Analiza ryzyka pod NIS2 – od czego zacząć

Analiza ryzyka brzmi jak projekt na miesiące. Da się zacząć w jeden dzień. Wielu przedsiębiorców słyszy hasło „systematyczne szacowanie ryzyka” i wyobraża sobie wielotygodniowy projekt z udziałem zewnętrznych konsultantów, grubym raportem i skomplikowaną metodyką. Pierwszy krok wygląda inaczej: to konkretna, ograniczona czasowo praca, którą da się zacząć od razu, bez czekania na idealne warunki.

Minimalny zakres analizy ryzyka wymagany przez NIS2

Ustawa o KSC w art. 8 ust. 1 pkt 1 stawia systematyczne szacowanie ryzyka wystąpienia incydentu jako osobne wymaganie ustawowe, niezależne od wdrożenia konkretnych środków technicznych i organizacyjnych. To ważne rozróżnienie: sama analiza ryzyka jest punktem wyjścia, a środki bezpieczeństwa, które firma wdraża, mają być odpowiednie i proporcjonalne do tego, co ta analiza wykaże, zgodnie z art. 8 ust. 1 pkt 2.

Żeby spełnić minimalny zakres wymagany przez przepisy, organizacja potrzebuje pięciu elementów. Pierwszy to spisana metodyka, czyli sposób, w jaki firma ocenia ryzyko: skala prawdopodobieństwa i skutku, sposób wyliczania poziomu ryzyka na tej podstawie, progi decydujące, które ryzyka wymagają działania, a które można zaakceptować, oraz jasne wskazanie, kto w organizacji podejmuje decyzję o akceptacji ryzyka. Drugi element to rejestr ryzyk, czyli lista zidentyfikowanych zagrożeń wraz z ich oceną. Trzeci to plan postępowania z ryzykiem, pokazujący, co firma robi z ryzykami przekraczającymi przyjęty próg akceptacji. Czwarty to powiązanie zidentyfikowanych ryzyk z konkretnymi środkami wdrażanymi w ramach czternastu obszarów wymienionych w art. 8 ustawy. Piąty to ślad decyzji kierownictwa, pokazujący, że wyniki analizy trafiły do osób zarządzających, a nie zostały wyłącznie w segregatorze działu IT.

Bez spisanej metodyki wyniki kolejnych analiz są nieporównywalne między sobą, co utrudnia śledzenie, czy poziom ryzyka w organizacji rośnie, czy maleje z roku na rok. To jeden z pierwszych elementów, których brakuje w analizach robionych na szybko, tuż przed audytem.

Metodyka – jak nie utonąć w teorii

Ustawa nie narzuca jednej konkretnej metody szacowania ryzyka, co daje firmie swobodę wyboru, ale bywa też źródłem paraliżu decyzyjnego: skoro nie ma jednego wzoru, wiele osób zaczyna szukać najbardziej rozbudowanej, kompletnej metodyki, zamiast takiej, którą da się stosować co roku. Popularnym punktem odniesienia jest norma ISO 27005, opisująca podejście do zarządzania ryzykiem w bezpieczeństwie informacji, ale wybór tej normy nie oznacza konieczności wdrażania jej w pełnej, akademickiej rozbudowie.

Prosta, funkcjonalna metodyka dla mniejszej i średniej firmy może opierać się na skali od jednego do pięciu zarówno dla prawdopodobieństwa, jak i dla skutku, z prostym mnożeniem tych dwóch wartości jako poziomem ryzyka. Taka skala jest wystarczająco precyzyjna, żeby odróżnić ryzyka wymagające natychmiastowej reakcji od tych, które można zaakceptować, a jednocześnie na tyle prosta, że da się ją zastosować w jeden dzień roboczy, bez angażowania zewnętrznego zespołu analityków.

Kluczowe jest branie pod uwagę różnych źródeł ryzyka, nie tylko ataków hakerskich. Awaria sprzętu, błąd pracownika, przerwa w dostawie prądu czy problem u dostawcy chmury to tak samo poważne zagrożenia dla ciągłości działania jak celowy atak, i dobra metodyka powinna obejmować wszystkie te kategorie, a nie skupiać się wyłącznie na scenariuszach filmowych, w rodzaju zaawansowanego włamania do sieci.

Pierwsze trzy ryzyka, które warto ocenić najpierw

Zamiast próbować ocenić od razu wszystkie możliwe zagrożenia w organizacji, co jest właśnie tym, co sprawia wrażenie projektu na miesiące, warto zacząć od trzech obszarów, które najczęściej mają największy wpływ na działanie firmy. Pierwszy to dostęp do najważniejszych systemów: kto ma uprawnienia administracyjne, czy te uprawnienia są regularnie przeglądane, co się stanie, jeśli konto z takim dostępem zostanie przejęte.
Drugi obszar to kopie zapasowe i możliwość odtworzenia danych po poważnej awarii: czy backup jest testowany, nie tylko wykonywany, i ile czasu zajęłoby przywrócenie działania kluczowego systemu, gdyby przestał działać dziś. Trzeci obszar to zależność od pojedynczych dostawców zewnętrznych, szczególnie tych, którzy mają dostęp do danych albo systemów firmy: co się stanie, jeśli taki dostawca nagle przestanie działać albo padnie ofiarą własnego incydentu bezpieczeństwa.

Ocena tych trzech obszarów w jeden dzień roboczy, przy użyciu prostej skali punktowej, daje firmie pierwszy, konkretny rejestr ryzyk, spełniający podstawowe wymogi ustawy, i punkt wyjścia do dalszej, systematycznej pracy. Ustawa wymaga przeglądu tej analizy przynajmniej raz w roku oraz po każdej istotnej zmianie, na przykład wdrożeniu nowego systemu, poważnym incydencie czy zmianie kluczowego dostawcy, więc pierwsza wersja nie musi być doskonała, żeby mieć sens. Musi istnieć i być regularnie aktualizowana.

Warto zilustrować to konkretnym przykładem. Firma produkcyjna, zatrudniająca czterdzieści osób, ocenia ryzyko utraty dostępu do systemu ERP, na którym opiera się cała produkcja. Prawdopodobieństwo takiego zdarzenia ocenia na trzy w skali od jednego do pięciu, bo system miał już drobne awarie w przeszłości, a skutek na cztery, bo przestój produkcji oznacza wymierne straty finansowe każdego dnia. Iloczyn daje dwanaście punktów, czyli poziom wymagający konkretnego działania, na przykład zapewnienia szybszego wsparcia serwisowego albo planu awaryjnego pracy bez systemu przez pierwsze godziny przestoju. Taki wpis w rejestrze ryzyk, zapisany w kilka minut, jest wart więcej niż brak jakiejkolwiek dokumentacji tego tematu.

Analiza ryzyka, która żyje przez cały rok, jest znacznie cenniejsza niż jednorazowa, rozbudowana tabelka przygotowana na potrzeby jednego audytu. Zaczęcie od prostego, jednodniowego ćwiczenia na trzech najważniejszych obszarach jest lepszym punktem startu niż czekanie na czas i budżet na idealny, kompleksowy projekt, który często w ogóle nie startuje.