Stan prawny: 21 października 2026 r.
Analiza ryzyka cyberbezpieczeństwa ma pomóc zdecydować, co należy zabezpieczyć najpierw i dlaczego. Dobra ocena łączy konkretną usługę, możliwy scenariusz zdarzenia, skutki dla organizacji oraz sprawdzone zabezpieczenia. Kończy się decyzją, właścicielem działania i terminem weryfikacji.
Dla zarządu najważniejsza jest odpowiedź na pytanie: jakie zakłócenie możemy ograniczyć za pomocą proponowanych działań i co pozostanie do zaakceptowania lub dalszej poprawy? Poniżej przechodzimy przez przykład, który można wykorzystać podczas spotkania z IT i właścicielami procesów.
Od czego zacząć analizę ryzyka
Wybierz usługę rozpoznawalną dla użytkowników. Poczta służy m.in. komunikacji z klientami i dostawcami. System finansowy umożliwia realizację rozliczeń. Repozytorium dokumentów zapewnia dostęp do informacji potrzebnych do wykonania pracy.
Następnie wskaż właściciela usługi, dane, użytkowników i zależności. Zależności mogą obejmować tożsamość w chmurze, łącze internetowe, dostawcę aplikacji, urządzenia pracowników oraz konta administracyjne.
Wymóg zarządzania ryzykiem należy powiązać z przepisami właściwymi dla podmiotu. W KSC zagadnienie to obejmuje m.in. art. 8, a w KRI — §19. Przyjęta metoda powinna umożliwiać porównywanie ocen i dokumentowanie decyzji. Ustawa o KSC, KRI — wymagania bezpieczeństwa informacji.
Opisz zdarzenie i skutek, zamiast samego hasła
Hasło „atak hakerski” jest zbyt ogólne do zaplanowania działania. Bardziej użyteczny scenariusz brzmi: osoba nieuprawniona przejmuje konto pocztowe pracownika i wysyła kontrahentowi zmieniony numer rachunku w trwającej korespondencji.
W takim scenariuszu trzeba ocenić ujawnienie informacji, możliwość wprowadzenia nieprawdziwych danych i wpływ na działalność. Osobny scenariusz może dotyczyć niedostępności poczty albo trwałej utraty wiadomości. Mają one inne skutki i wymagają innych sposobów ograniczania ryzyka.
Nie łącz wszystkich problemów w jeden rekord „poczta — ryzyko wysokie”. Utrudnia to wybór zabezpieczeń i późniejsze sprawdzenie, czy plan przyniósł oczekiwany efekt.
Ustal skalę przed przyznaniem ocen
Na potrzeby prostego warsztatu można użyć trzech poziomów prawdopodobieństwa oraz trzech poziomów skutku. To przykładowa metoda robocza; przepisy nie narzucają każdej organizacji identycznej skali 1–3.
Zdefiniuj poziomy językiem własnej działalności. Wysoki skutek może oznaczać istotną stratę finansową, ujawnienie chronionych danych, długą przerwę w ważnej usłudze lub niewykonanie obowiązku. Progi kwotowe i dopuszczalny czas przerwy powinno ustalić kierownictwo z właścicielami procesów.
Prawdopodobieństwo oceniaj na podstawie ekspozycji, sposobu pracy, znanych zdarzeń, podatności i skuteczności zabezpieczeń. Zapisz uzasadnienie. Nie przedstawiaj oceny jakościowej jako statystycznego prawdopodobieństwa, jeżeli nie masz danych pozwalających je wyliczyć.
Jeżeli stosujesz macierz lub iloczyn punktów, ustal także zasady decyzji. Krytyczny skutek może wymagać działania niezależnie od łącznego wyniku. Ważne, aby metoda była zrozumiała i stosowana konsekwentnie.
Sprawdź istniejące zabezpieczenia
Deklaracja dostawcy pomaga ustalić zakres usługi, ale ocena konkretnego środowiska wymaga dowodów. Dla ochrony logowania może to być aktualny zakres polityki, lista wyjątków oraz bezpieczny test uzgodniony z administratorem. Dla kopii — wynik odtworzenia, a dla alarmowania — ślad dostarczenia i obsługi testowego zdarzenia.
Oznacz oddzielnie zabezpieczenia potwierdzone, częściowo wdrożone i niesprawdzone. Brak potwierdzenia powinien skutkować zadaniem weryfikacji oraz ostrożną oceną. Dzięki temu analiza pokaże również, gdzie brakuje wiedzy.
Przy ocenie usługi zewnętrznej zapisz, które działania wykonuje dostawca, a które klient. Przykładowo ochrona infrastruktury chmurowej nie przesądza o poprawności uprawnień nadanych użytkownikom organizacji.
