Ransomware koji zaustavi rad ključne aplikacije, kompromitirani korisnički račun ili dobavljač bez odgovarajućih kontrola nisu samo IT incidenti. Za upravu predstavljaju prekid poslovanja, regulatornu izloženost, financijski gubitak i rizik za ugled. Dobar vodič za procjenu cyber rizika zato ne počinje popisom alata, nego jasnim odgovorom na pitanje: što se u organizaciji ne smije zaustaviti, izgubiti ili neovlašteno otkriti?
Za subjekte obuhvaćene Zakonom o kibernetičkoj sigurnosti, Uredbom o kibernetičkoj sigurnosti i NIS2 obvezama procjena rizika nije jednokratna administrativna vježba. Ona mora pokazati da organizacija razumije svoje prijetnje, da je odabrala primjerene mjere i da može dokazati kako ih provodi. Vrijednost procjene nije u tablici s ocjenama, nego u odlukama koje omogućuje.
Zašto procjene cyber rizika često ne daju rezultat
Mnoge organizacije imaju registar rizika, politike i tehničke kontrole, ali između tih elemenata nedostaje operativna veza. Rizik se procijeni jednom godišnje, dokazi ostanu u različitim mapama, a akcijski plan nema jasnog vlasnika ni roka. Kada dođe nadzor, interna revizija ili incident, postaje teško dokazati stvarno stanje.
Drugi je problem preširok pristup. Ako se svi rizici označe kao visoki, uprava ne dobiva prioritet. Ako se procjena svede samo na ranjivosti IT infrastrukture, zanemaruju se ljudi, dobavljači, poslovni procesi, fizička sigurnost, oporavak nakon incidenta i zakonske obveze.
Korisna procjena mora povezati poslovni utjecaj s realnim scenarijima prijetnji. Ne procjenjuje se apstraktno je li organizacija „sigurna”, nego što bi se dogodilo kada bi određeni sustav, podatak ili proces bio ugrožen te jesu li postojeće kontrole dovoljne.
Vodič za procjenu cyber rizika: sedam operativnih koraka
1. Odredite opseg i poslovni kontekst
Počnite s granicama procjene. Obuhvaća li ona cijelu organizaciju, određenu poslovnu jedinicu, kritičnu uslugu, informacijsku imovinu ili odnos s vanjskim pružateljem usluga? Širi opseg daje potpuniju sliku, ali traži više vremena i koordinacije. Za početak je često razumno prioritet dati procesima čiji prekid ima najveći učinak na korisnike, prihode, sigurnost ljudi ili regulatorne obveze.
Uključite vlasnike poslovnih procesa, IT, sigurnost, pravne i usklađenost funkcije te, gdje je potrebno, nabavu i upravljanje dobavljačima. Procjena koju provodi samo IT tim teško može vjerodostojno odrediti poslovni utjecaj.
2. Popišite i klasificirajte ključnu imovinu
Imovina nije samo poslužitelj ili prijenosno računalo. U procjenu ulaze poslovne aplikacije, baze podataka, identiteti korisnika, mrežna infrastruktura, sigurnosne kopije, dokumentacija, cloud usluge, poslovni procesi i stručna znanja ključnih zaposlenika.
Za svaku imovinu odredite vlasnika, lokaciju ili pružatelja usluge, ovisnosti i razinu kritičnosti. Posebno obratite pozornost na podatke: osobne podatke, poslovne tajne, zdravstvene ili financijske podatke te informacije čiji bi gubitak integriteta doveo do pogrešnih poslovnih odluka.
Klasifikacija ne mora biti komplicirana. Dovoljno je dosljedno procijeniti koliko su za imovinu važni povjerljivost, cjelovitost i dostupnost. Taj korak stvara temelj za kasnije prioritete.
3. Definirajte scenarije prijetnji, a ne samo popis ranjivosti
Ranjivost bez konteksta ne govori koliko je poslovanje izloženo. Primjerice, nepokrpani sustav može biti ozbiljan problem ako je dostupan s interneta i podržava kritični proces, ali manji prioritet ako je izoliran, pod dodatnim nadzorom i nema osjetljive podatke.
Scenarij rizika treba biti dovoljno konkretan: napadač krađom vjerodajnica pristupa korisničkim računima, šifrira podatke i prekida rad ključne usluge. Drugi scenarij može uključivati pogrešnu konfiguraciju cloud spremišta, curenje podataka preko dobavljača ili neuspješan oporavak iz sigurnosnih kopija.
Konkretni scenariji olakšavaju razgovor s upravom jer jasno pokazuju uzročno-posljedičnu vezu između prijetnje, slabosti i poslovne štete.
