Zagrożenia
Co może wpłynąć na bezpieczeństwo, działalność albo realizację kluczowych zadań?
Organizacja nie jest w stanie wyeliminować wszystkich zagrożeń. Może jednak wiedzieć, które ryzyka rzeczywiście mają znaczenie, z czego wynikają, jakie mogą powodować konsekwencje i gdzie potrzebne są działania.
RiskCom prowadzi analizy ryzyka wspierające zarządy, administrację i osoby odpowiedzialne za bezpieczeństwo w podejmowaniu decyzji dotyczących ludzi, obiektów, procesów, zabezpieczeń i gotowości organizacji.
Nie zaczynamy od gotowej tabeli ani katalogu zagrożeń.
Najpierw poznajemy organizację, jej sposób działania, zasoby, zależności i istniejące zabezpieczenia. Następnie analizujemy scenariusze zagrożeń, podatności oraz ich możliwy wpływ na działalność.
Efektem ma być materiał do decyzji — nie tylko mapa ryzyk.
Jeżeli analiza pokaże, że określone scenariusze mogą prowadzić do istotnego przerwania działalności, projekt może zostać rozwinięty o analizę wpływu na działalność BIA, strategię ciągłości oraz Plan Ciągłości Działania — BCP.
Co może wpłynąć na bezpieczeństwo, działalność albo realizację kluczowych zadań?
Dlaczego określony scenariusz może wywołać istotne konsekwencje?
Na ludzi, procesy, obiekt, zasoby, relacje i zdolność organizacji do działania.
Które ryzyka wymagają ograniczenia, dalszej analizy, monitorowania albo świadomej decyzji o ich akceptacji?
Samo stwierdzenie, że organizacji może zagrażać awaria, agresja, utrata dostępu do obiektu, niedostępność systemu, błąd człowieka czy problem z dostawcą, ma ograniczoną wartość dla osoby decyzyjnej.
Znaczenie ma dopiero odpowiedź na kolejne pytania.
Analiza ryzyka porządkuje te zależności i pozwala odróżnić problemy rzeczywiście istotne od tych, które nie wymagają natychmiastowego działania.
Bez uporządkowanej oceny łatwo podejmować decyzje na podstawie pojedynczych incydentów, obaw, presji dostawcy technologii albo ogólnego przekonania, że „trzeba zwiększyć bezpieczeństwo”.
To może prowadzić zarówno do niedoszacowania rzeczywistych podatności, jak i do inwestowania w rozwiązania, które nie odpowiadają najważniejszym problemom organizacji.
Analiza ryzyka pomaga stworzyć wspólny punkt odniesienia dla zarządu, osób odpowiedzialnych za bezpieczeństwo, facility management, administracji, ochrony i innych właścicieli ryzyka.
Nie wszystkie zasoby, pomieszczenia, procesy i informacje mają takie samo znaczenie dla organizacji.
Zakres działań powinien wynikać z rzeczywistych scenariuszy, a nie z uniwersalnego katalogu zagrożeń.
Ryzyko może wynikać z technologii, przestrzeni, sposobu działania ludzi, zależności procesowej lub braku jasnej odpowiedzialności.
Ograniczone zasoby powinny być kierowane przede wszystkim tam, gdzie potencjalne konsekwencje są największe.
Więcej technologii nie zawsze oznacza wyższy poziom bezpieczeństwa.
Analiza powinna prowadzić do decyzji, a nie kończyć się wyłącznie oceną.
Zakres każdorazowo dostosowujemy do organizacji, jej działalności oraz decyzji, które projekt ma wspierać.
Analiza ryzyka dla biura, zakładu produkcyjnego, urzędu, centrum logistycznego czy placówki edukacyjnej nie powinna wyglądać identycznie.
Punktem wyjścia jest zrozumienie organizacji.
Analizujemy sposób funkcjonowania, strukturę, lokalizacje, najważniejsze działania, użytkowników, zasoby oraz istniejący model bezpieczeństwa.
Ustalamy również, jakie cele i wartości mogą zostać naruszone przez określone zdarzenia.
Dopiero na tej podstawie można prawidłowo oceniać znaczenie ryzyka.
Ryzyko nie istnieje w oderwaniu od tego, co organizacja chce chronić.
Celem nie jest stworzenie katalogu wszystkiego, co organizacja posiada.
Chodzi o ustalenie, które elementy mają największe znaczenie z punktu widzenia analizowanego ryzyka.
Identyfikujemy zdarzenia mogące wpłynąć na organizację.
Nie ograniczamy się do zagrożeń spektakularnych.