Wypełniony przykład karty ryzyka
Poniższe dane są modelowe. Ilustrują metodę i nie opisują audytu klienta DataOne.
| Pole | Przykładowa treść |
|---|---|
| Identyfikator | R-POCZTA-01 |
| Usługa | Korespondencja z dostawcami i uzgadnianie płatności |
| Właściciel | Kierownik procesu finansowego |
| Scenariusz | Przejęcie konta i podmiana danych do płatności w korespondencji |
| Możliwe skutki | Błędny przelew, ujawnienie korespondencji, przestój przy wyjaśnianiu |
| Zależności | Konto chmurowe, urządzenie pracownika, proces zatwierdzania płatności |
| Potwierdzone środki | Ochrona urządzenia; zatwierdzanie przelewu przez drugą osobę |
| Braki wiedzy | Niezweryfikowane wyjątki od ochrony logowania i brak testu alarmu |
| Ocena aktualna | Prawdopodobieństwo średnie, skutek wysoki; priorytet wysoki według przyjętej macierzy |
| Działania | Zweryfikować ochronę logowania; wdrożyć kontrolę zmian rachunku poza e-mailem; przetestować alarmowanie |
| Wykonawcy | IT dla konfiguracji; właściciel procesu dla zatwierdzania zmian |
| Termin modelowy | Dziesięć dni roboczych od zatwierdzenia planu |
| Kryterium odbioru | Potwierdzony zakres ochrony, przeprowadzona próba procedury i odebrany alarm testowy |
| Ryzyko po zmianie | Do ponownej oceny po wykonaniu i sprawdzeniu działań |
| Decyzja | Kierownictwo zatwierdza plan oraz zasoby; ponowny przegląd po odbiorze |
Zwróć uwagę na ryzyko po zmianie. W planie można zapisać oczekiwaną poprawę, ale końcową ocenę należy oprzeć na wyniku wdrożenia i testu. Sam termin w harmonogramie nie zmniejsza ekspozycji organizacji.
Jak wybrać sposób postępowania z ryzykiem
Możliwe decyzje obejmują ograniczenie ryzyka przez zabezpieczenia, zmianę lub zaniechanie ryzykownego sposobu działania, uzgodnienie podziału określonych skutków z inną stroną oraz akceptację pozostałego ryzyka przez uprawnioną osobę.
Umowa z dostawcą albo ubezpieczenie mają swój zakres i wyłączenia. Nie usuwają wszystkich skutków zdarzenia ani obowiązków kierownictwa. Dlatego w decyzji zapisz, co faktycznie przejmuje druga strona i co nadal musi zapewnić organizacja.
Akceptacja powinna wskazywać uzasadnienie, zakres, osobę uprawnioną i moment ponownej oceny. Nie można za jej pomocą uznać niespełnionego obowiązku prawnego za wykonany.
Jak utrzymywać rejestr ryzyka
W najprostszym wariancie wystarczy kontrolowany arkusz, jeżeli pozwala zarządzać dostępem, wersjami i zadaniami. W większej organizacji przyda się system łączący ryzyka z usługami, wymaganiami, dowodami i zgłoszeniami.
Każda karta powinna mieć co najmniej: identyfikator, usługę, scenariusz, skutek, ocenę z uzasadnieniem, istniejące środki, plan, właściciela, termin, dowód oraz decyzję o ryzyku pozostałym. Warto dodać datę następnego przeglądu i zdarzenia uruchamiające wcześniejszą aktualizację.
Takim zdarzeniem może być incydent, zmiana dostawcy, nowa integracja, istotna podatność albo nieudany test odtworzenia. Informacja z SIEM może zasilić ocenę, ale interpretacja skutku biznesowego wymaga udziału właściciela usługi.
Co przygotować do pierwszego warsztatu
Zbierz listę najważniejszych usług, dostawców, znanych problemów i ostatnich testów. Zaproś osobę decyzyjną, właścicieli wybranych procesów oraz IT. Na początek lepiej dokładnie przeanalizować kilka istotnych scenariuszy, ustalić działania i sprawdzić ich wykonanie, niż pozostawić długi rejestr bez właścicieli.
DataOne może pomóc przełożyć ustalenia warsztatu i zalecenia audytu na zadania techniczne oraz sposób ich sprawdzania. Prześlij zakres środowiska i wskaż usługę, której przerwy najbardziej się obawiasz. Ustalimy, jakie informacje są potrzebne do oceny oraz jak zaplanować kolejne prace. Sprawdź zakres wsparcia cyberbezpieczeństwa DataOne.
Pobierz wzór CSV do uzupełnienia
Wzór roboczy — wymaga dopasowania do organizacji; nie stanowi kompletnej dokumentacji zgodności.