8 dobrých důvodů pro analýzu rizik
Existuje množství důvodů a výhod, proč je vhodné rizika systematicky identifikovat, hodnotit a tam, kde to dává smysl, i snižovat.
1. Znalost hrozeb a zranitelností
Analýza rizik pomáhá organizacím identifikovat potenciální hrozby a zranitelnosti, které by mohly ovlivnit jejich aktiva a operace (plnění veřejnoprávní agend, obchodní procesy). Tento krok je zásadní i pro předcházení incidentům a snižování jejich následků.
2. Ochrana citlivých dat
Organizace shromažďují a zpracovávají velké množství citlivých informací (osobní údaje, obchodní tajemství atd.). Analýza rizik umožňuje identifikovat kritická data a zavést opatření k jejich ochraně, což je klíčové pro zajištění důvěrnosti, integrity a dostupnosti informací.
3. Zajištění kontinuity provozu
Riziková analýza umožňuje organizacím připravit se na různé scénáře narušení provozu (výpadek IT, lidí, nedostupnost budov, selhání dodavatele). Identifikace rizik a plánování reakce na ně zvyšuje schopnost organizace se rychle zotavit a minimalizovat dopady incidentů na její činnost.
4. Soulad s legislativou
Pravidelné provádění analýzy rizik je jedním z požadavků směrnice NIS2, směrnice CER (kritická infrastruktura) i nařízení DORA (kybernetická a provozní odolnost ve finančním sektoru). Nastavení procesu pro pravidelné a dokumentované provádění analýzy rizik je nezbytné pro splnění těchto legislativních požadavků.
5. Efektivní řízení zdrojů
Analýza rizik umožňuje organizacím efektivně přidělit zdroje na základě prioritizace rizik. Tím se zajišťuje, že zdroje jsou využívány tam, kde jsou nejvíce potřebné, což vede k lepší ochraně organizace a vyšší efektivitě.
6. Zlepšení bezpečnostního povědomí
Pravidelná identifikace, aktualizace a hodnocení rizik a školení zaměstnanců zvyšují povědomí o bezpečnostních hrozbách a zranitelnostech. To vede k lepšímu dodržování bezpečnostních politik a postupů napříč celou organizací.
7. Podpora rozhodování
Analýza rizik poskytuje vedení organizace potřebné informace pro kvalifikované rozhodování. Přehled o rizicích, jejich závažnosti a možných dopadech umožňuje lépe plánovat strategie a přijímat informovaná rozhodnutí.
8. Posílení důvěry stakeholderů
Doložení řízení činnosti na základě důkladné analýzy rizik a zavedení účinných bezpečnostních opatření posiluje důvěru zákazníků, partnerů a investorů. Ukazuje, že organizace bere bezpečnost vážně a je připravena chránit svá aktiva i data svých zákazníků.
Řízení rizik prakticky
Proces řízení rizik by měl obsahovat alespoň následující kroky. Samozřejmě vždy přizpůsobené podmínkám dané organizace, odrážející její potřeby, organizační strukturu a předmět činnosti.
Identifikace informačních aktiv
Určení hrozeb a zranitelností
Určení pravděpodobnosti a dopadu rizik
Vyhodnocení míry rizika
Prioritizace rizik
Ošetření rizik
Zavedení kontrolních opatření
Dokumentace a reporting
Je nezbytné si také uvědomit, že analýza rizik není jednorázová činnost, ale kontinuální aktivita, která vyžaduje pravidelné revize a aktualizace v reakci na měnící se bezpečnostní prostředí. Pravidelná aktualizace zajišťuje, že organizace bude vždy připravena čelit novým hrozbám.
Pojďme si ukázat, jak to v praxi uchopit efektivně, chytře a tak, aby organizace žádné důležité riziko nepřehlédla ani nepodcenila.
Identifikace informačních aktiv
Prvním krokem je identifikace a klasifikace informačních aktiv, která jsou klíčová pro organizaci. Informační aktiva mohou zahrnovat data, systémy, sítě, fyzická zařízení, software a lidské zdroje. Každé aktivum by mělo být popsáno a klasifikováno na základě svojí hodnoty, významu a citlivosti pro organizaci. Klasifikace aktiv pomáhá určit, která aktiva jsou nejvíce kritická a vyžadují nejvyšší úroveň ochrany.
Typické problémy
Katalog informačních aktiv není aktualizován nebo není úplný.
Hodnocení a kategorizace aktiv: Zařazení primárních aktiv do určených úrovní vyžaduje detailní porozumění hodnotě a citlivosti každého informačního aktiva, což je proces náročný na čas a odborné znalosti.
Určení a udržování záznamů garantů aktiv: Identifikace a sledování odpovědných osob (garantů) za jednotlivá aktiva může být také náročné, zvláště v rozsáhlých nebo dynamických organizacích, kde je vysoká fluktuace zaměstnanců.
Informační aktiva nejsou zabezpečena dle své hodnoty: Vytvoření a implementace pravidel pro zajištění důvěrnosti, integrity a dostupnosti aktiv pro různé úrovně ochrany může být komplikované (mix opatření – procesní, organizační, technická).
