Kako izgleda prva procena rizika za malu firmu — korak po korak

 Peti tekst na blogu InfoSec bez stresa, i obećanje koje smo dali u prethodna dva teksta: konkretan, praktičan prikaz procene rizika — tačke od koje realno kreće ceo ISO 27001 proces, bez obzira da li ga radite sami, uz konsultanta ili uz softver.

Kad čuju frazu „procena rizika", mnogi vlasnici firmi zamisle debeo akademski dokument pun tabela koje niko posle ne otvara. U praksi, za malu firmu, to je mnogo konkretniji i praktičniji proces nego što zvuči — pod uslovom da ga ne komplikujete više nego što treba. Ovaj tekst prolazi kroz osam koraka, uz jedan potpuno razrađen primer na kraju.

Zašto je procena rizika temelj svega ostalog

Ovo nije samo još jedan dokument u fascikli. Iz procene rizika direktno proizilazi koje kontrole iz standarda su vam zaista relevantne (Izjava o primenljivosti, o kojoj smo pisali u prošlom tekstu), gde treba da uložite novac u tehnička rešenja, i šta će auditor tražiti da vidi na samom auditu. Ako je procena rizika površna ili generička, ceo sistem izgrađen na njoj je nestabilan — bez obzira koliko lepo izgledaju politike koje ste napisali na osnovu nje.

Korak 1: Definišite metodologiju pre nego što počnete

Ovo je korak koji male firme najčešće preskoče — pravo krenu da nabrajaju rizike, bez dogovorene skale za merenje. Rezultat je nekonzistentna procena gde je jedan rizik ocenjen intuicijom, a drugi nasumično, što auditor prilično brzo primeti.

Pre nego što počnete da nabrajate bilo šta, dogovorite:

• Skalu za verovatnoću i uticaj. Za malu firmu je najjednostavnije koristiti skalu od 1 do 5 za oboje (verovatnoća: koliko je realno da se nešto desi; uticaj: koliko bi to bilo loše po firmu ako se desi).
• Formulu za nivo rizika. Najčešće: verovatnoća × uticaj = nivo rizika (raspon 1–25).
• Kriterijume prihvatljivosti rizika. Unapred odlučite šta smatrate prihvatljivim, a šta ne — na primer: 1–6 nizak rizik (prihvatljiv bez dodatne akcije), 7–14 srednji (razmotriti tretman), 15–25 visok (obavezan tretman pre sertifikacije). Brojevi nisu propisani standardom — vi ih definišete prema svojoj firmi, ali jednom kad ih definišete, primenjujete ih dosledno na sve rizike.

Ovo se dokumentuje na jednoj strani i postaje osnova na koju se možete pozvati kroz ceo proces — i kasnije, iz godine u godinu.

Korak 2: Napravite popis informacionih sredstava

Informaciono sredstvo (asset) je sve što nosi vrednost i treba zaštitu: podaci (baza klijenata, ugovori, izvorni kod, finansijski podaci, lični podaci zaposlenih), sistemi (email, cloud aplikacije, serveri), oprema (laptopovi, telefoni), ljudi sa privilegovanim pristupom, i treće strane (dobavljači, spoljni saradnici) koji imaju pristup vašim podacima.

Ne mora popis prve godine biti savršen. Počnite od najvažnijih deset do petnaest stavki — onih čiji bi gubitak, curenje ili nedostupnost najviše naštetili firmi — i proširujte listu u narednim ciklusima.

Praktičan savet: za svako sredstvo odredite „vlasnika" — osobu odgovornu za njega. To vam kasnije direktno olakšava dodelu odgovornosti za tretman rizika.

Korak 3: Identifikujte rizike — pretnje i ranjivosti

Za svako sredstvo, postavite pitanje: šta bi moglo da pođe naopako, i zašto je to uopšte moguće? Prva polovina odgovora je pretnja (šta se može desiti), druga je ranjivost (zašto je to moguće u vašem konkretnom slučaju).

Primeri:

• Laptop može biti ukraden (pretnja) jer disk nije enkriptovan (ranjivost).
• Neko neovlašćen može pristupiti bazi klijenata (pretnja) jer svi u timu koriste isti administratorski nalog (ranjivost).
• Email nalog može biti kompromitovan phishing napadom (pretnja) jer nije uključena dvofaktorska autentifikacija (ranjivost).

Ne morate se strogo držati formata „sredstvo–pretnja–ranjivost" — noviji pristup standardu dozvoljava i direktno opisivanje rizičnog scenarija u jednoj rečenici, ako vam je tako lakše za praćenje.

Praktičan savet: uradite ovo kao kratku radionicu sa nekoliko ključnih ljudi, ne samo iz IT-ja — HR, nabavka i operativni tim često prepoznaju rizike koje IT sektor sam ne bi ni pomislio da navede.

Korak 4: Procenite verovatnoću i uticaj

Za svaki identifikovani rizik, primenite skalu iz koraka 1. Koliko je realno da se ovo desi u narednih godinu dana? Koliko bi bilo loše po firmu ako se desi — finansijski, reputaciono, pravno?

Za malu firmu ovo ne mora biti naučno precizno. Dovoljna je razumna, obrazložena procena ljudi koji poznaju firmu — uz kratko obrazloženje zašto je data baš ta ocena. Upravo to obrazloženje je ono što auditoru pokazuje da je procena stvarno promišljena, a ne izvučena iz vazduha.

