Procjena rizika kaže gdje je tvrtka izložena i koliko. Upravljanje rizicima je ono što s tim saznanjem radi. Razlika je presudna. Procjena je snimka stanja u jednom trenutku, dok je upravljanje kontinuiran proces donošenja odluka, provođenja kontrola i provjere je li rizik stvarno smanjen. Tvrtke koje stanu na procjeni imaju uredan dokument, ali nemaju veću sigurnost. Rizici se mijenjaju kako se mijenjaju tehnologija, dobavljači i prijetnje, pa dokument star godinu dana opisuje stanje koje više ne postoji.
Za regulirane tvrtke u Hrvatskoj, u financijama, zdravstvu, kritičnoj infrastrukturi i SaaS-u, upravljanje rizicima nije samo dobra praksa nego pravna obveza. ISO/IEC 27001, NIS2 odnosno Zakon o kibernetičkoj sigurnosti i DORA traže dokazan, ponovljiv proces upravljanja rizicima, a ne jednokratan izvještaj u ladici. Ovaj tekst objašnjava kako voditi rizike kao stalan proces: koje opcije postupanja postoje, kako odrediti apetit i toleranciju, čemu služi registar rizika i kako uprava ostaje u petlji.
Ovo je dio našeg pregleda sigurnosnog programa. Upravljanje rizicima vodimo kroz upravljanje, rizik i usklađenost.
Jednokratna procjena nije upravljanje rizicima
Procjena rizika odgovara na pitanje gdje smo izloženi i koliko. Upravljanje rizicima odgovara na pitanje što ćemo s tim i kako znamo da je djelovalo. Bez upravljanja, procjena ostaje popis problema koje nitko ne rješava. Upravljanje pretvara taj popis u odluke, zadatke s rokovima i mjerljiv napredak kroz vrijeme.
Glavna razlika je u vremenu. Jednokratna procjena daje sliku stanja na određeni dan. Kontinuirano upravljanje prati kako se ta slika mijenja. Nova aplikacija, novi dobavljač, nova ranjivost ili promjena propisa svi mijenjaju profil rizika tvrtke. Proces koji se pokrene jednom godišnje i zatim zaboravi ne hvata te promjene, pa tvrtka donosi odluke na temelju zastarjelih informacija.
Zato ozbiljan program rizike tretira kao stavke koje žive: svaka ima trenutnu ocjenu, odabran način postupanja, vlasnika i datum sljedeće revizije. Procjena je ulaz u taj proces, a ne njegov kraj.
Četiri načina postupanja s rizikom
Za svaki utvrđen rizik tvrtka bira jedan od četiri pristupa.1 Izbor ovisi o ocjeni rizika, trošku kontrola i apetitu tvrtke za rizik. Nije cilj svaki rizik svesti na nulu, jer je to ni tehnički ni financijski moguće, nego svjesno odlučiti što s njim.
| Pristup | Što znači | Primjer |
|---|---|---|
| Smanjiti | Uvesti kontrole koje snižavaju vjerojatnost ili učinak rizika. | Dvofaktorska autentifikacija protiv preuzimanja računa ili segmentacija mreže protiv širenja napada. |
| Prenijeti | Dio rizika ili njegovih posljedica preuzima druga strana. | Cyber osiguranje ili ugovorni prijenos odgovornosti na pružatelja usluge u oblaku. |
| Izbjeći | Prestati s aktivnošću ili tehnologijom koja stvara rizik. | Ukidanje nepotrebne usluge izložene na internetu ili odustajanje od rizičnog projekta. |
| Prihvatiti | Svjesno prihvatiti rizik jer je nizak ili je trošak smanjenja veći od koristi. | Mali rizik s malim učinkom, dokumentiran i odobren od vlasnika rizika. |
Najčešća greška je tihi peti pristup: zanemariti rizik bez odluke. To nije prihvaćanje, jer prihvaćanje znači da je netko s ovlastima vidio rizik, razumio ga i svjesno odlučio živjeti s njim. Zanemarivanje znači da rizik postoji, nitko o njemu ne odlučuje i nitko ne odgovara kad se ostvari.
Apetit i tolerancija na rizik
Prije nego odlučite o pojedinom riziku, morate znati koliko ga uopće smijete imati. Apetit za rizik je razina rizika koju je tvrtka spremna prihvatiti u potrazi za svojim ciljevima. To je strateška odluka uprave, ne tehnička. Banka i startup nemaju isti apetit, kao ni bolnica i marketinška agencija.
Tolerancija na rizik je uže od apetita. Ona određuje koliko odstupanje od ciljane razine tvrtka još podnosi prije nego mora reagirati. Ako je apetit za neraspoloživost ključne usluge nula minuta mjesečno, tolerancija može biti petnaest minuta prije nego se aktivira eskalacija. Bez jasno postavljenog apetita i tolerancije, odluke o postupanju s rizikom postaju proizvoljne i ovise o tome tko je tog dana u sobi.
Registar rizika i vlasnici rizika
Središnji alat upravljanja je registar rizika: popis svih utvrđenih rizika s njihovim ocjenama, odabranim postupanjem, kontrolama, vlasnikom i rokovima. Registar nije birokracija radi birokracije, nego mjesto na kojem se u svakom trenutku vidi stanje i napredak. Bez njega se rizici zaborave, odluke izgube, a tvrtka pri reviziji ili incidentu ne može pokazati što je znala i kada.
Svaki rizik mora imati vlasnika rizika. To je imenovana osoba s ovlastima i proračunom da o riziku odlučuje, a ne onaj tko je rizik prijavio. Vlasnik je obično voditelj područja na koje rizik utječe, primjerice voditelj IT-a za rizik ispada sustava ili voditelj nabave za rizik dobavljača. Rizik bez vlasnika je rizik o kojem nitko ne odlučuje.
