Dobra dokumentacja bezpieczeństwa nie powstaje z szablonu. Procedury mają odpowiadać na zagrożenia, które realnie występują w danej organizacji – a te wskazuje analiza ryzyka. Jej celem jest ograniczenie lub eliminacja zagrożeń, a nie samo ich spisanie.

Które przepisy wymagają analizy ryzyka?

  • Rozporządzenie KRI (§ 19 ust. 2 pkt 3) – obowiązek przeprowadzania okresowych analiz ryzyka utraty integralności, dostępności lub poufności informacji oraz podejmowania działań minimalizujących to ryzyko. Dotyczy podmiotów publicznych.
  • Ustawa o KSC (art. 8) – podmioty kluczowe i ważne prowadzą systematyczne szacowanie ryzyka i zarządzają nim. Brak szacowania ryzyka jest zagrożony karą.
  • RODO (art. 24 i 32) – administrator dobiera środki ochrony danych osobowych z uwzględnieniem ryzyka.

Czym jest szacowanie ryzyka?

To identyfikacja, ocena i analiza zagrożeń, które mogą negatywnie wpłynąć na realizację zadań organizacji. Ocenę prowadzi się dla trzech atrybutów zasobów: poufności, dostępności i integralności. Szczególną uwagę zwraca się na ryzyka wysokie i krytyczne.

Etapy analizy ryzyka

  1. Rozpoznanie kontekstu organizacji – struktura, procesy, identyfikacja aktywów i ocena ich ważności.
  2. Identyfikacja i analiza ryzyka, wnioski.
  3. Plan postępowania z ryzykiem oraz raport z szacowania, obejmujący wszystkie zidentyfikowane ryzyka.

Jak korzystać z wyników?

Najważniejsza jest część po analizie: plan postępowania z ryzykiem wskazuje działania naprawcze, odpowiedzialne osoby i terminy. To on wyznacza kierunek aktualizacji SZBI.

Jak często?

Analizę trzeba powtarzać – przy istotnych zmianach w organizacji lub systemach i okresowo (np. raz w roku). Rutyna i brak korekty praktyk to najczęstsze przyczyny incydentów. Porównanie wyników w czasie pokazuje, czy poziom zagrożeń faktycznie spada.

Co oferujemy

Usługę szacowania ryzyka wraz z narzędziem do jego dalszego prowadzenia:

  • przeprowadzamy analizę ryzyka w jednostce, a zebrane dane wprowadzamy do narzędzia jako stan początkowy,
  • przekazujemy narzędzie gotowe do pracy – działa w przeglądarce internetowej,
  • narzędzie podpowiada działania obniżające poziom zagrożeń,
  • możliwość porównania wyników w czasie pozwala kontrolować, czy poziom ryzyka spada.

Analizę wykonujemy także jako element wdrożenia SZBI lub audytu RODO. Zapraszamy do kontaktu.