Wzór rejestru ryzyka i metodyki szacowania ryzyka według KSC

Sam wzór rejestru ryzyka nie wystarczy. Ustawa o KSC wymaga także działań rozłożonych w czasie: kierownik podejmuje decyzje w zakresie przeglądu i nadzoru SZBI (art. 8d), incydent poważny zgłasza się w dwóch krokach, najpóźniej 24 godziny i 72 godziny od wykrycia (art. 11 ust. 1 pkt 4 i 4a), a kierownik raz w roku kalendarzowym przechodzi szkolenie (art. 8e ust. 1). Plan Firma w SZBIhub możesz sprawdzić w ramach okresu próbnego.

W skrócie

• Rejestr ryzyka to zestawienie ryzyk dla systemów informacyjnych organizacji z oceną i planem postępowania. Procedura zarządzania ryzykiem opisuje, jak ten rejestr się prowadzi.
• Systematyczne szacowanie ryzyka i zarządzanie nim to obowiązek podmiotu kluczowego i podmiotu ważnego (art. 8 ust. 1 pkt 1 ustawy o KSC).
• Ustawa nie narzuca konkretnej metodyki oceny ryzyka. Wymaga natomiast, aby wyniki szacowania i plan postępowania z ryzykiem były udokumentowane (art. 10 ust. 3 pkt 2 lit. c i d).
• Wzór SZBIhub to procedura zarządzania ryzykiem z metodyką macierzową (prawdopodobieństwo x skutek, skale 1-5) i zestawieniem ryzyk z rejestru prowadzonego w platformie. Zestawienie pojawia się w dokumencie, gdy rejestr ma co najmniej jedno ryzyko.

Co rejestr i procedura muszą zawierać według ustawy

1. Politykę szacowania ryzyka. Podmiot ustanawia polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne (art. 8 ust. 1 pkt 2 lit. a ustawy o KSC).
2. Systematyczność. Samo szacowanie ma być systematyczne (art. 8 ust. 1 pkt 1).
3. Wyniki szacowania i plan postępowania. Wyniki szacowania ryzyka dla obiektów infrastruktury oraz plan postępowania z ryzykiem wchodzą w skład dokumentacji ochrony infrastruktury (art. 10 ust. 3 pkt 2 lit. c i d).
4. Zapisy z prowadzenia procesu. Zapisy potwierdzające wykonywanie czynności stanowią dokumentację operacyjną (art. 10 ust. 4).
5. Proporcjonalność środków. Środki mają być odpowiednie i proporcjonalne do oszacowanego ryzyka, z uwzględnieniem najnowszego stanu wiedzy, kosztów wdrożenia, wielkości podmiotu, prawdopodobieństwa incydentów, narażenia na ryzyka oraz skutków społecznych i gospodarczych (art. 8 ust. 1 pkt 2).

Dobra praktyka, a nie wymóg ustawy, to kryteria i proces oceny według PN-EN ISO/IEC 27001 (pkt 6.1.2 i 8.2) oraz ISO/IEC 27005. Skale i progi akceptowalności we wzorze są metodyką platformy, nie przepisem.

Kiedy i jak szacować ryzyko w małej firmie, opisuje artykuł Zarządzanie ryzykiem. Ta strona pokazuje sam dokument.

Fragment wzoru

Poniżej dosłowny fragment sekcji „Metodyka szacowania ryzyka” z wzoru procedury SZBIhub: przebieg procesu od identyfikacji do postępowania z ryzykiem. Pole w nawiasie kwadratowym w wygenerowanym dokumencie wypełniają dane organizacji.

Przebieg procesu:

1. Identyfikacja ryzyk. [rola odpowiedzialna za szacowanie ryzyka] identyfikuje ryzyka dla systemów informacyjnych wykorzystywanych w procesach wpływających na świadczenie usługi, wychodząc od rejestru aktywów (każde aktywo o wysokiej krytyczności musi mieć rozważone co najmniej jedno ryzyko - propozycja domyślna platformy). Źródłami identyfikacji są także: incydenty i zdarzenia z rejestru incydentów, zmiany u dostawców, zmiany organizacyjne i techniczne.

2. Analiza. Dla każdego ryzyka określa się prawdopodobieństwo (skala 1-5: bardzo niskie, niskie, średnie, wysokie, bardzo wysokie) oraz skutek (skala 1-5: bardzo niski, niski, średni, wysoki, bardzo wysoki). Wynik ryzyka = prawdopodobieństwo x skutek (zakres 1-25).

3. Ocena. Wynik klasyfikuje się według progów:

   Wynik	Klasa ryzyka	Akceptowalność
   1-4	Niskie	akceptowalne
   5-9	Średnie	akceptowalne
   10-15	Wysokie	nieakceptowalne - wymaga planu postępowania
   16-25	Krytyczne	nieakceptowalne - wymaga planu postępowania w pierwszej kolejności

   Progi akceptowalności są metodyką platformy (nie przepisem); udokumentowania planu postępowania z ryzykiem wymaga natomiast ustawa (art. 10 ust. 3 pkt 2 lit. d ustawy o KSC).

4. Postępowanie z ryzykiem. Dla ryzyk nieakceptowalnych określa się plan postępowania: modyfikacja ryzyka (wdrożenie zabezpieczeń), unikanie (rezygnacja z działania), przeniesienie (umowa, ubezpieczenie) albo świadoma akceptacja z uzasadnieniem. Wybór wariantu i akceptacja ryzyka pozostającego po wdrożeniu zabezpieczeń (ryzyka resztkowego) należą do kierownika podmiotu (art. 8d pkt 1 ustawy o KSC; dobra praktyka: PN-EN ISO/IEC 27001 pkt 6.1.3 i 8.3).

Jak dopasować wzór do firmy

1. Zacznij od rejestru aktywów. Wzór wychodzi od aktywów: każde aktywo o wysokiej krytyczności ma mieć rozważone co najmniej jedno ryzyko. Bez listy aktywów rejestr ryzyka będzie przypadkowy.
2. Wskaż właściciela procesu. Wpisz rolę, która identyfikuje ryzyka, na przykład kierownika IT albo osobę odpowiedzialną za bezpieczeństwo informacji. Rola, nie nazwisko, bo ludzie się zmieniają.
3. Zdecyduj o skalach i progach. Skale 1-5 i cztery klasy ryzyka to propozycja domyślna. Zmiana metodyki jest decyzją kierownika podmiotu i wymaga aktualizacji procedury.
4. Dla każdego ryzyka nieakceptowalnego zapisz plan. Modyfikacja, unikanie, przeniesienie albo świadoma akceptacja z uzasadnieniem. Akceptację ryzyka resztkowego podpisuje kierownik.
5. Wygeneruj dokument na danych organizacji. Dokument stanowi wzór wspierający realizację danego obowiązku i wymaga dostosowania do organizacji. W SZBIhub plan Firma zaczyna się od 14 dni bezpłatnie, bez podawania karty. W okresie próbnym PDF ma znak wodny SPECIMEN, a plik DOCX do edycji jest dostępny po opłaceniu planu Firma.