Hodnocení a posouzení rizik: co to je a jak ho správně provést

Víte, jak správně ohodnotit riziko a proč na tom závisí celý váš plán bezpečnosti? Rozdíl mezi dobře a špatně provedeným posouzením rozhoduje o tom, jestli u kontroly obstojíte. Přečtěte si, co hodnocení a posouzení rizik obnáší, jak ho provést krok za krokem a jakým chybám se vyhnout.

Stručné shrnutí

Hodnocení a posouzení rizik je proces, kterým firma zjišťuje, jak závažná jsou její kybernetická rizika a kterými se musí zabývat přednostně. Posouzení zahrnuje celý cyklus od mapování aktiv po rozhodnutí, jak s riziky naložit, hodnocení je pak konkrétní krok, ve kterém se určuje míra rizika. Výsledkem je podklad pro plán bezpečnostních opatření.

Co je hodnocení a posouzení rizik

Hodnocení a posouzení rizik je jádrem toho, čemu se říká řízení rizik v kybernetické bezpečnosti. Zatímco řízení rizik popisuje celý přístup firmy k hrozbám, posouzení a hodnocení jsou konkrétní analytické činnosti, ze kterých celý systém čerpá.

Rozdíl mezi posouzením a hodnocením rizik

Oba pojmy se často používají zaměnitelně, přesto mezi nimi je rozdíl, který stojí za to znát. Posouzení rizik je širší proces, který zahrnuje identifikaci rizik, jejich analýzu i následné vyhodnocení. Je to celý postup od začátku do konce.

Hodnocení rizik je naopak konkrétní krok uvnitř tohoto procesu. Jde o moment, kdy firma každému riziku přiřadí míru závažnosti na základě toho, jak je pravděpodobné a jaký by mělo dopad. Zjednodušeně řečeno, posouzení je celá cesta, hodnocení je jeden z jejích klíčových kroků.

V praxi se také setkáte s pojmy jako risk analýza nebo management rizik, které v podstatě popisují totéž z různých úhlů. Podstatné není názvosloví, ale to, aby firma věděla, co dělá a proč.

Proč je risk analýza základem

Bez kvalitní risk analýzy firma jen hádá. Nemá jak poznat, které hrozby jsou pro ni skutečně nebezpečné a které okrajové, a rozhoduje se podle pocitu místo podle dat.

Právě proto je posouzení rizik výchozím bodem pro veškerá bezpečnostní opatření. Určuje, kam firma zaměří svůj čas i rozpočet, a zabraňuje tomu, aby investovala do zbytečností nebo naopak přehlédla něco zásadního. Kvalitní analýza je zároveň to, co odlišuje skutečnou bezpečnost od pouhého papírového souladu.

Jak posouzení rizik probíhá krok za krokem

Posouzení rizik má jasnou strukturu. Skládá se z několika navazujících kroků, které je potřeba projít v pořadí, protože každý staví na předchozím.

Mapování aktiv a identifikace hrozeb

Prvním krokem je vědět, co vlastně posuzujete. Firma si proto vytvoří přehled svých aktiv, tedy dat, systémů a služeb, které jsou pro její fungování klíčové. U každého aktiva pak zjišťuje, jaké hrozby a zranitelnosti se k němu vážou.

Hrozbou může být kybernetický útok, selhání techniky, lidská chyba i výpadek dodavatele. Cílem tohoto kroku je sestavit co nejúplnější seznam toho, co by se mohlo pokazit, protože na nic, co firma neidentifikuje, se nemůže připravit.

Hodnocení rizik podle pravděpodobnosti a dopadu

Jakmile má firma seznam rizik, přichází samotné hodnocení. U každého rizika se posuzují dvě veličiny. Pravděpodobnost, tedy jak často nebo snadno může nastat, a dopad, tedy jak velkou škodu by způsobilo.

Kombinací obou vzniká výsledná míra rizika. Nejčastěji se používá jednoduchá matice, ve které se rizika zařazují podle úrovně.

Tato matice pomáhá převést obecné obavy na srozumitelnou a porovnatelnou hodnotu, se kterou lze dál pracovat.

Stanovení priorit a přijatelné míry rizika

Když jsou rizika ohodnocena, firma si stanoví přijatelnou míru rizika. Jde o hranici, pod kterou riziko nevyžaduje další opatření, protože jeho dopad je únosný.

