Procjena rizika: kako je provesti korak po korak

Procjena rizika informacijske sigurnosti je strukturiran proces kojim utvrđujete što vrijedno posjedujete, čemu je to izloženo i koliko bi vas stajalo ako se nešto dogodi. Daje odgovor na tri pitanja koja stoje iza svake ozbiljne sigurnosti: što nam se može dogoditi, koliko je to vjerojatno i koliko bi nas koštalo. Bez tog odgovora tvrtka ulaže nasumično. Kupuje alate za probleme koje možda nema, a previđa rizike koji je stvarno mogu pogoditi. Procjena rizika zato nije papirologija nego temelj na kojem se gradi sve ostalo.

Za reguliranu hrvatsku tvrtku procjena rizika je i poslovna nužnost i pravna obveza. ISO/IEC 27001 traži procjenu rizika kao srž sustava upravljanja, Zakon o kibernetičkoj sigurnosti kojim je u Hrvatsku prenesena NIS2 direktiva nalaže upravljanje rizicima utemeljeno na njihovoj procjeni, a DORA isto traži od financijskih institucija. Jedna dobro provedena procjena tako pokriva više obveza odjednom i istovremeno pokazuje gdje stvarno uložiti novac. Ovaj tekst objašnjava kako je provesti korak po korak i pretvoriti u plan.

Ovo je dio našeg pregleda sigurnosnog programa. Procjenu rizika provodimo kroz upravljanje, rizik i usklađenost.

Što je procjena rizika i zašto je temelj svega

Rizik nije isto što i prijetnja. Prijetnja je nešto što vam može naštetiti, na primjer ransomware, krađa vjerodajnica ili kvar diska. Ranjivost je slabost koju ta prijetnja može iskoristiti, na primjer neažuriran sustav ili lozinka bez drugog faktora. Rizik je spoj vjerojatnosti da se prijetnja kroz ranjivost ostvari i učinka koji bi to imalo na baš vašu tvrtku.¹ Zato dvije tvrtke s istom prijetnjom mogu imati posve različit rizik.

Procjena rizika je temelj jer sve ostale sigurnosne odluke ovise o njoj. Bez nje ne znate koje kontrole su prioritet, koliko trošiti ni što reći upravi i revizoru. S njom dobivate poredanu listu izloženosti koja pokazuje gdje prvi euro donosi najviše smanjenja rizika. To je razlika između sigurnosti vođene strahom ili modom i sigurnosti vođene dokazima.

Procjena rizika usmjerava i tehničke i organizacijske mjere. Na temelju nje birate hoćete li uvesti dvofaktorsku autentifikaciju, pojačati nadzor ili naručiti penetracijsko testiranje. Bez procjene te odluke su pogađanje. S procjenom svaka kontrola ima opravdanje vezano uz konkretan rizik, što olakšava i odobravanje proračuna i kasniju reviziju.

Kako teče procjena rizika korak po korak

Procjena slijedi prepoznatljiv slijed koraka, usklađen s priznatim okvirima poput NIST SP 800-30 i ISO/IEC 27005.¹² Svaki korak gradi na prethodnom, pa preskakanje jednog kvari sve ostale.

1. 01
   Popišite imovinu

   Utvrdite što štitite: podatke, aplikacije, sustave, procese i ljude koji su tvrtki važni. Bez popisa imovine ne možete ocijeniti rizik jer ne znate što je uopće izloženo.
2. 02
   Utvrdite prijetnje i ranjivosti

   Za svaku imovinu razmotrite što joj prijeti i gdje je slaba. Izvori uključuju procjenu ranjivosti, izvještaje o prijetnjama i iskustvo iz incidenata.
3. 03
   Procijenite vjerojatnost i učinak

   Za svaki par prijetnje i ranjivosti ocijenite koliko je vjerojatno da se ostvari i kolika bi bila šteta: financijska, operativna, pravna i reputacijska.
4. 04
   Izračunajte razinu rizika

   Spojite vjerojatnost i učinak u jednu ocjenu koja omogućuje usporedbu. Najčešće je to umnožak ili kombinacija na ljestvici, prikazana u matrici rizika.
5. 05
   Predložite tretman

   Za svaki rizik odlučite hoćete li ga smanjiti kontrolama, prenijeti, prihvatiti ili izbjeći, i zabilježite tu odluku s odgovornom osobom i rokom.

Matrica rizika je standardni alat koji kombinira vjerojatnost i učinak u jednu ocjenu. Ne mora biti složena. I ljestvica niskog, srednjeg i visokog rizika dovoljna je da se rizici poredaju po važnosti. Cilj nije savršena preciznost, nego dosljedna usporedba koja pomaže odlučiti gdje uložiti prvo.

Kvalitativni i kvantitativni pristup

Postoje dva načina ocjenjivanja rizika. Kvalitativni pristup koristi opisne ljestvice, na primjer nizak, srednji i visok, i temelji se na prosudbi stručnjaka. Brz je, lako razumljiv i dovoljan za većinu tvrtki koje tek postavljaju procjenu. Slabost mu je subjektivnost: dvije osobe mogu isti rizik ocijeniti različito.

Kvantitativni pristup izražava rizik u brojkama, najčešće u novcu, kroz procjenu očekivanog godišnjeg gubitka. Daje tvrde podatke za usporedbu troška kontrole i koristi, što pomaže u razgovoru s upravom i osigurateljima. Slabost mu je da traži kvalitetne ulazne podatke kojih često nema, pa lažna preciznost može zavarati. U praksi mnoge tvrtke kombiniraju oba: kvalitativno trijažiraju sve rizike, a kvantitativno analiziraju samo najveće.

