Zarządzanie ryzykiem IT - czym jest?

Zarządzanie ryzykiem IT — czym jest?

Ryzyko jest nieodłącznym elementem prowadzenia biznesu i może przejawiać się pod różnymi postaciami. Obecnie coraz większą rolę zaczyna odgrywać zarządzanie ryzykiem IT. Powód jest prosty: nowe technologie charakteryzują się ogromnym potencjałem, ale stanowią kolejny rozległy wektor ataku, z którego chętnie korzystają przestępcy. W takim razie, co oznacza i jak przebiega analiza ryzyka IT?

Zarządzanie ryzykiem IT — na czym polega?

W najprostszym ujęciu, zarządzanie ryzykiem IT to proces identyfikacji, oceny i kontrolowania zagrożeń związanych z technologią informacyjną w organizacji (firmie, fundacji, wspólnocie, organie samorządowym i nie tylko).

Inaczej mówiąc, chodzi o to, aby wiedzieć, co grozi organizacji w związku z wykorzystywaniem przez nią poszczególnych zasobów IT (chodzi tutaj zarówno o rozwiązania i usługi IT, jak i różnego rodzaju sprzęt elektroniczny) i odpowiednio na to reagować, tak aby eliminować zagrożenia lub mitygować ich ewentualne skutki. 

Dlaczego zarządzanie ryzykiem w projekcie IT jest tak ważne?

Jak zasygnalizowano już na wstępie, współczesna technologia daje firmom i innym organizacjom duże możliwości, ale też wiąże się z nowymi źródłami ryzyka. Zwiększa też grupę potencjalnych napastników — mogą być nimi nie tylko lokalni przestępcy, ale nawet hakerzy z drugiego końca globu, którzy nie potrafiliby umiejscowić kraju pochodzenia atakowanej firmy na mapie.

Dzięki odpowiedniemu zarządzaniu ryzykiem w IT (zarówno w poszczególnych projektach informatycznych, jak i w skali całej organizacji), można czerpać z technologii to, co najlepsze, a jednocześnie zmniejszyć prawdopodobieństwo padnięcia ofiarą przestępców. Fakt faktem, nie wszystkim zagrożeniom da się w stu procentach zapobiec, ale z reguły można co najmniej mitygować skutki ewentualnych problemów. Pozwoli to potencjalnie uniknąć utraty pieniędzy, renomy czy też strzeżonych tajemnic handlowych.

Należy jednak pamiętać, że zarządzanie ryzykiem IT jest procesem ciągłym. Regularne monitorowanie ryzyka oraz skuteczności podjętych działań jest niezbędne do utrzymania bezpieczeństwa i skuteczności systemów informatycznych. Nie wystarczy raz wykonać analizy (np. po padnięciu ofiarą ataku hakerów), podjąć kilku decyzji i pozostawić sprawę zamkniętą.

Typy zagrożeń, stopień prawdopodobieństwa ich wystąpienia, podatności poszczególnych zasobów wykorzystywanych przez firmę, a także rodzaje tych zasobów mogą znacznie zmieniać się w czasie, co oznacza, że prędzej czy później taka jednorazowa analiza ryzyka IT stanie się po prostu nieaktualna. 

Jak realnie wykonać analizę ryzyka IT?

Proces wykonywania analizy ryzyka IT może przebiegać inaczej dla każdej firmy, choćby w zależności od tego, jakimi zasobami ona dysponuje i z jakiej metodologii zarządzania projektami korzysta. Co dość oczywiste, zarządzanie ryzykiem informatycznym będzie bardzo złożone w ogromnej firmie opierającej się w dużej mierze na pracy biurowej, która wiąże się z użytkowaniem licznego oprogramowania i urządzeń elektronicznych.

Może być za to znacznie mniej skomplikowane (co nie znaczy, że niewarte uwagi) w niewielkiej, głównie stacjonarnej działalności, która wymaga wdrażania nowoczesnych technologii w niewielkim stopniu. W związku z tym przykładowy schemat zarządzania ryzykiem IT, który omówimy poniżej, ma charakter poglądowy i jest pewnym skrótem, który może stanowić punkt wyjścia do opracowywania indywidualnych procesów i rozwiązań.

Inwentaryzacja zasobów IT

Inwentaryzacja to pojęcie, które w pierwszej chwili może kojarzyć się przede wszystkim ze sklepami i ogółem handlem, jednak ma ono niemałe znaczenie także w kontekście zarządzania ryzykiem IT. Trudno jest ustalić, co grozi firmie i na co musi uważać, jeśli nie ustali się najpierw, dla jakich zasobów trzeba przeprowadzić analizę. 

Nie jest tak, że każdy zasób IT wiąże się z tymi samymi zagrożeniami i podatnościami, a jednocześnie każda firma może dysponować zupełnie innym wachlarzem zasobów. Stąd rzetelna inwentaryzacja m.in. pendrive’ów, dysków, komputerów, laptopów, smartfonów, drukarek i innych urządzeń, systemów operacyjnych, wszelkiej maści oprogramowania i materiałów eksploatacyjnych wykorzystywanych w firmie jest niezbędnym elementem zarządzania ryzykiem informatycznym.

Określenie potencjalnych zagrożeń dla każdego zinwentaryzowanego zasobu

Kiedy już wiemy, jakie dokładnie zasoby posiadamy, możemy rozpocząć kolejny etap analizy ryzyka IT, a mianowicie ustalenie, jakie konkretne zagrożenia wiążą się z każdym z nich. Niektóre potencjalne zagrożenia mogą być wspólne dla całych kategorii zasobów, np. różnych typów nośników danych, oprogramowania SaaS, laptopów i komputerów osobistych, inne mogą mieć charakter bardziej zindywidualizowany.