Istotne mogą być również pozornie codzienne problemy: niewłaściwe uprawnienia dostępowe, brak zastępstwa dla kluczowej osoby, niedostępność dostawcy, błędna procedura, awaria infrastruktury albo brak jasnego sposobu reagowania.
Dlatego analizujemy scenariusze, a nie tylko pojedyncze hasła.
Samo istnienie zagrożenia nie przesądza jeszcze o poziomie ryzyka.
Kluczowe jest ustalenie, dlaczego organizacja może być podatna na określony scenariusz.
To właśnie analiza podatności pozwala przejść od stwierdzenia:
Kolejnym etapem jest ocena działań już ograniczających ryzyko.
Nie wystarczy jednak ustalić, że zabezpieczenie istnieje.
Sprawdzamy, czy rzeczywiście ogranicza analizowane ryzyko i czy jego sposób funkcjonowania odpowiada zakładanemu scenariuszowi.
Konsekwencji nie oceniamy wyłącznie przez pryzmat strat finansowych.
To samo zdarzenie może oddziaływać równocześnie na kilka obszarów organizacji.
Bezpieczeństwo pracowników, klientów, interesantów, wykonawców i innych użytkowników obiektu.
Możliwość realizowania kluczowych zadań, świadczenia usług, produkcji lub obsługi klientów.
Dostępność infrastruktury, wyposażenia, technologii i innych elementów potrzebnych do działania.
Koszty zakłócenia, odtworzenia działalności, dodatkowych działań lub utraty określonych możliwości operacyjnych.
Zdolność organizacji do właściwego reagowania, eskalacji informacji i realizowania przyjętych obowiązków.
Wpływ zdarzenia na pracowników, klientów, partnerów i inne podmioty związane z organizacją.
Po zidentyfikowaniu zagrożeń, podatności, zabezpieczeń i możliwych konsekwencji można przejść do oceny znaczenia poszczególnych scenariuszy.
Metoda oceny jest dobierana do charakteru projektu.
W zależności od potrzeb może uwzględniać m.in.:
Nie wszystkie ryzyka powinny otrzymywać identyczną wagę.
Celem jest stworzenie hierarchii, która pozwala osobom decyzyjnym skoncentrować uwagę i zasoby tam, gdzie jest to najbardziej uzasadnione.
Dobrze przygotowana analiza nie kończy się na kolorowej macierzy.
Jej wartość polega na przełożeniu niepewności na konkretne decyzje zarządcze.
Organizacja widzi, które problemy wymagają pilnej reakcji, a które mogą być rozwiązane etapowo.
Pozwala lepiej ocenić, czy potrzebna jest zmiana zabezpieczeń, technologii, organizacji pracy albo sposobu wykorzystania przestrzeni.
Pomaga określić, kto powinien odpowiadać za dane ryzyko, monitorować jego zmianę i realizować przyjęte działania.
Nie każdy możliwy scenariusz wymaga rozbudowanej procedury. Analiza pomaga wskazać te sytuacje, które rzeczywiście powinny zostać uporządkowane.
Pracowników można przygotowywać przede wszystkim do scenariuszy istotnych dla rzeczywistego profilu ryzyka.
Jeżeli ryzyko może prowadzić do utraty kluczowych procesów, zasobów lub lokalizacji, wyniki analizy mogą stanowić podstawę do dalszego projektu BIA i BCP.
Zarząd, bezpieczeństwo, administracja, facility management, HR, IT, ochrona czy operacje mogą pracować na wspólnym obrazie ryzyka i ustalonych priorytetach.
Nie każde ryzyko należy całkowicie eliminować.
Po jego ocenie potrzebna jest decyzja odpowiadająca znaczeniu ryzyka i możliwościom organizacji.
Zmiana zabezpieczeń, procedur, technologii, organizacji albo przygotowania ludzi w celu zmniejszenia prawdopodobieństwa zdarzenia lub jego konsekwencji.
Zmiana sposobu działania, jeżeli organizacja uzna określony poziom ryzyka za nieakceptowalny.
W określonych sytuacjach część konsekwencji ryzyka może być ograniczana poprzez rozwiązania umowne, ubezpieczenie albo odpowiednio ukształtowany model współpracy z podmiotem zewnętrznym.
Świadoma decyzja, że dalsze ograniczanie ryzyka nie jest proporcjonalne do jego znaczenia albo istniejące zabezpieczenia są wystarczające.
Profil ryzyka nie jest stały. Zmiana organizacji, obiektu, technologii, otoczenia lub sposobu działania może wymagać ponownej analizy.