Korak 5: Uporedite sa kriterijumima prihvatljivosti

Sada uzmete nivo rizika iz koraka 4 i uporedite ga sa pragovima koje ste definisali u koraku 1. Rizici iznad praga zahtevaju tretman. Rizici ispod praga mogu, uz svesnu odluku, ostati kakvi jesu — ali ta odluka mora biti eksplicitna, ne prećutna.

Korak 6: Odlučite kako da tretirate rizik

Za svaki rizik koji prelazi prihvatljiv nivo, postoje četiri opcije:

• Smanjiti — uvesti kontrolu koja smanjuje verovatnoću ili uticaj (npr. enkripcija diska, dvofaktorska autentifikacija).
• Izbeći — potpuno prestati sa aktivnošću koja izaziva rizik (npr. prestati čuvati podatke koji vam zapravo nisu ni potrebni).
• Preneti — prebaciti deo rizika na treću stranu, kroz osiguranje ili ugovorne obaveze dobavljača.
• Prihvatiti — svesno prihvatiti rizik kakav jeste, uz odobrenje menadžmenta, obično kada je trošak tretmana veći od same štete koju bi rizik izazvao.

Kontrole koje ovde birate direktno se mapiraju na kontrole iz Aneksa A standarda — i postaju osnova za Izjavu o primenljivosti.

Korak 7: Napravite plan tretmana rizika

Za svaki rizik koji zahteva tretman, dokumentujte: koja kontrola se uvodi, ko je odgovoran, do kog roka, i koji je trenutni status. Ovo ne treba da bude statičan dokument napisan jednom i zaboravljen — treba da bude živa lista koju redovno proveravate, jer je upravo to nešto što auditor traži da vidi: ne samo plan, nego dokaz da se plan zaista sprovodi.

Korak 8: Dobijte odobrenje menadžmenta

Rezultati procene, prihvaćeni preostali rizik (ono što posle tretmana i dalje ostaje) i sam plan tretmana moraju biti eksplicitno pregledani i odobreni od strane menadžmenta firme. Ovo nije formalnost radi formalnosti — auditor proverava upravo to: da li je menadžment stvarno upoznat sa rizicima firme i da li stoji iza odluka, a ne da je procena rizika ostala zaključana u IT sektoru.

Konkretan primer, od početka do kraja

Da bi ovih osam koraka bilo manje apstraktno, evo kako bi izgledalo za jedno konkretno sredstvo, u zamišljenoj firmi od petnaest zaposlenih koja razvija softver za klijente i koristi Google Workspace i cloud infrastrukturu.

Sredstvo: baza podataka klijenata, sadrži lične podatke i ugovorne informacije. Vlasnik: rukovodilac razvoja.

Rizik: neovlašćen pristup bazi, jer je pristup podeljen kroz zajednički administratorski nalog koji koristi ceo razvojni tim, bez individualnih naloga ili evidencije ko je kada pristupio.

Procena: verovatnoća 4 (relativno lako se dešava u praksi — svako ko zna lozinku ima pun pristup, uključujući i bivše saradnike kojima lozinka nikad nije promenjena), uticaj 5 (curenje ličnih podataka klijenata povlači i pravne i reputacione posledice). Nivo rizika: 4 × 5 = 20 — visok, prema pragovima iz koraka 1.

Odluka o tretmanu: smanjiti rizik — ukinuti zajednički nalog, uvesti individualne naloge sa dvofaktorskom autentifikacijom, uvesti evidenciju pristupa (log), i proceduru da se pristup odmah ukida kad neko napusti tim.

Plan tretmana: odgovoran rukovodilac razvoja, rok 30 dana, status: u toku.

Odobrenje: direktor firme pregleda i potpisuje plan na sledećem mesečnom sastanku menadžmenta.

Ovaj jedan primer, ponovljen za svako relevantno sredstvo sa liste iz koraka 2, čini celu procenu rizika. Nije potrebno da bude komplikovanije od ovoga.

Najčešće greške pri prvoj proceni rizika

• Perfekcionizam koji sprečava da se proces ikad završi. Bolje je imati jednostavnu procenu za deset najvažnijih sredstava koju stvarno primenjujete, nego enciklopedijsku listu od sto stavki koja nikad ne bude gotova.
• Preopšteni opisi rizika. „Hakovanje" ili „gubitak podataka" napisano bez konteksta ne pomaže nikome da odluči šta konkretno da uradi. Rizik treba da bude dovoljno specifičan da direktno ukazuje na to koja kontrola ga rešava.
• Preskakanje koraka 1. Bez unapred dogovorene skale i pragova, procena postaje nekonzistentna i teško objašnjiva na auditu.
• Procena rađena isključivo u IT sektoru. Bez uključivanja HR-a, nabavke i operativnog tima, veliki deo stvarnih rizika jednostavno ostane nezapažen.
• Tretiranje procene kao jednokratnog dokumenta. Ovo direktno vodi u zabludu o kojoj smo pisali ranije — procena rizika koja se uradi jednom i nikad više ne otvori brzo postaje neupotrebljiva.

Koliko često se procena ponavlja

Najmanje jednom godišnje, kao deo redovnog ciklusa. Uz to, procenu treba osvežiti i van rasporeda kad se nešto značajno promeni u firmi — nov poslovni sistem, novi veći klijent, promena u infrastrukturi, ili, naravno, stvarni bezbednosni incident. Procena rizika koja stoji nepromenjena tri godine, dok se firma u međuvremenu potpuno promenila, jedan je od najbržih načina da se izgubi kredibilitet na nadzornom auditu.