Wśród najczęściej wymienianych zagrożeń dla zasobów IT można wyróżnić:

• ataki cybernetyczne np. na stronę internetową firmy, miejsce przechowywania przez nią danych klientów lub użytkowników — mogą być przeprowadzane w różnych celach, od sabotażu, przez szantaż i wyłudzenie środków, po szpiegostwo gospodarcze;
• awarie sprzętu;
• błędy oprogramowania;
• ludzkie pomyłki;
• technologiczne starzenie się sprzętu i oprogramowania.

Jak widać, niektóre zagrożenia mogą wynikać ze złej woli tzw. bad actors, czyli wewnętrznych i zewnętrznych złych aktorów (hakerów, niezadowolonych byłych i obecnych pracowników), a inne mogą być dziełem przypadku lub naturalnych cykli życia zasobów IT. 

Wskazanie podatności, czyli realnych słabości zasobów

Mając świadomość zagrożeń czyhających na poszczególne zasoby IT w organizacji, jest się gotowym na kolejny etap zarządzania ryzykiem informatycznym. Chodzi o określenie podatności zasobów na różne rodzaje niebezpieczeństwa. Podatności to nic innego, jak słabe punkty, które osoby nieprzychylne firmie mogłyby wykorzystać, czy które mogłyby prowadzić do zwiększenia częstotliwości występowania negatywnych zdarzeń losowych. 

Przykładowo, podatności mogą być wynikiem niezainstalowania niezbędnych aktualizacji bezpieczeństwa, słabych haseł (i niezmieniania haseł wystarczająco często), braków lub błędów w konfiguracji systemów, luk w zabezpieczeniach, bądź niewdrożenia niezbędnych procesów i rozwiązań ochronnych (np. antywirusów, VPN-ów). 

Często spotykany słaby punkt wielu organizacji to także niska świadomość pracowników i innych osób pracujących nad projektami odnośnie do występujących zagrożeń i sposobu, w jaki należy działać, aby ich unikać. Stąd na przykład decydując się na body leasing IT, warto postawić na podmiot, który dysponuje doświadczonymi profesjonalistami, świadomymi najlepszych praktyk w zakresie cyberbezpieczeństwa.

Określenie ryzyka

W tym kroku zarządzania ryzykiem IT analizuje się, jak duży wpływ na organizację może mieć wykorzystanie danej podatności oraz jak prawdopodobne jest, że do takiego wykorzystania dojdzie. Wpływ może być mierzony w różnych aspektach, takich jak straty finansowe, skazy na reputacji czy zakłócenia w prowadzeniu działalności i zapewnieniu klientom dostępu do usług lub danych. Prawdopodobieństwo najczęściej ocenia się na podstawie stanu obecnych zabezpieczeń, dotychczasowej historii incydentów i ogólnych trendów w cyberzagrożeniach.

Każda organizacja powinna mieć zdefiniowane progi akceptacji ryzyka, które określają, jakie poziomy ryzyka są akceptowalne, a jakie wymagają interwencji. Porównując zidentyfikowane ryzyko (zwykle przekształcone na wartości numeryczne) z tymi progami, można usprawnić i przyspieszyć proces podejmowania decyzji.

Podjęcie decyzji o ryzyku

To, że korzystanie z jakiegoś zasobu informatycznego wiąże się z pewnym ryzykiem, nie oznacza, że trzeba z niego zrezygnować. Gdyby tak było, firmy w zasadzie nie mogłyby korzystać z żadnych nowoczesnych technologii, ponieważ każda z nich niesie za sobą pewne mniejsze lub większe zagrożenia. Z drugiej strony, nie każde ryzyko jest warte podejmowania. 

Stąd na zarządzanie ryzykiem IT składa się także rozważenie wszystkich za i przeciw, a następnie podjęcie konkretnych decyzji związanych z danym źródłem ryzyka. Można je po prostu zaakceptować, ale też spróbować na różne sposoby je ograniczyć, przenosić na inne podmioty (np. ubezpieczalnie, podwykonawców) lub całkowicie ich unikać.

Planowanie przez firmę odpowiedzi na zidentyfikowane ryzyko IT może obejmować:

• zwiększenie zabezpieczeń (na poziomie cyfrowym, ale też np. wzmocnienie fizycznych barier utrudniających uzyskanie bezpośredniego dostępu do namacalnych zasobów IT, czyli np. dostanie się do serwerowni);
• tworzenie planów awaryjnych (nierzadko w kilku wariantach, tak aby być przygotowanym na jak najwięcej możliwych scenariuszy, zwłaszcza tych najbardziej prawdopodobnych);
• zakup ubezpieczenia;
• szkolenie (m.in. w zakresie dostrzegania zagrożeń i reagowania na nie, bezpiecznych praktyk w trakcie pracy, obchodzenia się z danymi) i testowanie (np. poprzez wysyłanie fałszywych maili phishingowych i weryfikowanie reakcji) pracowników.

Nie da się ukryć, że zarządzanie ryzykiem informatycznym w organizacji nie jest lekkim kawałkiem chleba. Mamy jednak nadzieję, że tym materiałem naprowadziliśmy Was na dobry trop i wiecie już, dlaczego jest ono tak istotne!