Oba zakresy mogą się uzupełniać, ale odpowiadają na inne pytania.
Audyt koncentruje się na ocenie istniejących rozwiązań, procedur, zabezpieczeń, odpowiedzialności i praktycznego funkcjonowania organizacji.
Analiza koncentruje się na scenariuszach, podatnościach, możliwych konsekwencjach i priorytetach postępowania z ryzykiem.
Analiza może korzystać z wyników audytu, ale nie musi być poprzedzona pełnym audytem bezpieczeństwa.
Nie każde ryzyko wymaga przygotowania Planu Ciągłości Działania.
Jeżeli jednak analizowany scenariusz może powodować istotną niedostępność procesu, lokalizacji, systemu, infrastruktury, dostawcy albo kluczowych osób, pojawia się kolejne pytanie:
jak długo organizacja może funkcjonować bez tego zasobu i jak będzie działać, jeżeli zakłócenie rzeczywiście nastąpi?
Wtedy analiza ryzyka może zostać rozwinięta o elementy ciągłości działania.
Co może się wydarzyć i jakie znaczenie ma ten scenariusz?
Jak niedostępność danego procesu lub zasobu będzie wpływać na organizację wraz z upływem czasu?
Jak będziemy utrzymywać albo odtwarzać działania mające największe znaczenie?
Jak przyjętą strategię przełożymy na konkretne role, komunikację, zasoby i sposób działania podczas zakłócenia?
Znaczenie zakłócenia często zmienia się wraz z czasem.
Proces może zostać wstrzymany na krótki okres bez poważnych konsekwencji, ale jego niedostępność przez kilka godzin lub dni może prowadzić do zupełnie innego poziomu wpływu.
BIA pozwala analizować m.in.:
W zależności od zakresu projektu analiza może również określać maksymalny akceptowalny okres zakłócenia oraz minimalny poziom działania wymagany w okresie przejściowym.
Docelowy czas, w którym określona działalność, proces, zasób lub system powinny zostać wznowione albo odtworzone po zakłóceniu.
Punkt w czasie, do którego dane powinny zostać odtworzone po zakłóceniu, określający akceptowalny zakres ich utraty.
Nie każdy parametr ma zastosowanie do każdego procesu. Zakres ustalamy adekwatnie do projektu.
Plan powstaje po określeniu priorytetowych działań, zależności oraz przyjęciu właściwej strategii ciągłości.
W zależności od zakresu może określać:
BCP i Disaster Recovery Plan dotyczą powiązanych, ale odrębnych zagadnień.
BCP dotyczy zdolności organizacji do utrzymania lub odtworzenia priorytetowej działalności.
DRP dotyczy przede wszystkim odtworzenia środowiska technologicznego i systemów IT.
DRP może więc być elementem szerszej strategii ciągłości działania, ale nie zastępuje planu dla całej organizacji.
Jeżeli projekt wymaga szczegółowego projektowania odtworzenia infrastruktury IT, zakres techniczny powinien zostać uzgodniony z właściwymi specjalistami i osobami odpowiedzialnymi za środowisko technologiczne organizacji.
Ustalamy, jakie decyzje analiza ma wspierać, jaki obszar organizacji obejmuje i jaki rezultat będzie użyteczny dla osób decyzyjnych.
Analizujemy sposób działania, procesy, lokalizacje, zasoby, użytkowników, zależności oraz istniejący model bezpieczeństwa.
Budujemy scenariusze odpowiadające rzeczywistym warunkom funkcjonowania organizacji.
Sprawdzamy, dlaczego określony scenariusz może powodować konsekwencje i jakie środki już ograniczają ryzyko.
Oceniamy konsekwencje dla ludzi, działalności, zasobów oraz innych obszarów istotnych dla organizacji.
Porządkujemy scenariusze zgodnie z ustalonymi kryteriami i ich znaczeniem dla organizacji.
Wskazujemy możliwe kierunki postępowania: organizacyjne, proceduralne, techniczne, szkoleniowe lub związane z ciągłością działania.
Jeżeli charakter projektu tego wymaga, analiza może być aktualizowana po wdrożeniu zmian lub po istotnej zmianie profilu zagrożeń.
Zakres rezultatu ustalamy przed rozpoczęciem projektu.
W zależności od potrzeb może obejmować:
Uporządkowany obraz scenariuszy istotnych dla analizowanego zakresu.
Wyjaśnienie, dlaczego określone zagrożenia mogą prowadzić do istotnych konsekwencji.
Informację, jakie rozwiązania już ograniczają ryzyko i gdzie pozostają luki.
Wskazanie obszarów wymagających największej uwagi osób decyzyjnych.