Rizika nad touto hranicí se seřadí podle závažnosti a firma jimi se zabývá přednostně. Tento krok je klíčový, protože žádná firma nemá zdroje na to, aby ošetřila úplně všechno. Priority zajistí, že se energie věnuje tam, kde je skutečně potřeba.

Jak s výsledky naložit

Samotné ohodnocení rizik nemá smysl, pokud z něj nevzejdou konkrétní rozhodnutí. Výsledky posouzení jsou vstupem pro to, co firma udělá dál.

Od hodnocení rizik k rozhodnutí, jak je ošetřit

U každého rizika nad přijatelnou hranicí se firma rozhoduje, jak s ním naloží. Možnosti jsou v zásadě čtyři:

1. Snížit riziko zavedením konkrétního bezpečnostního opatření.
2. Přenést riziko například na pojišťovnu nebo dodavatele.
3. Přijmout riziko vědomě, pokud je jeho dopad únosný.
4. Vyhnout se riziku ukončením rizikové činnosti.

Každé rozhodnutí musí být zdůvodněné a zaznamenané, aby bylo později doložitelné. Nejde jen o formalitu, ale o důkaz, že firma rizika skutečně řídí.

Napojení na plán bezpečnostních opatření

Rozhodnutí snížit riziko se přímo promítá do plánu bezpečnostních opatření. Z každého takového rozhodnutí vzniká konkrétní úkol, tedy jaké opatření firma zavede, kdo za něj odpovídá a do kdy bude hotové.

Tímto způsobem se posouzení rizik propojuje se zaváděním opatření podle vyhlášky. Firmy v nižším režimu tak z analýzy rizik odvozují, která z třinácti bezpečnostních opatření potřebují a v jakém rozsahu. Bez posouzení rizik by tato rozhodnutí neměla oporu.

Nejčastější chyby při hodnocení rizik

I firmy, které posouzení rizik provedou, se často dopouštějí chyb, které jeho hodnotu výrazně snižují. Vyplatí se je znát předem a vyhnout se jim.

Management rizik jako jednorázová aktivita

Nejčastější chybou je brát posouzení rizik jako jednorázový úkol, který se jednou udělá a založí do šuplíku. Rizika se ale v čase mění. Firma zavádí nové systémy, mění dodavatele i procesy a s tím se mění i hrozby.

Posouzení, které se rok neaktualizovalo, proto rychle přestává odpovídat skutečnosti. Management rizik musí být průběžný proces, který se pravidelně opakuje. 

Klíčový dokument, tedy přehled bezpečnostních opatření, je navíc nutné podle vyhlášky aktualizovat alespoň jednou ročně.

Posouzení rizik od stolu bez vazby na realitu

Druhou častou chybou je provést posouzení pouze teoreticky, bez vazby na skutečný provoz firmy. Vznikne tak dokument, který sice vypadá dobře, ale neodpovídá tomu, jak firma reálně funguje.

Takové posouzení při kontrole neobstojí, protože kontrolní orgán porovnává, zda dokumentace odráží realitu. Kvalitní hodnocení rizik proto musí vycházet ze skutečných aktiv, procesů a lidí, nikoli z obecné šablony. 

Právě proto je užitečné mít při ruce nástroj, který se ptá na konkrétní situaci firmy. S tím pomáhá Compligen, online průvodce, který se vás srozumitelně ptá na to, jak vaše firma funguje, a z odpovědí sestaví posouzení rizik i plán nápravy na míru.

Závěr

Hodnocení a posouzení rizik je proces, kterým firma zjišťuje, jak závažná jsou její kybernetická rizika a jak s nimi naložit. Posouzení zahrnuje celý cyklus od mapování aktiv přes hodnocení podle pravděpodobnosti a dopadu až po rozhodnutí o ošetření, zatímco hodnocení je konkrétní krok, ve kterém se určuje míra rizika. Výsledky jsou přímým vstupem pro plán bezpečnostních opatření a musí odpovídat skutečnému stavu firmy. Nejčastější chybou je posouzení provedené jednorázově a od stolu. Správně provést hodnocení rizik znamená vycházet z reality firmy a pravidelně ho aktualizovat, s čímž vám pomůže Compligen.