10,000⁩ دۆلارە؟About $10,000نزیکەی ⁦10,000⁩ دۆلارAbout $370نزیکەی ⁦370⁩ دۆلارAbout $3,700نزیکەی ⁦3,700⁩ دۆلار

The bigger picture: the NIST Cybersecurity Framework 2.0وێنە گەورەکە: NIST CSF ⁦2.0⁩

NIST’s Cybersecurity Framework 2.0 (26 February 2024) sorts all cybersecurity work into six functions, which you met with a picture in What is cybersecurity?. Together they give a life-cycle view of managing cybersecurity risk. This table shows where the risk management of this lesson happens in each function:

⁦2.0 (26⁩ی شوباتی ⁦2024⁩) هەموو کارێکی لە شەش ئەرکدا ڕێک دەخات، کە لەگەڵ وێنەکەیدا لە ئاسایشی سایبەر چییە؟دا ناسیتن. پێکەوە وێنەیەکی خولی ژیانی بەڕێوەبردنی دەدەن. ئەم خشتەیە نیشان دەدات لە هەر ئەرکێکدا لە کوێدایە:

The six CSF 2.0 functions and where risk management happensشەش ئەرکەکەی ⁦CSF 2.0⁩ و شوێنی
Functionئەرک	Outcome in CSF 2.0ئەنجام لە ⁦CSF 2.0⁩دا	Risk management in it تێیدا
Govern	the risk management strategy, expectations and policy are set, shared and monitoredستراتیژی ، چاوەڕوانی و سیاسەت دادەنرێن، ڕادەگەیەنرێن و چاودێری دەکرێن	how much risk is acceptable; roles; planning steps 1–4چەند قبووڵکراوە؛ ڕۆڵەکان؛ هەنگاوەکانی ⁦1–4⁩ی پلاندانان
Identify	current risks are understood: assets, suppliers and their risks ئێستا تێگەیشتراون: ، دابینکەران و	risk assessment: vulnerabilities, threats, likelihoods and impacts recorded; responses chosen: ، ، ئەگەرەکان و کاریگەرییەکان تۆمار دەکرێن؛ وەڵامەکان هەڵدەبژێردرێن
Protect	safeguards are usedڕێوشوێنەکانی پاراستن بەکار دەهێنرێن	mitigation controls, training (steps 5–6)کۆنترۆڵەکانی کەمکردنەوە، ڕاهێنان (هەنگاوەکانی ⁦5–6⁩)
Detect	possible attacks and compromises are found and analysed و دزەکردنە ئەگەرییەکان دەدۆزرێنەوە و شی دەکرێنەوە	noticing when a risk becomes realهەستکردن کاتێک دەبێت بە ڕاستی
Respond	actions are taken on a detected incidentکار لەسەر ڕووداوێکی دۆزراوە دەکرێت	limiting the impactسنووردارکردنی
Recover	assets and operations are restored و کارەکان دەگەڕێنرێنەوە	getting back to normal; lessons for the next assessmentگەڕانەوە بۆ دۆخی ئاسایی؛ وانە بۆ هەڵسەنگاندنی داهاتوو

The lecture's own lists (prevention, detection, tolerance and recovery) are matched to these functions in Achieving security; the framework as a map of the whole course is in What is cybersecurity?.

لیستەکانی خودی وانەکە (ڕێگرتن، دۆزینەوە، بەرگەگرتن و گەڕاندنەوە) لە گەیشتن بە ئاسایش بەم ئەرکانەوە بەستراونەتەوە؛ فرەیموۆرکەکە وەک نەخشەی هەموو کۆرسەکە لە ئاسایشی سایبەر چییە؟دایە.

Quick checkپشکنینی خێراIn CSF 2.0, which function records “potential impacts and likelihoods of threats exploiting vulnerabilities”?لە ⁦CSF 2.0⁩دا، کام ئەرک « و ئەوەی بەکار بهێنن» تۆمار دەکات؟Identify (risk assessment)Identify (ناسینەوە: هەڵسەنگاندنی مەترسی)RecoverRecover (گەڕاندنەوە)DetectDetect (دۆزینەوە)