4. Procijenite vjerojatnost i utjecaj prema jedinstvenim kriterijima
Vjerojatnost nije nagađanje. Treba uzeti u obzir izloženost sustava, poznate prijetnje, povijest incidenata, dostupnost napadačkih tehnika, kvalitetu postojećih kontrola i sposobnost njihova otkrivanja. Ako organizacija nema višefaktorsku autentikaciju za udaljeni pristup, nema nadzor neuobičajenih prijava i ne provodi redovite provjere pristupa, vjerojatnost kompromitacije računa nije teorijska.
Utjecaj treba procijeniti kroz više dimenzija: prekid poslovanja, financijski trošak, regulatorne posljedice, ugovorne obveze, štetu za ugled i mogući učinak na sigurnost ljudi. Skala od tri ili pet razina može biti dovoljna ako su kriteriji unaprijed definirani i jednako primijenjeni na sve rizike.
Važno je razlikovati inherentni i rezidualni rizik. Inherentni rizik pokazuje izloženost bez kontrola, a rezidualni rizik stanje nakon postojećih mjera. Ta razlika otkriva rade li ulaganja u sigurnost stvarnu razliku.
5. Provjerite kontrole i prikupite dokaze
Tvrdnja da kontrola postoji nije dokaz da ona djeluje. Za upravljanje pristupima dokaz mogu biti odobrenja, periodične revizije prava, zapisi o deaktivaciji računa i konfiguracija višefaktorske autentikacije. Za sigurnosne kopije relevantni su rezultati testova povrata, definirani ciljevi oporavka i zapisi o izvršavanju kopija – ne samo postojanje procedure.
Ovdje organizacije najčešće gube najviše vremena. Dokazi se prikupljaju ručno iz e-pošte, tablica, sustava za nadzor i lokalnih mapa, a zatim se ponovno traže za svaki nadzor. Centralizirano upravljanje dokazima omogućuje povezivanje kontrole, rizika, vlasnika i dokumentacije u jednu provjerljivu cjelinu.
ITrevizija.hr može ubrzati taj dio procesa AI analizom dokumentacije, upravljanjem dokazima i evidentiranjem neusklađenosti, uz kontrolu pristupa, EU hosting i enkripciju na razini polja za osjetljive podatke.
6. Odredite postupanje s rizikom i vlasnike aktivnosti
Nije svaki rizik potrebno ukloniti. Organizacija može rizik smanjiti dodatnim kontrolama, prenijeti dio rizika ugovornim ili osiguravateljskim mehanizmima, izbjeći aktivnost koja stvara neprihvatljivu izloženost ili ga svjesno prihvatiti. Prihvaćanje rizika mora biti informirana odluka odgovorne razine upravljanja, a ne posljedica neaktivnosti.
Akcijski plan mora biti precizan. Za svaku aktivnost navedite vlasnika, rok, potrebne resurse, očekivani učinak i dokaz završetka. Umjesto općenitog zadatka „poboljšati sigurnost”, odredite primjerice uvođenje višefaktorske autentikacije za administrativne račune, test oporavka kritične aplikacije ili procjenu sigurnosti prioritetnog dobavljača.
Trošak i brzina provedbe važni su, ali nisu jedini kriteriji. Neke mjere su relativno brze i značajno smanjuju rizik, dok druge zahtijevaju promjene arhitekture, ugovora ili poslovnih procesa. Prioritet pripada mjerama koje najviše smanjuju rezidualni rizik za kritične usluge.
7. Uspostavite kontinuirano praćenje i izvješćivanje
Cyber rizik se mijenja sa svakim novim dobavljačem, poslovnom aplikacijom, akvizicijom, promjenom infrastrukture ili prijetnjom u okruženju. Godišnja procjena može biti formalno korisna, ali nije dovoljna ako se rezultati ne ažuriraju nakon značajnih promjena i incidenata.
Uprava treba dobivati sažet, razumljiv pregled: najvažnije rizike, trend rezidualnog rizika, status korektivnih aktivnosti, prepreke u provedbi i odluke koje zahtijevaju njezino odobrenje. Operativni timovi trebaju detaljniji prikaz kontrola, dokaza i rokova. Jedan registar, ali različita razina informacija za različite odgovornosti, smanjuje administrativno opterećenje i poboljšava odgovornost.
Kako znati je li procjena dovoljno zrela
Zrela procjena cyber rizika može odgovoriti na nekoliko neugodnih, ali nužnih pitanja: koje su tri najvažnije izloženosti organizacije, tko je odgovoran za njihovo smanjenje, koji dokaz potvrđuje da kontrola radi i kada je procjena zadnji put ažurirana? Ako odgovori ovise o pojedincu, nepovezanim tablicama ili dugotrajnom ručnom prikupljanju podataka, proces nije dovoljno otporan.
Cilj nije proizvesti savršen dokument, nego uspostaviti ponovljiv sustav odlučivanja. Kada su imovina, prijetnje, kontrole, dokazi i akcije povezani, procjena rizika prestaje biti obveza za nadzor. Postaje alat kojim organizacija unaprijed usmjerava vrijeme, budžet i odgovornost tamo gdje su posljedice najveće.