Image
7.7.2016 0 Comments

Prečo sa bojíme analýzy rizík?

Bez analýzy rizík nemožno realizovať efektívne bezpečnostné opatrenia v organizácii. Ak takáto analýza nie súčasťou budovania bezpečnosti, znamená to, že bezpečnosť organizáciu nezaujíma.

Miera bezpečnosti nesporne závisí od úrovne bezpečnostného povedomia, ktorá umožňuje primerane reagovať na existujúce bezpečnostné riziká. Ako ich správne identifikovať? Analýza rizík, ako súčasť manažmentu rizík, je nástroj, ktorý umožňuje relatívne ľahko a efektívne identifikovať existujúce riziká a nastaviť celkovú bezpečnosť tak, aby plnila základné kritérium - elimináciu bezpečnostných rizík alebo ich zníženie na akceptovateľnú úroveň.

Zatiaľ čo v bežnom živote používame analýzu rizík podvedome na riešenie každodenných situácií (prechádzanie cez cestu, vysokohorská turistika, lietanie), analýzu rizík potrebnú na budovanie bezpečnosti systémov, organizácií alebo iných celkov vnímame ako niečo ťažké a zložité. Často sa preto spoliehame na sofistikované analýzy externých dodávateľov. Princípy sú pritom relatívne jednoduché a často je efektívnejšie a lacnejšie využiť vlastné sily. Základom je vždy „brainstorming“, no využiť možno aj rôzne materiály vytvorené na špecifický účel alebo oficiálne údaje. Kedy sa dá na ne spoľahnúť a kedy treba vynaložiť vlastné úsilie? Prax naznačuje, že je nevyhnutné kombinovať viaceré výstupy vrátane oficiálnych, vykonaných napr. štátnymi inštitúciami, vedecko-výskumnými ústavmi a inými subjektmi, pri ktorých sa očakáva určitá miera nezávislosti. Môžu to byť aj rôzne hodnotenia a štatistiky, napr. štatistika kriminality, prognózy vývoja rôznych foriem páchania trestnej činnosti vrátane predpovedí technického a technologického vývoja. Zdroje informácií sú prakticky neobmedzené. Zásadná je schopnosť rozoznať, kedy je cieľom materiálu poukázanie na spektrum rizík na účel predaja určitého produktu a kedy ide o naozaj seriózny analytický výstup. Záleží len na nás, čo si vyberieme ako relevantný zdroj. Chce to len trošku času, nasadenia a zdravého úsudku.

V skutočnosti však často narážame na situáciu, keď nie každý subjekt je ochotný a schopný takúto analýzu vykonať. Výhodné je, že pokiaľ sa analýza rizík správne uchopí, dokáže ju vykonať takmer každý na primeranej úrovni alebo minimálne dospieť k zisteniu, že od určitej úrovne je potrebná odborná pomoc. No ak už raz padne rozhodnutie pristupovať zodpovedne k vlastnej bezpečnosti, dosiahne sa minimálne to, že analýza bezpečnostných rizík sa stane integrálnou súčasťou riadiacich procesov. Bezpečnosť sa takto stáva súčasťou organizácie a to, že sa analýza rizík vôbec vykonáva, sa prejaví aj na prístupe k budovaniu bezpečnostného povedomia organizácie.

Ako však začať a čo je vlastne analýza rizík? Zjednodušene povedané, ide o proces, ktorého prvý krok je identifikácia toho, čo chceme chrániť ( tzv. aktíva, resp. hodnoty, napr. informácie). Druhý krok je hľadanie možných zdrojov ohrození (rizík, teda toho, čoho sa bojíme). Ak sme schopní posúdiť možné riziká pre aktíva organizácie, môžeme realizovať opatrenia na ich elimináciu, resp. zníženie na akceptovateľnú úroveň. Tretí krok je zhodnotenie aktuálneho stavu ochrany a slabín už realizovaných ochranných opatrení. Posledný krok je určenie výslednej veľkosti rizík ohrozujúcich dané aktíva. V širšom kontexte predstavuje analýza rizík súčasť manažmentu rizík, ako procesu napomáhajúceho nielen rozhodovanie o dôležitosti rizík, ale aj určenie toho, ako sa bude s jednotlivými rizikami v rámci bezpečnostného systému subjektu narábať, aby bola zaistená zodpovedajúca ochrana aktív, napr. podľa ich ceny a výšky ich ohrozenia vrátane neustáleho vyhodnocovania prijatých opatrení.

V súvislosti s analýzou rizík treba takisto uviesť, že sme často svedkami opatrení, ktoré sa dajú označiť ako „štandardný bezpečnostný balíček“, pričom ide o len snahu v maximálnej miere znížiť náklady na bezpečnosť a uľahčiť rozhodovanie o realizácii bezpečnostných opatrení. Takéto riešenia však potláčajú skutočnú bezpečnosť a prakticky znamenajú, že tá je závislá od iného, externého subjektu. Samo osebe takéto riešenie môže predstavovať hrozbu, pretože bezpečnosť sa berie len ako predmet obchodného vzťahu (zaplatím a som bezpečný). Typický príklad môže byť napr. rozhodnutie o zakúpení antivírusového softvéru. Nesporne pôjde o zvýšenie bezpečnosti, ale bez porozumenia širším súvislostiam môže, naopak, spôsobiť vznik nových zdrojov rizík - zamestnanci v domnienke, že „o bezpečnosť je postarané“, posielajú e-mailom aj citlivé informácie spoločnosti.

Analýza rizík je základný predpoklad na realizáciu akýchkoľvek bezpečnostných opatrení, a to bez ohľadu na to, či ide o sofistikovanú analýzu vykonanú modernými analytickými nástrojmi alebo „len“ využitím vlastných zdrojov. Správne vykonaná analýza rizík umožňuje efektívnu realizáciu bezpečnostných opatrení zodpovedajúcich možným hrozbám a chráneným hodnotám organizácie.

JUDr. Miroslav Brvnišťan, PhD.

Zobrazit Galériu

Nechajte si posielať prehľad najdôležitejších správ emailom

Mohlo by Vás zaujímať

Bezpečnosť

Čísla kreditiek už nelákajú. Kyberzločinci sa zameriavajú na lekárske záznamy, čísla sociálneho zabezpečenia a útoky DDoS.

07.12.2016 00:12

V dnešnej modernej a čoraz viac prepojenej dobe sú dáta používateľov, korporácií či štátnych inštitúcií pod neustále rastúcim tlakom. Tieto dáta predstavujú poklad v rukách kyberkriminálnikov a  trend ...

Bezpečnosť 2

Ovplyvnilo Rusko americké prezidentské voľby? Podľa expertov boli niektoré hlasovacie prístroje infikované

06.12.2016 00:16

Podľa kyberbezpečnostnej firmy FireEye ruská vláda počas kampane pred americkými prezidentskými voľbami nielen vykonávala hackerské útoky, ale využívala aj sociálne siete na ovplyvňovanie názorov. Šír ...

Bezpečnosť 1

Ministri dopravy únie schválili prvé celoeurópske bezpečnostné pravidlá pre drony

05.12.2016 00:10

Ministri dopravy krajín Európskej únie schválili úpravu pravidiel v oblasti civilného letectva. Bezpečnosť v doprave bola pritom hlavnou témou zasadnutia, ktorého sa za predsedajúcu krajinu zúčastnil ...

Žiadne komentáre

Vyhľadávanie

Kyocera - prve-zariadenia-formatu-a4-s-vykonom-a3

Najnovšie videá