Sie würden eine Bedrohung niemals ignorieren, und vielleicht ist das eine Semantik über Ihren Wortlaut. Sie akzeptieren, mindern oder lagern das Risiko für die jeweilige Bedrohung aus. In diesem Fall wäre dies:

1. akzeptieren, dass es zu einem Verlust von $ X kommt,
2. Fix-DRM abmildern oder DRM als Alternative zum Schutz des Produkts finden oder
3. mit Versicherung auslagern oder das Risiko auf die gleiche Weise auf eine andere Person übertragen wie die Versicherung.
ol>

Wenn 1) in Ihrem Fall nicht akzeptabel ist, müssen sie zu 2 wechseln oder 3 als ihre Alternativen.

TL; DR: NEIN (aber wir sollten definieren, was "Ignorieren" bedeutet; aus dem Text der Frage vermute ich, dass wir tatsächlich der gleichen Meinung sind).

Sie "ignorieren" eine Bedrohung nicht. Die alte Säge sagt, dass Sie keine Bedrohung fürchten, die Sie nicht vermeiden können - stultum est timere quod vitare non potes , da Angst Ihnen nichts nützt.

Aber nur wenige Bedrohungen sind in jeder Hinsicht und in jeder Konsequenz völlig unvermeidbar und profitieren nicht im geringsten von Überlegungen, so dass Sie nur noch Zeit sparen, indem Sie sie ignorieren.

Sie können Tod zum Beispiel, aber Sie bemühen sich immer noch, ihn mit Medizin und Lebensstil so weit wie möglich zu verzögern. Sie planen es mit Versicherungen und einem Willen; Sie mildern die Konsequenzen für diejenigen, die Sie betreuen, und wenn und wo immer möglich und legal, versuchen Sie, die Konsequenzen für sich selbst zu mildern (diese Konsequenzen können Sie).

Genau das Gleiche gilt für geringere Bedrohungen (minus die religiösen Implikationen).

Sie definieren zunächst die Bedrohung und ihre Angriffsfläche. Sie bewerten dann, ob und zu welchen Kosten Sie diese Angriffsfläche reduzieren können. Hier könnte der Teil "Überdenken des Geschäftsmodells" ins Spiel kommen. Oder sogar der Teil "Projekt ganz aufgeben" oder "auf jemand anderen ablegen".

Dann wissen Sie, dass Sie eine Sicherheitslücke haben, aber dies immer noch Sie haben das Problem zu bestimmen, ob und wie viel diese Sicherheitsanfälligkeit ausgenutzt wird und wie hoch der Schaden tatsächlich ist. Im Szenario der Inhaltsduplizierung würde dies bedeuten, dass ein Sensor eingesetzt wird, der Ihnen anzeigt, was und wie viel illegal kopiert wird. In mehreren Ländern können Sie nichts tun, bis Sie einen wirtschaftlichen Schaden oder dessen Risiko quantifizieren können.

Die Kenntnis des Schadens (tatsächlich und potenziell) ist auch der Schlüssel zur Auswahl einer Strategie. Sie können sich dafür entscheiden, nichts zu tun (aber die Überwachung fortzusetzen!), Wenn sich herausstellt, dass der Schaden minimal ist und wahrscheinlich minimal bleibt. oder wenn der Schaden hat auch eine gute Seite - zum Beispiel: Illegales Kopieren einer Software bedeutet auch, dass es eine illegale Benutzerbasis gibt, die sonst nicht vorhanden wäre, und ein Teil dieser Benutzerbasis muss irgendwann legitim werden. Stellen Sie sich eine Office-Suite vor, mit der Sie sich als Student illegal vertraut machen und die Sie dann in Ihrem Lebenslauf anbieten und / oder die Kaufentscheidungen eines großen Unternehmens beeinflussen (passen sie zu UnknownOffice v1.0? Oder bevorzugen sie WellKnownOffice 1.0? reflektiert die Verfügbarkeit qualifizierter Benutzer - und damit ihre Löhne). Sie würden viele Benutzer "verlieren", die Sie sowieso nie gewonnen hätten - großer virtueller Verlust, kein Umsatzverlust - und einige Benutzer gewinnen, die Sie sonst nicht gehabt hätten. Möglicherweise müssen Sie noch eine Lizenz für Privatanwender oder Studenten prüfen oder eine kostenlose Testversion oder eine offene, eingeschränkte Version anbieten. Fakt ist jedoch, dass Ihre "Bedrohung" in diesem Fall tatsächlich Ihnen hilft.

Wenn sich der Schaden als riesig herausstellt, können Sie andere Strategien prüfen (möglicherweise politisch - kann die Gesetzgebung nicht geändert werden, um die Strafverfolgung zu ermöglichen? - oder technisch - wie wäre es mit einem Dongle-System? Nur authentifizierte Live-Streams bereitstellen Benutzer - Herausholen Ihres eigenen inkompatiblen Anzeigesystems - Dies sind alles sehr kostspielige Optionen, die sich auch auf die Verbreitung auswirken würden. Sie benötigen daher harte Daten, um zu rechtfertigen, dass Sie sie auch nur in Betracht ziehen.

