Analýza rizik

Cíle analýzy

Analýza rizik (AR) má za cíl odhalit slabiny v řízení bezpečnosti, primárně v IT, případně v dalších oblastech (fyzická a personální bezpečnost). Až na základě identifikovaných rizik lze bezpečnost v organizaci řídit. Kvantifikace rizik umožní řešit primárně nejvyšší rizika a efektivně nakládat s přiděleným rozpočtem. Analýza rizik je povinná pro řadu subjektů, kterým její zpracování ukládá legislativa (např. Zákon a vyhláška o kybernetické bezpečnosti či opatření ČNB) nebo certifikace ISMS (ČSN ISO/IEC 27001).

Průběh analýzy

Analýza rizik typicky probíhá v následujících krocích:

1. Vytvoření modelu aktiv společnosti,

2. analýza stávajících ochranných opatření a určení zranitelností,

3. identifikace relevantních hrozeb,

4. stanovení míry rizika z pohledu narušení důvěrnosti, integrity a dostupnosti,

5. příprava opatření ke snížení či eliminaci rizika,

6. vytvoření potřebné dokumentace.

Naše AR je služba, která vám dodá výsledky „na klíč“, nicméně bez součinnosti zákazníka by to nebylo možné. Spolupráce probíhá především formou interview a workshopů, nicméně pokud je to efektivní nebo jediná možnost, je možné použít i dotazníkové šetření.

Jako podpůrný analytický nástroj využíváme vlastní aplikaci, kterou dodáváme zákazníkovi spolu s výstupy analýzy. Také díky této aplikaci může analýzu v dalších letech provádět sám.

Analýzu provádíme v souladu s požadavky Kybernetického zákona, resp. příslušné aktuální vyhlášky. Metodiku doplňujeme o vhodné prvky ČSN ISO/IEC 27005, nicméně hlavní přínos vidíme v našich více než 15 letech zkušeností s prováděním těchto analýz.

Výstupy

Mezi naše výstupy analýzy rizik patří seznamy aktiv, popis metodiky analýzy rizik, identifikovaná rizika seřazená dle různých kritérií, návrh opatření pro snížení či eliminaci rizik, podklad pro plán zvládání rizik a naplněnou podpůrnou aplikaci.

Přínosy

Hlavním přínosem AR je, jak je uvedeno výše, schopnost organizace efektivně řídit informační a kybernetickou bezpečnost. Praktických přínosů je však více:

• ochrana produktů a služeb,

• optimalizace nákladů na bezpečnost,

• splnění legislativních povinností (v některých oborech),

• podklady pro manažerská rozhodnutí při řízení rizik i IT,

• prevence před uplatněním existujících hrozeb,

• návrh a implementace odstranění slabin a nedostatků.

Naše služba provedení analýzy rizik má navíc následující konkrétní výhody:

• dodání kompletních výstupů „na klíč“,

• srozumitelnost použité metodiky při zachování legislativních požadavků,

• minimalizace zatížení kapacit zákazníka,

• osobní přístup (interview a workshopy),

• jednoduchá podpůrná aplikace bez dodatečných licenčních poplatků,

• znovu-opakovatelnost analýzy vlastními silami (pokud si to zákazník přeje).