Common mistakesهەڵە باوەکان

Mistakeهەڵە	Why it is wrongبۆچی هەڵەیە	Betterباشتر
Adding likelihood and impact ( $2 + 5 = 7$ )کۆکردنەوەی و ( $2 + 5 = 7$ )	The usual method multiplies them, so that a low score in either keeps the risk low.ڕێگا باوەکە لێکیان دەدات، بۆ ئەوەی نمرەی نزم لە هەر یەکێکیاندا نزم بهێڵێتەوە.	Risk = likelihood × impact ( $2 \times 5 = 10$ ). = × ( $2 \times 5 = 10$ ).
“The red line shows the number of attacks.”«هێڵە سوورەکە ژمارەی نیشان دەدات.»	It shows the cost of breaches.تێچووی نیشان دەدات.	Read every line and axis label before concluding.پێش دەرئەنجامدان هەموو هێڵ و ناوی تەوەرێک بخوێنەوە.
“More spending always pays off.”«خەرجیی زیاتر هەمیشە قازانج دەکات.»	Past the best level, each step costs more than it saves; 100% is impossible.دوای باشترین ئاست هەر هەنگاوێک لەوەی دەیپارێزێت گرانترە؛ ⁦100%⁩ مەحاڵە.	Aim for the lowest total cost.ئامانجت کەمترین کۆی تێچوون بێت.
“Insurance means the risk is gone.”«بیمە واتە نەماوە.»	Transfer moves part of the cost; trust and downtime are still yours.گواستنەوە بەشێک لە تێچوون دەگوازێتەوە؛ متمانە و هەر هی خۆتن.	Combine transfer with mitigation.گواستنەوە لەگەڵ کەمکردنەوەدا تێکەڵ بکە.
“Risk assessment is IT's job.”« کاری ITـیە.»	It is a business decision about money, laws and goals.بڕیارێکی بازرگانییە لەبارەی پارە، یاسا و ئامانجەکان.	IT and managers decide together.IT و بەڕێوەبەران پێکەوە بڕیار دەدەن.
Doing the assessment onceیەک جار ئەنجامدانی هەڵسەنگاندنەکە	New attacks, systems and staff change the risks. نوێ، سیستەمی نوێ و کارمەندی نوێ دەگۆڕن.	Repeat it regularly and after big changes.بە بەردەوامی و دوای گۆڕانکاریی گەورە دووبارەی بکەرەوە.

Exercisesڕاهێنانەکان

ExerciseڕاهێنانScore a school labنمرەدان بە تاقیگەیەکی قوتابخانە

Score these risks for a school computer lab and rank them: (a) students install games with malware: likelihood 4, impact 2; (b) a fire in the lab: likelihood 1, impact 5; (c) the teacher's account is phished and marks are changed: likelihood 2, impact 4; (d) a power cut during a lesson: likelihood 5, impact 1.

نمرە بەم بدە بۆ تاقیگەیەکی کۆمپیوتەری قوتابخانە و ڕیزیان بکە: (أ) قوتابیان یاری بە دادەمەزرێنن: 4، 2؛ (ب) ئاگرکەوتنەوە لە تاقیگەکەدا: 1، 5؛ (ج) هەژماری مامۆستا بە دەدزرێت و نمرەکان دەگۆڕدرێن: 2، 4؛ (د) بڕانی کارەبا لە کاتی وانەدا: 5، 1.

Show answerوەڵامەکە پیشان بدە

\begin{aligned} (a)\; & 4 \times 2 = 8 \\ (c)\; & 2 \times 4 = 8 \\ (b)\; & 1 \times 5 = 5 \\ (d)\; & 5 \times 1 = 5 \end{aligned}

(a) and (c) tie at 8. Many teams would put (c) first, because changed marks hurt trust and fairness. (b) and (d) both score 5, but the fire is a rare disaster: keep fire safety and a backup of the lab's files anyway.

(أ) و (ج) هەردووکیان 8ن. زۆر تیم (ج) دەخەنە پێشەوە، چونکە گۆڕینی نمرە زیان بە متمانە و دادپەروەری دەگەیەنێت. (ب) و (د) هەردووکیان 5ن، بەڵام ئاگرکەوتنەوە کارەساتێکی دەگمەنە: هەر چۆنێک بێت سەلامەتیی ئاگر و لە فایلەکانی تاقیگەکە ڕابگرە.

ExerciseڕاهێنانChoose a responseوەڵامێک هەڵبژێرە

For each risk of the last exercise, choose mitigate, avoid, transfer or accept, and give one concrete action.

بۆ هەر ڕاهێنانی پێشوو، کەمکردنەوە، دوورکەوتنەوە، گواستنەوە یان قبووڵکردن هەڵبژێرە و یەک کاری دیاریکراو بنووسە.

Show answerوەڵامەکە پیشان بدە

(a) Mitigate: student accounts without administrator rights; only approved programs can run.
(b) Transfer and mitigate: insurance for the equipment, plus smoke detectors and a fire extinguisher.
(c) Mitigate: MFA for teachers and a log of every mark change.
(d) Accept (or mitigate cheaply with a small UPS for the teacher's PC).