Dobar registar za svaku stavku bilježi opis rizika, procijenjenu vjerojatnost i učinak, trenutnu ocjenu, odabrano postupanje, povezane kontrole, vlasnika, status i datum sljedeće revizije. Tablica u proračunskoj tablici dovoljna je za manje tvrtke, dok veće organizacije koriste GRC alate koji povezuju rizike s kontrolama i dokazima.
Ciklus praćenja i revizije
Upravljanje rizicima nije linearan zadatak nego ciklus koji se ponavlja. Svaki krug provjerava jesu li odluke iz prošlog kruga djelovale i je li se profil rizika promijenio.
- 01ProcijeniteUtvrdite i ocijenite rizike kroz procjenu rizika, uzimajući u obzir nove sustave, dobavljače i prijetnje.
- 02OdlučiteZa svaki rizik odaberite smanjiti, prenijeti, izbjeći ili prihvatiti, u skladu s apetitom tvrtke.
- 03ProvediteUvedite dogovorene kontrole, dodijelite vlasnika i rok, i zabilježite sve u registar rizika.
- 04PratiteProvjeravajte djeluju li kontrole i je li rizik stvarno smanjen, kroz mjerljive pokazatelje, a ne dojam.
- 05RevidirajteNa zakazane datume i nakon svake veće promjene osvježite ocjene i izvijestite upravu o stanju.
Učestalost revizije ovisi o riziku. Visoke rizike prati se češće, primjerice tromjesečno, dok se cijeli registar formalno revidira barem jednom godišnje i uvijek nakon značajnih promjena ili incidenata. Svaki sigurnosni incident je ulaz u sljedeći krug, jer pokazuje gdje je procjena podcijenila rizik.
Povezivanje s poslovnim ciljevima
Upravljanje rizicima ima smisla samo ako je vezano uz ono što tvrtka pokušava postići. Rizik nije apstraktna tehnička stavka, nego prijetnja konkretnom poslovnom cilju: zadržati povjerenje klijenata, ispuniti ugovorne obveze, lansirati proizvod na vrijeme ili zadovoljiti propise. Kad se rizik veže uz cilj, odluka o ulaganju postaje jasna jer se zna što se štiti.
Ta veza određuje i prioritete. Rizik koji ugrožava temeljni izvor prihoda dobiva više pažnje od rizika u rubnom sustavu, čak i ako oba imaju sličnu tehničku ocjenu. Zato apetit i tolerancija dolaze od uprave, koja jedina vidi cijelu sliku poslovnih ciljeva i može reći koji su rizici prihvatljivi u potrazi za njima.
Uloga uprave
Upravljanje rizicima nije samo tehnički posao. Odluka da se rizik prihvati ili da se u njega uloži poslovna je odluka, pa konačna odgovornost leži na upravi. Uprava postavlja apetit za rizik, odobrava postupanje s najvećim rizicima i osigurava da proces dobije ljude i proračun. Bez te uključenosti, sigurnosni tim donosi odluke koje nema ovlasti donositi.
NIS2 odnosno Zakon o kibernetičkoj sigurnosti to izričito propisuje.2 Odgovornost za upravljanje kibernetičkim rizicima prebacuje na rukovodstvo, koje mora odobriti mjere, nadzirati njihovu provedbu i može osobno odgovarati za propuste. Rukovodstvo više ne može tvrditi da je riječ samo o IT pitanju. DORA postavlja jednako jasnu odgovornost upravljačkog tijela za okvir upravljanja rizicima informacijsko-komunikacijske tehnologije u financijskom sektoru.
Rizik bez vlasnika je rizik o kojem nitko ne odlučuje, a propis o kojem ne odlučuje uprava propis je koji nitko ne provodi.
Veza s ISO 27001, NIS2 i DORA
Upravljanje rizicima je zajednička srž triju glavnih okvira koji se primjenjuju na hrvatske tvrtke. ISO/IEC 27001:2022 traži dokumentiran proces procjene i postupanja s rizicima kao temelj sustava upravljanja sigurnošću informacija. Odabir kontrola iz Annexa A izravno proizlazi iz tog procesa i bilježi se u Izjavi o primjenjivosti.
NIS2 traži upravljanje rizicima kao jednu od obveznih mjera za ključne i važne subjekte, uz nadzor rukovodstva.2 DORA za financijski sektor ide korak dalje i propisuje cjelovit okvir upravljanja rizicima informacijsko-komunikacijske tehnologije, uključujući rizik trećih strana. Sva tri okvira dijele istu logiku: utvrditi rizike, odlučiti o postupanju, provesti kontrole i kontinuirano pratiti. Tvrtka koja dobro postavi jedan proces upravljanja rizicima pokriva temelj sva tri.
Poseban dio tog procesa je rizik dobavljača i trećih strana, koji sva tri okvira izrijekom traže. Vaša izloženost ne staje na rubu vaše mreže, nego se proteže na svakog pružatelja kojem ste povjerili podatke ili sustave.
Kako Raptoric pomaže
Postavljamo upravljanje rizicima koje je živ proces, a ne godišnja formalnost. Pomažemo definirati apetit i toleranciju, izgraditi registar rizika s jasnim vlasnicima, postaviti ciklus praćenja i revizije te pripremiti izvještaje koje uprava razumije i može odobriti. Sve vodimo kroz upravljanje, rizik i usklađenost, usklađeno s ISO 27001, NIS2 i DORA-om. Dogovorite uvodni razgovor.