Riadenie kybernetických rizík (cyber risk management) je proces, ktorým organizácia systematicky zisťuje, čo ju môže v kybernetickom priestore ohroziť, ako pravdepodobné to je a aký dopad by to malo na jej činnosť. Na základe toho rozhoduje, ktoré riziká zníži opatreniami, ktoré prenesie (napr. na dodávateľa alebo poistenie) a ktoré vedome akceptuje.

Riziko sa tradične opisuje ako kombinácia hrozby, zraniteľnosti a dopadu. Nezáplatovaný server na internete s dostupným exploitom, na ktorom beží fakturácia, predstavuje iné riziko ako rovnaká chyba na izolovanom testovacom stroji.

Ako proces prebieha

  1. Identifikácia aktív – aké systémy, dáta a služby organizácia má a ktoré sú kritické.
  2. Identifikácia hrozieb a zraniteľností – napríklad phishing, ransomware, slabé heslá, zastaraný softvér, chybné nastavenia oprávnení.
  3. Posúdenie – odhad pravdepodobnosti a dopadu, často v jednoduchej matici.
  4. Ošetrenie – výber opatrení a určenie vlastníka každého rizika.
  5. Monitorovanie a revízia – riziká sa menia s infraštruktúrou, preto sa analýza pravidelne opakuje.

Prečo je dôležité pre vedenie

Rozpočet na bezpečnosť je vždy obmedzený. Riadenie rizík dáva vedeniu podklad, aby investovalo tam, kde je dopad najväčší, a nie podľa toho, ktorý nástroj je práve populárny. Smernica NIS2 navyše stavia riadenie rizík do centra povinností regulovaných subjektov a zdôrazňuje zodpovednosť vedenia. Konkrétne požiadavky slovenskej úpravy si overte v zákone č. 69/2018 Z. z. alebo u odborníka.

Prepojenie s technickou realitou

Najčastejšou slabinou je analýza rizík, ktorá existuje len na papieri. Užitočná je až vtedy, keď vychádza z reálnych dát o prostredí. Príkladom je prístup k vulnerability managementu, ktorý PosAm opisuje v článku o posilňovaní kybernetickej odolnosti: zraniteľnosti sa neprioritizujú podľa surového CVSS skóre, ale podľa reálnej exponovanosti, dostupnosti exploitu a kritickosti služby – teda presne podľa rizika.

Rovnako dôležitý je aktuálny prehľad aktív. Bez evidencie zariadení, konfigurácií a ich vzťahov sa riziká hodnotia naslepo; pomôcť môže modul assets & configuration management v riešení Servio.

Časté otázky

Ako často treba riziká prehodnocovať?

Pravidelne, napríklad raz ročne, a mimoriadne pri významnej zmene – migrácii do cloudu, novom dodávateľovi alebo po incidente.

Môže riziko zostať neriešené?

Áno, ak ho vedenie vedome akceptuje a rozhodnutie je zdokumentované. Problémom sú riziká, o ktorých nikto nevie.

Ak potrebujete pre analýzu rizík spoľahlivé technické podklady, obráťte sa na PosAm a dohodnite si posúdenie infraštruktúry a identít.