(أ) کەمکردنەوە: هەژماری قوتابیان بەبێ مافی بەڕێوەبەر؛ تەنها بەرنامە پەسەندکراوەکان کار دەکەن.
(ب) گواستنەوە و کەمکردنەوە: بیمە بۆ کەلوپەلەکان، لەگەڵ ئامێری هەستکردن بە دووکەڵ و ئاگرکوژێنەوە.
(ج) کەمکردنەوە: MFA بۆ مامۆستایان و تۆمارکردنی هەموو گۆڕانکارییەکی نمرە.
(د) قبووڵکردن (یان کەمکردنەوەیەکی هەرزان بە UPSـێکی بچووک بۆ کۆمپیوتەری مامۆستا).

ExerciseڕاهێنانSix steps for a pharmacyشەش هەنگاو بۆ دەرمانخانەیەک

A pharmacy with three branches keeps prescriptions in an online system. Write one concrete action for each of the six planning steps.

دەرمانخانەیەک کە سێ لقی هەیە ڕەچەتەکان لە سیستەمێکی ئۆنلایندا هەڵدەگرێت. بۆ هەریەک لە شەش هەنگاوەکەی پلاندانان یەک کاری دیاریکراو بنووسە.

Show answerوەڵامەکە پیشان بدە

Organisation analysis: list the branches, PCs, the online system, who uses it, and what would hurt most (stolen or wrong prescriptions).
Risk management: list risks such as phishing, ransomware, a stolen laptop and a dishonest employee; score them.
Mitigation and costs: price MFA, backups and training, and compare them with the expected losses.
Security policy: who may see prescriptions, password rules, what to report and to whom.
Implementation and testing: switch on MFA, set up backups, then restore one as a test.
Training and awareness: a short session for every new employee and a monthly reminder about new tricks.

شیکردنەوەی ڕێکخراو: لقەکان، کۆمپیوتەرەکان، سیستەمە ئۆنلاینەکە و ئەوانەی بەکاری دەهێنن بنووسە، هەروەها ئەوەی زۆرترین زیان دەگەیەنێت (ڕەچەتەی دزراو یان هەڵە).
: وەک ، ، لاپتۆپی دزراو و کارمەندێکی ناپاک بنووسە؛ نمرەیان پێبدە.
کەمکردنەوە و تێچوون: نرخی MFA، و ڕاهێنان دیاری بکە و لەگەڵ زیانە چاوەڕوانکراوەکاندا بەراوردیان بکە.
: کێ دەتوانێت ڕەچەتەکان ببینێت، یاساکانی ، چی و بە کێ ڕابگەیەنرێت.
جێبەجێکردن و تاقیکردنەوە: MFA چالاک بکە، ڕێک بخە، پاشان یەکێکیان بە تاقیکردنەوە بگەڕێنەوە.
ڕاهێنان و هۆشیاری: دانیشتنێکی کورت بۆ هەموو کارمەندێکی نوێ و بیرخستنەوەیەکی مانگانە لەبارەی فێڵە نوێکانەوە.

ExerciseڕاهێنانRead the graphگرافەکە بخوێنەوە

Using the investment graph, describe what happens to the total cost (a) if a company spends almost nothing on security, and (b) if it tries to reach 100% security.

بە بەکارهێنانی گرافی خەرجی، باسی بکە چی بەسەر کۆی تێچووندا دێت (أ) ئەگەر کۆمپانیایەک نزیکەی هیچ پارەیەک بۆ خەرج نەکات و (ب) ئەگەر هەوڵ بدات بگاتە ⁦100%⁩.

Show answerوەڵامەکە پیشان بدە

(a) Total cost is high: investment is low, but breach losses are very high (the left end of the U).
(b) Total cost is high again: breach losses are small, but the investment rises without limit (the right end of the U). The best level is in between.

(أ) کۆی تێچوون بەرزە: خەرجی کەمە، بەڵام زیانی زۆر بەرزە (لای چەپی U).
(ب) کۆی تێچوون دیسان بەرز دەبێتەوە: زیانی کەمە، بەڵام خەرجی بێسنوور بەرز دەبێتەوە (لای ڕاستی U). باشترین ئاست لە نێوانیاندایە.

Summaryپوختە

Six planning steps: organisation analysis, risk management, mitigation approaches and costs, security policy, implementation and testing, training and awareness.
Risk assessment is a business decision: IT and managers talk, choose internal or external resources, follow the law and build capabilities.
Risk lives where threats, vulnerabilities and consequences meet. Measured simply: risk = likelihood × impact, shown in a risk matrix.
Four responses: mitigate, avoid, transfer, accept. Some residual risk always remains.
Total cost is lowest at a middle level of security; 100% security is impossible.
NIST CSF 2.0: Govern, Identify, Protect, Detect, Respond, Recover. Risk assessment sits in Identify; risk strategy in Govern.

