Analiza ryzyka wg ISO 27005. Krok po kroku, bez excelowego horroru.
No to bierzemy na warsztat fundament całego bezpieczeństwa. Analiza ryzyka brzmi groźnie, a sprowadza się do trzech pytań: co może się stać, jak bardzo by bolało i co z tym robimy.
No i klasyk: firma kupuje kontrole, bo “wypada mieć”, a nikt nie policzył ryzyka, które te kontrole mają adresować. Odwrotna kolejność. ISO 27005 mówi prosto: najpierw zrozum ryzyko, potem dobierz odpowiedź. Inaczej wydajesz budżet na kłódki przy oknach, zostawiając otwarte drzwi.
TL;DR
- ISO 27005 to metodyka zarządzania ryzykiem w bezpieczeństwie informacji (wspiera ISO 27001)
- Schemat: identyfikacja, analiza, ocena, postępowanie, monitorowanie
- Ryzyko = prawdopodobieństwo razy wpływ, na aktywach informacyjnych
- Cztery odpowiedzi: redukuj, przenieś, unikaj, akceptuj. Po kontrolach liczysz ryzyko rezydualne
Krok 1: identyfikacja
Zaczynasz od aktywów informacyjnych: dane, systemy, procesy. Do każdego dopisujesz zagrożenia (co może się stać) i podatności (czym to można wykorzystać). Wyciek bazy klientów przez błąd dostawcy, ransomware na serwerze plików, niedostępność kluczowej osoby. Konkretnie, nie ogólnikami.
Krok 2: analiza
Dla każdego ryzyka szacujesz prawdopodobieństwo i wpływ. Skala 5x5 wystarcza większości firm. Iloczyn daje poziom ryzyka inherentnego, czyli takiego jakby nie było żadnych zabezpieczeń. To Twój punkt startu.
Krok 3: ocena
Porównujesz poziom ryzyka z apetytem na ryzyko, czyli z progiem, który zarząd akceptuje. Wszystko powyżej progu trafia do postępowania. To moment, w którym ryzyko z abstrakcji staje się listą zadań.
Krok 4: postępowanie
Cztery opcje. Redukuj (wdróż kontrolę). Przenieś (ubezpieczenie, klauzula w umowie). Unikaj (zrezygnuj z ryzykownej aktywności). Akceptuj (świadomie, z uzasadnieniem). Po wdrożeniu kontroli liczysz ryzyko rezydualne, czyli to, które zostało.
Krok 5: monitorowanie
Ryzyko nie jest zdjęciem, jest filmem. Nowy dostawca, nowy system, nowa podatność zmieniają obraz. KRI z progami pilnują, kiedy ryzyko rośnie, i alarmują zanim zrobi się problem.
Gdzie Excel przegrywa
Macierz ryzyk w arkuszu wygląda dobrze na slajdzie i umiera w praktyce. Wdrażasz kontrolę, ale ryzyko rezydualne nadal pokazuje stary wynik, bo nikt nie przeliczył. Pół roku później nie wiadomo, które ryzyka są aktualne.
W Risk Engine ryzyko liczy się samo: aktywa, zagrożenia, podatności w katalogach, ocena 5x5, a ryzyko rezydualne przelicza się po wdrożeniu kontroli z ISMS. Kontrole mapujesz na ISO 27001, a progi KRI wpadają jako sygnały. Zamiast arkusza, który kłamie po miesiącu, masz obraz, który jest aktualny. Pozamiatane.
Pisał ktoś z zespołu RealSec. Jak chcesz pogadać o tym konkretnie ; napisz do nas.