Registar rizika i vlasnici rizika

Rezultati procjene žive u registru rizika. To je popis svih utvrđenih rizika s njihovim ocjenama, odlukama o postupanju, odgovornim osobama i rokovima. Registar nije birokracija radi birokracije nego mjesto na kojem se vidi stanje i napredak. Bez njega se rizici zaborave, a odluke izgube.

Svaki rizik mora imati vlasnika. Vlasnik rizika je osoba s ovlasti da odluči što će se s rizikom učiniti i odgovornošću da se to provede. To najčešće nije osoba iz IT-a nego voditelj poslovnog područja na koje rizik utječe, jer odluka da se rizik prihvati ili da se u njega uloži poslovna je odluka. Bez jasnog vlasnika rizik ostaje na papiru bez ikoga tko ga stvarno vodi.

Dobar registar nije statična tablica nego radni alat koji se osvježava. Svaki unos prati barem trenutnu razinu rizika, ciljanu razinu nakon tretmana, odabranu kontrolu, vlasnika i rok. Tako registar postaje izvor istine i za upravu i za revizora, jer u svakom trenutku pokazuje koji su rizici otvoreni, tko ih vodi i koliko je napretka postignuto. Registar je i poveznica prema upravljanju rizicima kao kontinuiranom procesu.

Tko sudjeluje u procjeni

Procjena rizika nije zadatak jedne osobe ni samo IT odjela. Dobra procjena spaja tri perspektive. Poslovni vlasnici znaju koji su procesi i podaci kritični i koliko bi koštao njihov prekid. Tehnički stručnjaci poznaju sustave, ranjivosti i prijetnje. Uprava postavlja apetit za rizik, odnosno koliko je rizika tvrtka spremna prihvatiti.

Voditelj procjene, najčešće osoba zadužena za informacijsku sigurnost ili virtualni CISO, vodi proces i osigurava dosljednost metode. Ako tu ulogu nemate, vanjski partner može je preuzeti. Ključno je da rezultat odražava stvarno poslovanje, a ne samo tehnički pogled, jer rizik je uvijek poslovni pojam.

Veza s ISO 27001, NIS2 i DORA-om

Procjena rizika je srž sustava upravljanja informacijskom sigurnošću. ISO/IEC 27001 izričito traži da organizacija definira i provodi proces procjene rizika te da na temelju njega odabere kontrole i izradi Izjavu o primjenjivosti.² Drugim riječima, kontrole ne birate iz kataloga nasumično nego ih opravdavate rezultatima procjene.

Zakon o kibernetičkoj sigurnosti, kojim je NIS2 prenesena u hrvatsko pravo, traži mjere upravljanja rizicima primjerene utvrđenim rizicima, a odgovornost stavlja na rukovodstvo. DORA isto nalaže financijskim institucijama. U svim slučajevima procjena rizika je polazište: bez nje ne možete dokazati da su mjere primjerene jer ne znate čemu su primjerene. To procjenu čini dokumentom koji regulator i revizor traže prvi.

Prednost zajedničkog pristupa je što jedna metodologija procjene može poslužiti za sve okvire odjednom. Ako procjenu vežete uz sustav upravljanja sigurnošću, isti registar rizika i isti plan tretmana zadovoljavaju ISO 27001, hrvatski Zakon o kibernetičkoj sigurnosti i DORA-u tamo gdje se preklapaju. To smanjuje dvostruki posao i sprečava da svaki propis vodi do zasebne, nepovezane procjene koja brzo zastari.

Kontrole bez procjene rizika su pogađanje. Procjena rizika bez plana tretmana je papir.

Česte greške i kako rezultate pretvoriti u plan

Najčešća greška je procjenu napraviti jednom i staviti je na policu. Rizici se mijenjaju s tvrtkom, tehnologijom i prijetnjama, pa procjenu treba osvježavati barem jednom godišnje i nakon svake veće promjene. Druga česta greška je generička procjena bez konteksta, prepisana iz predloška, koja popisuje rizike koje vi nemate i previđa one koje imate. Takva procjena zadovoljava obrazac, ali ne štiti tvrtku.

Procjena je vrijedna samo ako vodi u akciju. Rezultate pretvarate u plan tretmana tako da za svaki rizik iznad prihvatljive razine odredite postupanje, kontrolu, vlasnika i rok. Te odluke i njihovo praćenje čine upravljanje rizicima, kontinuiran proces koji slijedi nakon procjene. Plan tretmana je most između onoga što ste otkrili i onoga što ćete stvarno učiniti.

• Procjena na policu: napravljena jednom i nikad osvježena, pa zastari čim se tvrtka promijeni.
• Generička bez konteksta: prepisana iz predloška, popisuje tuđe rizike umjesto vaših.
• Bez vlasnika rizika: nitko nije zadužen da rizik vodi, pa odluke ostaju neprovedene.
• Procjena bez plana tretmana: otkrije probleme koje nitko ne pretvori u zadatke s rokom.

Kako Raptoric pomaže

Provodimo procjenu rizika prilagođenu vašoj tvrtki, postavljamo registar rizika s jasnim vlasnicima i pretvaramo nalaze u plan tretmana koji zadovoljava ISO 27001, NIS2 i DORA-u, kroz upravljanje, rizik i usklađenost. Po našem iskustvu prva procjena za srednju tvrtku traje nekoliko tjedana, a stvarni opseg ovisi o broju sustava i procesa. Dogovorite uvodni razgovor.