شەش هەنگاوی پلاندانان: شیکردنەوەی ڕێکخراو، ، ڕێگاکانی کەمکردنەوە و تێچوونیان، ، جێبەجێکردن و تاقیکردنەوە، ڕاهێنان و هۆشیاری.
بڕیارێکی بازرگانییە: IT و بەڕێوەبەران قسە دەکەن، سەرچاوەی ناوەوە یان دەرەوە هەڵدەبژێرن، پەیڕەوی یاسا دەکەن و توانا بنیات دەنێن.
لەو شوێنەدایە کە ، و ئەنجامەکان یەک دەگرنەوە. بە سادەیی دەپێورێت: = × ، لە نیشان دەدرێت.
چوار وەڵام: کەمکردنەوە، دوورکەوتنەوە، گواستنەوە، قبووڵکردن. هەمیشە هەندێک دەمێنێتەوە.
کۆی تێچوون لە ئاستێکی ناوەندیی لە هەموو کەمترە؛ ⁦100%⁩ مەحاڵە.
⁦2.0: Govern⁩، Identify، Protect، Detect، Respond، Recover. لە Identifyـدایە؛ ستراتیژی لە Governـدا.

Review questionsپرسیارەکانی پێداچوونەوە

What makes a risk high in the lecture's triangle?لە سێگۆشەکەی وانەکەدا چی مەترسییەک بەرز دەکات؟

A real threat, a vulnerability it can use and serious consequences all at the same time.

ڕاستەقینە، کە بتوانێت بەکاری بهێنێت و ئەنجامی قورس، هەموویان لە یەک کاتدا.

Compute the score: likelihood 4, impact 3.نمرەکە حیساب بکە: ئەگەر 4، کاریگەری 3.

$4 \times 3 = 12$ , which is high on the lesson's matrix.

$4 \times 3 = 12$ ، کە لە خشتەکەی وانەکەدا بەرزە.

Give an example of avoiding a risk.نموونەیەک بۆ دوورکەوتنەوە لە مەترسی بهێنەوە.

Stop storing card numbers and let a payment provider handle them.

واز لە هەڵگرتنی ژمارەی کارت بهێنە و با دابینکەرێکی پارەدان بەڕێوەیان ببات.

Why is the best security level below 100%?بۆچی باشترین ئاستی ئاسایش لە خوار ⁦100%⁩ـەوەیە؟

Because each extra step of security costs more than the losses it prevents, and perfect security cannot be bought.

چونکە هەر هەنگاوێکی زیادەی لەو زیانانەی ڕێگرییان لێدەکات گرانترە و تەواو ناکڕدرێت.

Videoڤیدیۆ

Watch a videoسەیری ڤیدیۆیەک بکە

A video that viewers liked a lot and praised in their comments, chosen for this lesson.ڤیدیۆیەک کە بینەران زۆریان پێ خۆش بووە و لە کۆمێنتەکانیاندا ستایشیان کردووە، بۆ ئەم وانەیە هەڵبژێردراوە.

What Is a Cybersecurity Risk Assessment (and HOW TO DO THEM!)Simply Cyber - Gerald Auger, PhD · Englishئینگلیزی · 70K viewsبینین · 2.4K likesلایک · Partبەشی 2:30–13:16 (ofلە 13:16)
How a risk assessment is done: learn how a system is used, find its vulnerabilities, score likelihood and impact, then prioritise and record the risks.
چۆن دەکرێت: بزانە سیستەمەکە چۆن بەکاردێت، بدۆزەرەوە، نمرە بە و بدە، پاشان پێشینەی دیاری بکە و تۆماریان بکە.
From 2:30 (about 11 min): a case-study walkthrough, gathering information about the system, choosing a method (7:02), prioritising risks (10:40) and the risk register (12:03).
لە ⁦2:30⁩ دەست پێدەکات (نزیکەی ⁦11⁩ خولەک): نموونەیەکی ڕاستەقینە هەنگاو بە هەنگاو، کۆکردنەوەی دەربارەی سیستەمەکە، هەڵبژاردنی ڕێگایەک ⁦(7:02)⁩، پێشینەدانان بە ⁦(10:40)⁩ و تۆماری (risk register، ⁦12:03⁩).

Lesson complete!وانەکە تەواو بوو!

Well done. Review the key terms, then go on to the next lesson.دەستخۆش. سەیرێکی زاراوە سەرەکییەکان بکەرەوە، پاشان بڕۆ بۆ وانەی داهاتوو.

Key termsزاراوە سەرەکییەکان

Next lessonوانەی داهاتوو

The Real Cost of a Cyber Attackتێچووی ڕاستەقینەی هێرشێکی سایبەری

Related lecturesوانە پەیوەندیدارەکان

References and further readingسەرچاوەکان و خوێندنەوەی زیاتر

This lecture is a first edition. The Kurdish text and terminology are waiting for review by Kurdish IT teachers.ئەم وانەیە چاپی یەکەمە. دەقە کوردییەکە و زاراوەکانی چاوەڕێی پێداچوونەوەی مامۆستایانی کوردی بواری IT ن.