Dann liegt kein Schaden vor bedeuten, dass Sie es passiv akzeptieren. Einige Teile des Schadens könnten eingedämmt oder auf andere Weise begrenzt, verringert oder ihre Auswirkungen auf irgendeine Weise verringert werden.

Sie können proaktiv Strategien anwenden, um einen Teil der Gefahr zu entschärfen oder sie in der Quelle wiederzugeben. Wenn Sie hier nur den Wind schießen, aber wenn Sie nach einer festgelegten Zeit ab der offiziellen Veröffentlichung routinemäßig eine Version eines digitalen Inhalts mit geringerer Qualität veröffentlichen, müssen Sie einen erheblichen Teil der illegalen Kopierer (und in einigen Ländern auch) demotivieren der Fall schwieriger für diejenigen, die kopieren). Dies verringert die Verfügbarkeit illegaler Kopien und kann die Einnahmen erhöhen. Das ist natürlich eine Theorie: Man müsste sie auf den Prüfstand stellen. Und dann experimentieren Sie vielleicht mit verschiedenen Qualitäten und Verzögerungen, um herauszufinden, welche am effektivsten ist. Sie könnten Whistleblowern Kopfgelder auferlegen: Ich erinnere mich an ein Anti-Piraterie-Programm, bei dem Sie eine Raubkopienlizenz fast kostenlos in eine legale Lizenz umwandeln können, vorausgesetzt, Sie können einen Kaufnachweis für das Raubkopienmaterial vorlegen . Dies hat nichts gegen die Piraterie zu Hause getan, aber das Risiko, Software illegal an kleine und mittlere Unternehmen zu liefern, war enorm. Was auch immer Sie für die Software berechnet haben, Sie könnten niemals eine Null-Kosten-Lizenz schlagen.

Es gibt vier grundlegende Strategien zur Risikokontrolle:

1. Vermeidung: Anwendung von Schutzmaßnahmen, mit denen die verbleibenden unkontrollierten Risiken für die Sicherheitsanfälligkeit beseitigt oder verringert werden.
2. Übertragung: Verlagerung des Risikos auf andere Bereiche oder externe Stellen
3. Minderung: Verringerung der Auswirkungen, wenn die Sicherheitsanfälligkeit ausgenutzt wird
4. Akzeptanz: Verständnis der Konsequenzen und Akzeptieren des Risikos ohne Kontrolle oder Minderung

Und ' Akzeptanz ' unterscheidet sich von ' Ignoranz '.

Wenn ein Risiko besteht, verschwindet es nicht einfach, wenn Sie es ignorieren. Wenn das Risiko klein genug ist, ist es unwahrscheinlich, dass es auftritt, und Sie können es wahrscheinlich ignorieren. Dies ist Teil des üblichen Risikomanagements, d. H. Es gibt kein vollständig sicheres System.

Wenn das Risiko jedoch groß genug ist, ist es eine schlechte Idee, es zu ignorieren. Während Unwissenheit in diesem Fall immer noch eine gültige Strategie ist, kann sie als nutzlose Strategie angesehen werden. Das Risiko anzugehen wäre besser. Das heißt, In Ihrem Beispiel mit DRM kann dies eine Änderung des Geschäftsmodells oder eine Lobbyarbeit für Änderungen des Rechtssystems sein, um Ihr eigenes Risiko durch Erhöhung des Angreiferrisikos zu verringern.

Sie sollten eine Bedrohung nicht "ignorieren", nur weil Sie sie nicht verhindern können. Bedrohungen haben zwei Seiten: das Vorher und das Nachher. "Nach" ist weiterhin vorhanden, wenn Sie nichts gegen "Vorher" tun können.

Beispielsweise ist Denial of Service nur sehr schwer zu verhindern. Wenn ein entschlossener Angreifer mit genügend Ressourcen (oder ein dummer entschlossener Angreifer mit einigen Ressourcen) beschließt, Sie zu beschaffen, können Sie nicht viel tun, außer Ihre Website herunterzufahren und für eine Tonne zusätzliche Bandbreite zu bezahlen oder hoffen Sie, dass Ihr Hosting-Anbieter / ISP einige seiner Ressourcen verwendet, um Ihre Situation zu verbessern.

Sie können jedoch versuchen, die Auswirkungen im Falle eines Denial-of-Service zu mildern. Während reine Websites auf diese Weise nicht viel bewirken können, ist ein Beispiel, wo dies möglich ist, Software, die Kontakt mit einer Website benötigt. Angenommen, Sie haben ein Programm, das Daten auf einem Server speichert. Sie können die Fähigkeit zur Behandlung der Site (oder des Netzwerks, falls das Problem beim Benutzer auftritt) einbauen, indem Sie Daten vorübergehend lokal speichern und die Funktionalität einschränken, die das Herunterladen neuer Daten erfordern würde.