Ochrana informačních aktiv není zajištěna v rámci jejich celého životního cyklu.
Tipy a triky
Stručná a srozumitelná metodika pro identifikaci a hodnocení aktiv.
Vhodná míra „granularity“ a počtu informačních aktiv přiměřená velikosti organizace.
Řešitelský tým zahrnuje všechny relevantní osoby, včetně vlastníků aktiv.
Zvažte zapojení externího specialisty se znalostí procesu a příslušné regulace.
Identifikaci neprovádí pouze jedna osoba.
Seznamy informačních aktiv jsou pravidelně aktualizovány v předem určených intervalech.
Použití vhodného nástroje – i řádně spravovaný excelový soubor může být vhodným nástrojem.
Určení hrozeb a zranitelností
Po identifikaci aktiv následuje určení potenciálních hrozeb a zranitelností, které by mohly aktiva ohrozit. Hrozby mohou být interní nebo externí. Zahrnují například kybernetické útoky, přírodní katastrofy, lidské chyby, výpadky dodavatele nebo technická selhání. Zranitelnostmi jsou slabá místa v systému, která mohou být využita k útoku na aktivum.
Typické problémy
Kompletnost identifikace rizik a hrozeb: Úplná identifikace všech relevantních hrozeb a zranitelností je náročná, zejména ve velkých a složitých organizacích a systémech.
Pravidelnost hodnocení rizik: Zajištění pravidelného a včasného hodnocení rizik, zvláště po významných změnách v prostředí nebo v aktivech, může být výzvou kvůli omezeným zdrojům nebo prioritám.
Tipy a triky
Inspirujte se různými metodami pro řízení rizik, vyberte tu nejvhodnější pro svoji organizaci.
Hodnocení provádí širší tým, nikoli jedna osoba.
Použijte vhodný nástroj odpovídající velikosti organizace.
Zohledněte aktuální trendy a situaci na trhu, pokud je to pro vás relevantní, tak i politická a strategická rizika související s předmětem vaší činnosti (např. kritická infrastruktura).
Určení pravděpodobnosti a dopadu rizika
Pro hodnocení rizik je třeba určit pravděpodobnost, s jakou mohou hrozby a zranitelnosti na chráněné aktivum zapůsobit. A vedle ní dopad, potencionální škody, které by riziko, pokud by se realizovalo, organizaci způsobilo. Pravděpodobnost a dopad mohou být hodnoceny na škále, například od nízké po vysokou (1-4). Kombinace těchto dvou faktorů umožňuje organizaci pochopit celkovou úroveň rizika a rozhodnout o vhodných opatřeních. Výsledná hodnota rizika bývá nejčastěji vyjádřena jako funkce, kterou ovlivňuje hodnota aktiva, hrozba a zranitelnost. Pro hodnocení rizik lze použít například tuto funkci:
Riziko = hodnota aktiva × hrozba × zranitelnost.
Typické problémy
Hodnocení dopadů na aktiva: Stanovení míry dopadů různých hrozeb a zranitelností na aktiva vyžaduje hluboké porozumění fungování a důležitosti těchto aktiv v rámci organizace.
Dokumentace a komunikace hodnocení rizik: Vypracování zpráv o hodnocení rizik, které jsou zároveň srozumitelné a využitelné pro všechny relevantní stakeholdery.
Tipy a triky
Hodnocení provádí širší tým, nikoli jedna osoba.
Použijte vhodný nástroj odpovídající velikosti organizace.
Definujte jednoznačnou metodiku pro určení dopadu a pravděpodobnosti rizika, metodiku pravidelně aktualizujte.
Využijte analýzu rizik také pro účely Business Impact Analysis (BIA).
Vyhodnocení míry rizika
Hodnocení rizik může být prováděno pomocí různých metod, které se dělí na kvalitativní a kvantitativní. Kvalitativní hodnocení rizik se zaměřuje na subjektivní hodnocení rizik na základě zkušeností a odborných znalostí. Používají se zde metody jako rizikové matice nebo brainstorming. Kvantitativní hodnocení rizik naopak využívá číselné údaje a statistické modely k určení pravděpodobnosti a dopadu rizik.
Typické problémy
Složitost a subjektivita v hodnocení rizik: Vývoj metodiky, která by objektivně hodnotila rizika a zahrnovala kritéria pro jejich akceptovatelnost, může být obtížný, protože rizika jsou často vnímána subjektivně různými stakeholdery.
Lidské zdroje: Počet a zkušenost pracovníků provádějících analýzu rizik.
Tipy a triky
Inspirujte se různými metodami pro řízení rizik, vyberte tu nejvhodnější pro svoji organizaci.
Používejte srozumitelnou a jednoduchou metodu hodnocení rizik.
Určete vhodnou hranici akceptovatelného rizika.
Prioritizace rizik
Prioritizace rizik je důležitým krokem v procesu analýzy rizik. Pomocí rizikových matic a dalších rozhodovacích nástrojů mohou organizace určit, která rizika jsou nejkritičtější a vyžadují okamžitou pozornost.
