Zarządzanie ryzykiem IT — czym jest?

Inwentaryzacja to pojęcie, które w pierwszej chwili może kojarzyć się przede wszystkim ze sklepami i ogółem handlem, jednak ma ono niemałe znaczenie także w kontekście zarządzania ryzykiem IT. Trudno jest ustalić, co grozi firmie i na co musi uważać, jeśli nie ustali się najpierw, dla jakich zasobów trzeba przeprowadzić analizę.

Nie jest tak, że każdy zasób IT wiąże się z tymi samymi zagrożeniami i podatnościami, a jednocześnie każda firma może dysponować zupełnie innym wachlarzem zasobów. Stąd rzetelna inwentaryzacja m.in. pendrive’ów, dysków, komputerów, laptopów, smartfonów, drukarek i innych urządzeń, systemów operacyjnych, wszelkiej maści oprogramowania i materiałów eksploatacyjnych wykorzystywanych w firmie jest niezbędnym elementem zarządzania ryzykiem informatycznym.

Kiedy już wiemy, jakie dokładnie zasoby posiadamy, możemy rozpocząć kolejny etap analizy ryzyka IT, a mianowicie ustalenie, jakie konkretne zagrożenia wiążą się z każdym z nich. Niektóre potencjalne zagrożenia mogą być wspólne dla całych kategorii zasobów, np. różnych typów nośników danych, oprogramowania SaaS, laptopów i komputerów osobistych, inne mogą mieć charakter bardziej zindywidualizowany.

Wśród najczęściej wymienianych zagrożeń dla zasobów IT można wyróżnić:

• ataki cybernetyczne np. na stronę internetową firmy, miejsce przechowywania przez nią danych klientów lub użytkowników — mogą być przeprowadzane w różnych celach, od sabotażu, przez szantaż i wyłudzenie środków, po szpiegostwo gospodarcze;
• awarie sprzętu;
• błędy oprogramowania;
• ludzkie pomyłki;
• technologiczne starzenie się sprzętu i oprogramowania.

Jak widać, niektóre zagrożenia mogą wynikać ze złej woli tzw. bad actors, czyli wewnętrznych i zewnętrznych złych aktorów (hakerów, niezadowolonych byłych i obecnych pracowników), a inne mogą być dziełem przypadku lub naturalnych cykli życia zasobów IT.

Mając świadomość zagrożeń czyhających na poszczególne zasoby IT w organizacji, jest się gotowym na kolejny etap zarządzania ryzykiem informatycznym. Chodzi o określenie podatności zasobów na różne rodzaje niebezpieczeństwa. Podatności to nic innego, jak słabe punkty, które osoby nieprzychylne firmie mogłyby wykorzystać, czy które mogłyby prowadzić do zwiększenia częstotliwości występowania negatywnych zdarzeń losowych.

Przykładowo, podatności mogą być wynikiem niezainstalowania niezbędnych aktualizacji bezpieczeństwa, słabych haseł (i niezmieniania haseł wystarczająco często), braków lub błędów w konfiguracji systemów, luk w zabezpieczeniach, bądź niewdrożenia niezbędnych procesów i rozwiązań ochronnych (np. antywirusów, VPN-ów).

Często spotykany słaby punkt wielu organizacji to także niska świadomość pracowników i innych osób pracujących nad projektami odnośnie do występujących zagrożeń i sposobu, w jaki należy działać, aby ich unikać. Stąd na przykład decydując się na body leasing IT, warto postawić na podmiot, który dysponuje doświadczonymi profesjonalistami, świadomymi najlepszych praktyk w zakresie cyberbezpieczeństwa.

W tym kroku zarządzania ryzykiem IT analizuje się, jak duży wpływ na organizację może mieć wykorzystanie danej podatności oraz jak prawdopodobne jest, że do takiego wykorzystania dojdzie. Wpływ może być mierzony w różnych aspektach, takich jak straty finansowe, skazy na reputacji czy zakłócenia w prowadzeniu działalności i zapewnieniu klientom dostępu do usług lub danych. Prawdopodobieństwo najczęściej ocenia się na podstawie stanu obecnych zabezpieczeń, dotychczasowej historii incydentów i ogólnych trendów w cyberzagrożeniach.

Każda organizacja powinna mieć zdefiniowane progi akceptacji ryzyka, które określają, jakie poziomy ryzyka są akceptowalne, a jakie wymagają interwencji. Porównując zidentyfikowane ryzyko (zwykle przekształcone na wartości numeryczne) z tymi progami, można usprawnić i przyspieszyć proces podejmowania decyzji.

To, że korzystanie z jakiegoś zasobu informatycznego wiąże się z pewnym ryzykiem, nie oznacza, że trzeba z niego zrezygnować. Gdyby tak było, firmy w zasadzie nie mogłyby korzystać z żadnych nowoczesnych technologii, ponieważ każda z nich niesie za sobą pewne mniejsze lub większe zagrożenia. Z drugiej strony, nie każde ryzyko jest warte podejmowania.

Stąd na zarządzanie ryzykiem IT składa się także rozważenie wszystkich za i przeciw, a następnie podjęcie konkretnych decyzji związanych z danym źródłem ryzyka. Można je po prostu zaakceptować, ale też spróbować na różne sposoby je ograniczyć, przenosić na inne podmioty (np. ubezpieczalnie, podwykonawców) lub całkowicie ich unikać.

Planowanie przez firmę odpowiedzi na zidentyfikowane ryzyko IT może obejmować:

• zwiększenie zabezpieczeń (na poziomie cyfrowym, ale też np. wzmocnienie fizycznych barier utrudniających uzyskanie bezpośredniego dostępu do namacalnych zasobów IT, czyli np. dostanie się do serwerowni);
• tworzenie planów awaryjnych (nierzadko w kilku wariantach, tak aby być przygotowanym na jak najwięcej możliwych scenariuszy, zwłaszcza tych najbardziej prawdopodobnych);
• zakup ubezpieczenia;
• szkolenie (m.in. w zakresie dostrzegania zagrożeń i reagowania na nie, bezpiecznych praktyk w trakcie pracy, obchodzenia się z danymi) i testowanie (np. poprzez wysyłanie fałszywych maili phishingowych i weryfikowanie reakcji) pracowników.

Nie da się ukryć, że zarządzanie ryzykiem informatycznym w organizacji nie jest lekkim kawałkiem chleba. Mamy jednak nadzieję, że tym materiałem naprowadziliśmy Was na dobry trop i wiecie już, dlaczego jest ono tak istotne!