Jak analýza rizik chrání firmu před hackery

Firma nemůže chránit všechno stejně dobře, protože na to nemá peníze ani čas. Analýza rizik pomáhá rozhodnout, co chránit nejdřív, kde hrozí největší škoda a kolik se vyplatí investovat. Není to jednorázový dokument pro auditora, ale pracovní nástroj. Můžete ji připravit sami, v malé firmě stačí tužka a tabulka, a přitom odhalíte slabiny, na které by útočník narazil dřív než vy.

Co analýza rizik vlastně je?

Je to systematické zjištění, co firma vlastní, čemu hrozí nebezpečí a jak velká škoda by nastala. Pracuje se třemi pojmy: aktivum (co chráním), hrozba (co by mu mohlo uškodit) a zranitelnost (kudy se hrozba může dostat dovnitř).

Výsledkem je pořadí rizik od nejvážnějších po nejméně důležitá. Podle něj víte, kam investovat peníze a čas.

S čím začít?

Se seznamem aktiv. Zapište zákaznická data, účetnictví, e-maily, výrobní systémy, webové stránky, notebooky a telefony zaměstnanců. U každého určete, kdo za něj odpovídá a jak závažný by byl jeho výpadek nebo únik.

Seznam často odhalí překvapení: zapomenutý server, sdílený účet nebo data v soukromém cloudu zaměstnance. Už tato inventura zlepší přehled.

Jak rizika ohodnotit?

U každé hrozby odhadněte pravděpodobnost a dopad. Stačí třístupňová škála: nízká, střední, vysoká. Kombinací vznikne úroveň rizika.

Pravděpodobnost / dopad	Nízký dopad	Střední dopad	Vysoký dopad
Nízká	nízké riziko	nízké riziko	střední riziko
Střední	nízké riziko	střední riziko	vysoké riziko
Vysoká	střední riziko	vysoké riziko	vysoké riziko

Příklad: phishingový e-mail má vysokou pravděpodobnost a střední až vysoký dopad, proto patří mezi priority. Útok na izolovaný starý stroj bez dat bude nižší.

Co s riziky dělat?

Existují čtyři přístupy. Riziko lze snížit, třeba zálohami, aktualizacemi nebo školením, přenést, například pojištěním nebo využitím služeb odborníka, přijmout, pokud je malé a náprava dražší než škoda, nebo se mu vyhnout tím, že rizikovou činnost přestanete provozovat.

U každého vysokého rizika sepište konkrétní opatření, odpovědnou osobu a termín. Plán bez jména a data se neprovede.

Jak často analýzu opakovat?

Minimálně jednou za rok a vždy po zásadní změně: nový systém, nové pracoviště, sloučení firem nebo bezpečnostní incident. Hrozby se mění rychle, proto stará analýza ztrácí hodnotu.

Průběžně aktualizujte seznam aktiv. Nový dodavatel nebo cloudová služba je nová součást, která může přinést riziko.

Kdo by ji měl dělat?

V malé firmě majitel nebo pověřená osoba spolu s tím, kdo spravuje IT. Přizvěte i lidi z provozu, protože oni vědí, které data jsou skutečně důležitá. Větší firmy a organizace, na které se vztahují povinnosti podle zákona o kybernetické bezpečnosti, potřebují formální postup a často externího odborníka.

Můj tip: Doporučila bych začít otázkou, co by firmě nejvíc ublížilo, kdyby to zítra přestalo fungovat. Odpověď většinou ukáže jedno až dvě aktiva, kterým věnujte první opatření.

Zdroje

• Národní úřad pro kybernetickou a informační bezpečnost
• Zákon č. 181/2014 Sb., o kybernetické bezpečnosti
• Norma ISO/IEC 27005 o řízení rizik informační bezpečnosti