Která bezpečnostní rizika mohou vaši firmu nejvíce ohrozit? A do jakých opatření se vyplatí investovat jako první? Analýza rizik pomáhá organizacím identifikovat slabá místa, vyhodnotit možné dopady kybernetických incidentů a rozhodnout, kam směřovat čas a rozpočet. Aby ale přinesla skutečnou hodnotu, musí vycházet z fungování firmy a jejích priorit.
Jak poznat, která kybernetická rizika řešit jako první?
Základem je vyhodnotit pravděpodobnost jednotlivých hrozeb a jejich možný dopad na fungování organizace. Závažnost rizika však sama o sobě neurčuje, v jakém pořadí by firma měla zavádět bezpečnostní opatření.
Do rozhodování vstupují také náklady na opatření, rychlost jeho zavedení a především to, jak výrazně dokáže konkrétní riziko snížit. Někdy lze závažné riziko omezit poměrně jednoduše a levně, zatímco řešení méně závažného problému může vyžadovat neúměrně vysokou investici.
Při stanovování priorit je proto důležité zohlednit jak úroveň rizika, tak náklady a očekávaný přínos jednotlivých opatření. Právě tyto informace potřebuje management pro rozhodování o bezpečnostním rozpočtu.
Samotné hodnocení přitom vyžaduje správně nastavená kritéria. Pokud jsou hodnoticí škály příliš přísné nebo naopak benevolentní, mohou výsledky analýzy zkreslit a firma začne řešit nesprávné priority. S nastavením metodiky proto může výrazně pomoci zkušený bezpečnostní konzultant nebo auditor.
Kde analýza rizik začíná? U přehledu firemních aktiv
Než začne firma hodnotit kybernetická rizika, musí vědět, co vlastně potřebuje chránit. Prvním krokem je proto identifikace a evidence aktiv, tedy přehled důležitých systémů, aplikací, dat a procesů.
U každého aktiva by mělo být jasné:
- kdo za něj odpovídá
- jakou má hodnotu pro organizaci
- jaké následky by mělo jeho narušení nebo nedostupnost
V tomto bodě firmy často chybují. Pouštějí se do hodnocení rizik, aniž by měly aktuální přehled svých aktiv a jejich vazeb na fungování byznysu. Výsledná analýza pak může přehlédnout zásadní závislosti nebo přisuzovat vysokou prioritu systémům, jejichž výpadek by měl ve skutečnosti jen omezený dopad.
Jak probíhá hodnocení rizik v kybernetické bezpečnosti?
Při analýze rizik se pracuje se čtyřmi základními oblastmi: aktivy, hrozbami, zranitelnostmi a dopady. Jejich vzájemné souvislosti určují, jaké riziko organizaci hrozí.
Představme si například zákaznickou databázi:
- Aktivum: zákaznická databáze obsahující osobní a obchodní údaje.
- Hrozba: neoprávněný přístup nebo únik dat.
- Zranitelnost: nedostatečně nastavená přístupová oprávnění nebo neaktualizovaný systém.
- Dopad: finanční ztráty, právní důsledky, narušení provozu nebo poškození reputace.
Výsledná úroveň rizika závisí na pravděpodobnosti, že hrozba danou zranitelnost využije, a na závažnosti následků. Pokud má firma účinná bezpečnostní opatření, může být riziko výrazně nižší i u velmi hodnotného aktiva.
Pro hodnocení se využívají různé metodiky a rizikové matice. Důležité je, aby zvolený způsob hodnocení odpovídal prostředí organizace a umožňoval vzájemně porovnávat jednotlivá rizika.
Nejčastější chyby při analýze rizik
Z praxe se opakují především dva protichůdné přístupy. Některé firmy se snaží řešit všechna identifikovaná rizika současně. Vznikne rozsáhlý seznam opatření, na který ale nestačí rozpočet ani kapacity, takže se jednotlivé úkoly nedaří dokončovat.
Jiné organizace naopak rizika podceňují s argumentem, že se jim podobný incident nikdy nestal. Jenže právě analýza rizik má pomoci připravit se na události, které mohou teprve nastat.
Častým problémem je také hodnocení rizik pouze z technického pohledu, bez znalosti obchodních procesů a skutečných potřeb firmy. Výsledkem mohou být priority, které neodpovídají reálným dopadům na organizaci.
Kdo by měl být do analýzy rizik zapojený?
Kvalitní analýza rizik vyžaduje spolupráci IT, bezpečnostního týmu, vlastníků procesů a vedení společnosti. Každý z nich přináší jiný pohled na to, co může organizaci ohrozit.
- IT a bezpečnostní specialisté rozumějí technickým hrozbám a zranitelnostem.
- Vlastníci procesů dokážou posoudit, jak důležité jsou jednotlivé systémy a data pro každodenní provoz.
- Management následně rozhoduje, která rizika bude firma snižovat, jaké prostředky na to vyčlení a která rizika je ochotna akceptovat.
Propojení technického a byznysového pohledu je zásadní pro správné stanovení priorit. Výpadek technicky méně významného systému totiž může mít pro firmu mnohem závažnější následky než problém u rozsáhlejší IT infrastruktury.
Jak často aktualizovat analýzu rizik a poznat, že funguje?
Celkovou revizi analýzy rizik je vhodné provádět alespoň jednou ročně. Přehodnocení je ale potřeba také při významných změnách, například při zavedení nového systému, změně klíčového dodavatele, outsourcingu služeb, restrukturalizaci nebo po bezpečnostním incidentu.
Aktuální analýza by měla být podkladem pro plán zvládání rizik, který stanovuje konkrétní bezpečnostní opatření, odpovědné osoby a termíny jejich realizace. Její výsledky by se měly promítat také do rozhodování vedení a plánování investic.
To je nejlepší způsob, jak vyhodnotit její přínos. Pokud firma dokáže zpětně ukázat, která rizika díky analýze snížila, jaká opatření zavedla a proč jim dala přednost, využívá analýzu rizik jako skutečný nástroj řízení kybernetické bezpečnosti.
Pro organizace, které podléhají zákonu o kybernetické bezpečnosti nebo usilují o certifikaci ISO 27001, je analýza rizik zároveň důležitou součástí plnění příslušných požadavků. Její praktický přínos však spočívá především v tom, že firma dokáže své bezpečnostní investice plánovat na základě konkrétních rizik a jejich dopadů.
Víte, která bezpečnostní rizika by vaše organizace měla řešit jako první?
Pomůžeme vám identifikovat a vyhodnotit kybernetická rizika, nastavit priority a navrhnout opatření, která dávají smysl z hlediska bezpečnosti i fungování vaší firmy. → Ozvěte se nám.