Dies Hilft dabei, die Auswirkungen des Denial of Service auf Ihre Software zu verringern, auch wenn Sie wenig tun können, um dies zu verhindern. Das bloße Ignorieren der Bedrohung würde bedeuten, dass Sie solche Minderungsbemühungen nicht versuchen sollten.

Natürlich gibt es Fälle, in denen selbst eine Effektminderung schwierig oder unmöglich ist. Wie ich bereits angedeutet habe, können Websites nur wenig tun, außer die Bandbreitenrechnung zu senken oder zu erhöhen, während sie langsam reagieren. In diesem Fall könnte möglicherweise "Ignorieren" angewendet werden - obwohl "Akzeptieren, dass Sie nichts tun können, um das Problem zu entschärfen" möglicherweise ein politischerer und ausführlicherer Begriff dafür ist.

Bis zu einem gewissen Grad ist es auch eine Frage des Maßstabs. Wenn Sie ein großes IT- / Web-Unternehmen wie Google betreiben, haben Sie im fortgesetzten Beispiel von Denial of Service möglicherweise mehr Optionen als Mrs. Smiths Pastries Online, z. B. direkte Beteiligung der Strafverfolgungsbehörden und verschiedene technische Tricks hinter den Kulissen / p>

Ich habe hauptsächlich DoS verwendet, da es ein klassisches Beispiel für eine Bedrohung ist, die schwer oder unmöglich zu verhindern ist, aber Sie könnten einen ähnlichen Denkprozess auf fast alles anwenden.

Ich denke a Da Sie DRM erwähnt haben, ist es erwähnenswert, dass Ihre Minderungsbemühungen manchmal mit Kosten verbunden sind. In diesem Fall ist die Benutzerzufriedenheit und die PR schlecht. In einigen reinen IT-Fällen können sich die Kosten erhöhen und die Leistung beeinträchtigen. Wenn Sie diese Kosten abwägen, können Sie entscheiden, dass es sich lohnt, selbst die möglichen Auswirkungen einer Bedrohung zu ignorieren, zumindest bis sie sich als erhebliches Problem herausstellen.

Anstatt zu ignorieren, würde ich vorschlagen, dass Sie die Bedrohung bewerten, die Verluste ermitteln und die Kosten für die Verteidigung gegen die Bedrohung ermitteln.

Wenn die Kosten für die Verteidigung höher sind als die Verluste, ist dies gültig Um die Verluste der Bedrohung zu akzeptieren, ohne eine Strategie zur Bewältigung der Bedrohung zu entwickeln.

Wie andere betonen, gibt es jedoch viele Möglichkeiten, Bedrohungen zu verwalten, die nicht viel kosten. Zum Beispiel wird die DRM-Bedrohung mithilfe von sozialem Druck in Form von Werbung, "Sie würden kein Auto stehlen ..." und gut bekannt gewordenen Rechtsstreitigkeiten, die darauf hindeuten, dass Benutzer möglicherweise ihre Finanzen riskieren, wenn sie gegen DRM verstoßen, verwaltet / p>

Einige Sicherheitsforscher beschränken ihre Verteidigung auf hauptsächlich technische Lösungen. Dem aufgeschlossenen Sicherheitsbedrohungsforscher stehen jedoch noch viele weitere Tools zur Verfügung.

Ignorieren ist ein ziemlich starkes Wort, aber ich kann Ihnen sagen, dass es in vielen Unternehmen Standard ist, alles zu vermeiden, was eine Bedrohung ans Licht bringt, mit der man nur schwer umgehen kann.

Die allgemeine Richtlinie in fast allen IT-Shops lautet "Due Diligence", was im Grunde bedeutet, die Dinge zu tun, die Sie tun sollen. Da sehr fortgeschrittene Angriffe (chinesische APT usw.) mit Standard-Due-Diligence-Methoden wie der Installation von AV auf einem Computer im Allgemeinen nicht erkennbar sind, können sie von der typischen IT-Abteilung nicht einfach gehandhabt werden.

Im Grunde bedeutet dies also Wenn auf irgendeine Weise ein APT-Eingriff festgestellt wird, muss das Unternehmen spezielle, hochqualifizierte Sicherheitsberater einstellen, um das Problem zu lösen. Das ist sehr sehr teuer. Das Nettoergebnis ist also, dass alle verärgert sind. Der CEO ist wütend wegen des ausgegebenen Geldes. Die IT-Abteilung sieht schlecht aus, weil sie das überhaupt zulässt. Und schließlich gibt es auch nach dem Durchsuchen Ihres Systems durch die Superprofis keine Garantie dafür, dass die Eindringlinge immer noch nicht anwesend sind und irgendwo Code in Ihrem Netzwerk haben.

Aus all diesen Gründen tut dies die durchschnittliche IT-Abteilung nicht Sie wollen sogar dorthin, damit sie nichts tun, was zu solchen Problemen führen würde. Die allgemeine Idee ist, dass, wenn es mit Standardmethoden (AV und kommerzielles IDS) nicht erkannt werden kann, es für sie nicht existiert.