Posouzení rizik: jak získat rozhodovací obraz

Aktiva a služby

Východiskem posouzení rizik je přehled aktiv a služeb, které organizace považuje za významné. Aktiva mohou zahrnovat systémy, data, vybavení, ale také know-how a lidské zdroje. Služby představují to, co organizace poskytuje, a často závisí na aktivech.

U každé služby je užitečné popsat, která aktiva ji podporují a jaký význam má pro organizaci a její okolí. Tento přehled pomáhá pochopit, co je skutečně kritické a co lze v případě potřeby dočasně omezit.

Je důležité nezastavit se jen u technických aktiv. Může se ukázat, že kritickým prvkem je proces, role nebo smlouva s dodavatelem. Širší pohled pomáhá odhalit rizika, která by při úzkém zaměření zůstala skryta.

Hrozby a scénáře

Dalším krokem je identifikace hrozeb a scénářů, které by mohly vést k narušení. Může jít o technické hrozby, jako jsou kybernetické útoky nebo výpadky; organizační hrozby, jako jsou chyby procesů nebo ztráta klíčových osob; i o externí faktory, jako jsou přírodní katastrofy nebo selhání dodavatele.

U každé hrozby je užitečné zvážit, jak pravděpodobná je a jaký dopad by měla. Nejde o přesné výpočty, ale o rozumný odhad, který pomáhá prioritizovat. Může se stát, že riziko s nízkou pravděpodobností, ale vysokým dopadem vyžaduje více pozornosti než časté, ale méně závažné riziko.

Scénáře pomáhají propojit hrozby s konkrétními službami. Místo abstraktního „co když útok" můžete zvážit, co by se stalo s konkrétní službou, pokud by došlo k narušení. Tento přístup usnadňuje rozhodování o opatřeních.

Závislosti a priorita

Závislosti jsou klíčovým prvkem posouzení rizik. Služba může záviset na systému, systém na dodavateli a dodavatel na subdodavateli. Tyto řetězce mohou vést k situaci, kdy se riziko objeví na místě, kde by ho organizace nečekala. Mapování závislostí pomáhá odhalit taková slabá místa.

Zvláštní pozornost je třeba věnovat závislostem na externích dodavatelích. Jak jsme probírali v tématu kritických dodavatelů, výpadek dodavatele může mít stejný dopad jako interní narušení. Tyto závislosti je třeba dokumentovat a případně s dodavatelem sjednat příslušná opatření.

Výsledkem posouzení by měla být priorita rizik a opatření. Nejde o to řešit vše najednou, ale o to vědět, kde začít. Tato priorita tvoří vstup pro plán odolnosti a pro další kroky v oblasti bezpečnosti.

Často kladené otázky

Jak často by mělo být posouzení rizik aktualizováno?

Zákonná povinnost je aktualizovat posouzení rizik nejméně jednou za 4 roky. Prakticky je vhodné provést aktualizaci také po významných změnách, jako je zavedení nové služby, změna dodavatele nebo narušení, tato pravidelná revize však není samostatnou zákonnou povinností. Cílem je udržet přehled rizik v souladu se skutečností.

Co dělat, když vznikne riziko, které nelze snadno řešit?

Ne všechna rizika lze eliminovat. V takovém případě je vhodné riziko dokumentovat, definovat, jak s ním organizace pracuje, a případně sjednat opatření ke snížení dopadu. Může jít o alternativní řešení, omezení rozsahu nebo přijetí rizika s vědomím jeho důsledků. Důležité je, aby rozhodnutí bylo vědomé a zdokumentované.