Propozycje dalszych działań proporcjonalnych do znaczenia analizowanych ryzyk.
Określenie, które ryzyka wymagają zmian organizacyjnych, procedur, zabezpieczeń, przygotowania ludzi albo rozwinięcia w kierunku ciągłości działania.
Analiza może zakończyć się raportem i rekomendacjami.
Jeżeli jednak wyniki wskazują potrzebę dalszych zmian, mogą stać się podstawą kolejnych projektów.
W zależności od celu projektu analiza może uwzględniać wymagania wewnętrzne klienta, przyjęte zasady zarządzania ryzykiem oraz właściwe dla danego zakresu dobre praktyki i standardy.
Zakres odniesienia ustalamy przed rozpoczęciem projektu.
Usługa RiskCom nie jest audytem certyfikacyjnym ani automatycznym potwierdzeniem zgodności organizacji z określoną normą.
Analiza ryzyka jest szczególnie przydatna tam, gdzie bezpieczeństwo ludzi, dostępność obiektu, procesów lub zasobów ma bezpośrednie znaczenie dla funkcjonowania organizacji.
Zakres może być dostosowany m.in. do:
Nie zakładamy jednak, że organizacje z tej samej branży posiadają identyczny profil zagrożeń.
Zobacz rozwiązania RiskCom dla branż →Pomaga zidentyfikować istotne zagrożenia i podatności, ocenić ich możliwe konsekwencje, sprawdzić istniejące zabezpieczenia oraz ustalić priorytety dalszych działań.
Jej główną wartością jest dostarczenie materiału wspierającego decyzje.
Audyt ocenia przede wszystkim istniejący stan systemu bezpieczeństwa.
Analiza ryzyka skupia się na możliwych scenariuszach przyszłych zdarzeń, podatnościach, konsekwencjach oraz decyzjach dotyczących postępowania z ryzykiem.
Oba zakresy mogą się uzupełniać.
Nie.
W części projektów wyniki audytu mogą stanowić materiał wejściowy do analizy, ale nie jest to obowiązkowa kolejność.
Zakres dobieramy do problemu, który organizacja chce rozwiązać.
Nie.
Zakres zależy od celu projektu i może obejmować różne rodzaje zagrożeń, zależności i zasobów istotnych dla funkcjonowania organizacji.
Nie.
Organizacja może ograniczać określone ryzyko, zmieniać sposób ekspozycji, częściowo ograniczać jego skutki poprzez rozwiązania zewnętrzne, zaakceptować je albo poddać dalszemu monitorowaniu.
Decyzja powinna odpowiadać znaczeniu ryzyka i możliwościom organizacji.
Forma rezultatu zależy od zakresu i przyjętej metodyki.
Może obejmować rejestr lub mapę ryzyk, scenariusze, podatności, ocenę zabezpieczeń, hierarchię ryzyk oraz rekomendacje.
Nie.
BCP jest właściwym rozwinięciem wtedy, gdy analizowane ryzyka mogą powodować istotne zakłócenie kluczowych działań, procesów lub dostępności zasobów.
Business Impact Analysis pomaga określić, jak niedostępność danego działania lub zasobu wpływa na organizację wraz z czasem oraz które obszary powinny zostać odtworzone w pierwszej kolejności.
BCP dotyczy ciągłości działania organizacji i jej priorytetowych procesów.
DRP koncentruje się przede wszystkim na odtworzeniu środowiska technologicznego i systemów IT.
Tak.
Jeżeli wyniki analizy wskazują taką potrzebę, zakres może zostać rozwinięty o BIA, strategię ciągłości, BCP oraz przygotowanie ludzi i ćwiczenia scenariuszowe.
Ponowna analiza może być zasadna po istotnych zmianach organizacyjnych, technologicznych, lokalowych lub procesowych, po wystąpieniu ważnego zdarzenia albo w ramach przyjętego cyklu przeglądów.
Nie każdej organizacji potrzebny jest rozbudowany system zarządzania ryzykiem ani pełny Plan Ciągłości Działania.
Potrzebna jest natomiast możliwość podejmowania decyzji na podstawie rzeczywistych zagrożeń, podatności, istniejących zabezpieczeń i możliwych konsekwencji.
Zespół RiskCom pomaga przejść od identyfikacji zagrożeń do oceny ryzyka, priorytetów i rekomendacji — a tam, gdzie jest to uzasadnione, również do analizy wpływu i przygotowania ciągłości działania.
Przygotowujemy organizacje do działania w sytuacjach zagrożenia.
Omów analizę ryzyka z zespołem RiskCom