Na základě hodnocení rizik a využití rizikových matic mohou organizace určit priority pro řízení rizik. Tato priorita by měla zohledňovat jak závažnost rizika, tak i dostupné zdroje pro jeho ošetření. Vysoké priority by měly být přiřazeny rizikům s vysokou pravděpodobností a vysokým dopadem, zatímco nízké priority mohou být přiřazeny rizikům s nízkou pravděpodobností a nízkým dopadem.
Ošetření rizik
Existují čtyři hlavní možnosti, jak reagovat na riziko: Vyhýbání se riziku, mitigace rizika, přenos rizika a akceptace rizika. Každý z těchto postupů je legitimní, má své výhody a nevýhody a je třeba jej zvolit na základě specifických podmínek a potřeb organizace.
Vyhýbání se riziku: Eliminace rizika tím, že se organizace vyhne aktivitám, které by mohly riziko způsobit (např. zastavení rizikového projektu).
Mitigace rizika: Implementace opatření, která snižují pravděpodobnost nebo dopad rizika (např. zavedení nových bezpečnostních opatření, personální posílení kritického útvaru, výměna dodavatele).
Přenos rizika: Přesun rizika na třetí stranu, například prostřednictvím pojištění nebo outsourcování (např. uzavření pojištění proti kybernetickým útokům).
Akceptace rizika: Přijetí rizika jako součást běžného provozu, pokud je riziko nízké a náklady na jeho ošetření by byly vyšší než potenciální dopad (např. akceptace rizika ztráty drobného zařízení).
Zavedení kontrolních opatření
Po rozhodnutí o způsobu vypořádání se s riziky je třeba naplánovat a implementovat kontrolní opatření. Jejich cílem je včas identifikovat, zda se riziko nezvyšuje nad akceptovatelnou mez a zda zavedená mitigační opatření opravdu fungují. Tato opatření by měla být specifická, měřitelná, dosažitelná, relevantní a časově ohraničená (SMART). Kontrolní opatření mohou zahrnovat technická řešení, jako je instalace bezpečnostních systémů nebo provozního či bezpečnostního monitoringu, nebo organizační či procesní opatření.
Typické problémy
Plán zvládání rizik: Vytvoření a aktualizace efektivního plánu zvládání rizik, který zahrnuje konkrétní opatření, zodpovědné osoby, termíny a zdroje, je proces, který vyžaduje důkladnou znalost organizace a jejích operací.
Implementace bezpečnostních opatření a kontrol: Převod teoretických plánů zvládání rizik do praxe může narazit na řadu překážek, včetně odporu proti změnám nebo nesouladu s existujícími procesy a kulturou organizace.
Tipy a triky
Inspirujte se různými metodami pro tvorbu a implementaci kontrolních opatření.
Pro každé nepřijatelné riziko volte vhodné kontrolní opatření.
Zapojte širší tým a zajistěte, že všichni zúčastnění rozumí svým rolím a odpovědnostem.
Monitorujte účinnost opatření a pravidelně je revidujte.
Dokumentace a reporting
Dokumentace je nezbytnou součástí procesu analýzy rizik. Organizace by měly vést záznamy o všech identifikovaných rizicích, jejich hodnocení a ošetření. Tyto záznamy by měly být udržovány aktuální a pravidelně revidovány. Dokumentace pomáhá zajistit transparentnost a sledovatelnost procesu analýzy rizik a umožňuje zpětnou vazbu a zlepšování.
Kromě interní dokumentace je důležité také reportování rizik. Interní reportování by mělo zahrnovat pravidelné zprávy pro management a další relevantní oddělení organizace. Externí reportování může být vyžadováno dozorovými orgány, mateřskou společnosti nebo obchodními partnery. Přesné a včasné reportování rizik je klíčové pro efektivní komunikaci a zajištění souladu s právními a regulatorními požadavky.
Typické problémy
Dokumentace a komunikace hodnocení rizik: Vypracování zpráv o hodnocení rizik, které jsou dostatečně srozumitelné pro všechny relevantní stakeholdery, může být náročné.
Tipy a triky
Používejte strukturované šablony pro dokumentaci rizik.
Zajistěte, aby všechny relevantní osoby měly přístup k aktuálním informacím o rizicích.
Pravidelně aktualizujte záznamy a reporty, aby odrážely aktuální stav rizik.
Trendy v analýze rizik
Mezi aktuální trendy v analýze rizik patří využívání pokročilých technologií, jako je umělá inteligence a strojové učení, které umožňují přesnější a rychlejší identifikaci rizik. Dalším trendem je integrace analýzy rizik s ostatními bezpečnostními procesy a nástroji, což zvyšuje efektivitu a celkovou bezpečnostní pozici organizace. Důraz je také kladen na školení a zvyšování povědomí zaměstnanců o kybernetické bezpečnosti, což je klíčové pro prevenci rizik.
Proces analýzy rizik je klíčovým nástrojem pro udržení bezpečnosti a stability organizace. Implementací systematického přístupu k řízení rizik mohou organizace nejen splnit požadavky norem a regulací, jako jsou ISO 27001, NIS2 a DORA, ale také posílit svou celkovou bezpečnostní pozici a zajistit svou dlouhodobou prosperitu a úspěch.
