ISO 22301 – Klauzula 8.2 (deo 2): Procena rizika

U jednoj rečenici: ako je BIA odgovorila na pitanje "šta je kritično i koliko brzo mora da se vrati", procena rizika odgovara na sledeće logično pitanje — "šta bi konkretno moglo da izazove taj prekid, koliko je to verovatno, i šta ćemo povodom toga da uradimo".

Šta klauzula zapravo traži

Standard traži formalan, dokumentovan proces procene rizika koji je usklađen sa kriterijumima uspostavljenim u klauzuli 8.1, koji identifikuje rizike od prekida za prioritetne aktivnosti određene kroz BIA (procese, sisteme, informacije, ljude, imovinu, spoljne izvršioce i druge resurse koji ih podržavaju), sistematski analizira te rizike, ocenjuje koji od njih zahtevaju tretman, i identifikuje odgovarajuće mere tretmana usklađene sa ciljevima kontinuiteta i nivoom prihvatljivog rizika koji je rukovodstvo odredilo (klauzula 5.1).

Ključna razlika u odnosu na BIA: BIA se bavi posledicom (šta se dešava ako proces stane, bez obzira na uzrok), procena rizika se bavi uzrokom (šta bi realno moglo da izazove taj prekid) i verovatnoćom da se to desi.

Zašto je ovo bitno

Bez procene rizika, BIA vam kaže da vam je ERP sistem kritičan i da mora da se vrati za 8 sati, ali ne kaže ništa o tome da li je veći realan rizik kvar hardvera, ransomware napad, ili nestanak struje — a svaki od tih uzroka zahteva potpuno drugačiju pripremu. Procena rizika je most između "znamo šta je bitno" i "znamo tačno gde da uložimo novac i pažnju da to zaštitimo".

Detaljan primer: procena rizika za prioritetne procese Elektrotehne

Koristeći zajedničku matricu rizika uspostavljenu u klauzuli 8.1 (skala 1-5 za verovatnoću i uticaj), Elektrotehna je za svaki kritičan proces iz BIA identifikovala konkretne pretnje. Evo pet reprezentativnih primera koji pokazuju različite tipove tretmana rizika.

Rizik 1: Kvar ključne komponente na proizvodnoj liniji 2

Verovatnoća: visoka (5/5) — ovaj rizik se već materijalizovao jednom, opisano ranije u seriji. Uticaj: srednje-visok (4/5) — 4 sata do aktivacije alternative, uz gubitak dela kapaciteta. Ukupna ocena: visok rizik. Tretman — ublažavanje: uveden je raspored preventivnog održavanja umesto čekanja na kvar, rezervni kritični delovi se drže na stanju (posle iskustva sa čekanjem na deo), i obučen je drugi tehničar (klauzula 7.2). Rizik se ne može eliminisati, ali verovatnoća ponovnog dužeg zastoja je značajno smanjena.

Rizik 2: Ransomware napad na ERP sistem

Verovatnoća: srednja (3/5) — rastući trend napada na proizvodne firme u regionu. Uticaj: vrlo visok (5/5) — ako napad pogodi i produkcioni sistem i backup istovremeno, oporavak bi mogao trajati danima ili nedeljama, ne satima. Ukupna ocena: kritičan rizik. Tretman — kombinacija ublažavanja i transfera: uveden je izolovan (air-gapped) backup koji nije stalno povezan na mrežu — direktno rešavanje slabosti identifikovane u tekstu o najčešćim zabludama, gde su backup i produkcioni sistem bili na istoj mreži. Dodatno, firma je ugovorila cyber osiguranje koje pokriva deo troškova oporavka od ovakvog napada, kao transfer dela finansijskog rizika na osiguravajuću kuću.

Rizik 3: Prekid isporuke od kineskog dobavljača zbog izvoznih ograničenja

Verovatnoća: niska do srednja (2/5) — geopolitička situacija je nepredvidiva, ali trenutno nema konkretnih signala za skorašnji prekid. Uticaj: vrlo visok (5/5) — ovaj dobavljač pokriva veliki deo ključnih komponenti, sa MTPD od svega 6-8 nedelja utvrđenim u BIA. Ukupna ocena: visok rizik, prvenstveno zbog ozbiljnosti uticaja, ne verovatnoće. Tretman — ublažavanje: pokrenut je proces kvalifikacije alternativnog dobavljača iz drugog regiona, unapred, pre nego što do prekida dođe — jer traženje alternative tek posle prekida gubi dragoceno vreme baš kad ga najmanje ima.

Rizik 4: Požar u serverskoj sobi

Verovatnoća: niska (2/5). Uticaj: katastrofalan (5/5) — kao što je pokazano u tekstu o najčešćim zabludama, sav redundantan hardver propada istovremeno jer je fizički na istom mestu. Ukupna ocena: visok rizik zbog razmere posledice. Tretman — ublažavanje, delom već pokriveno uslovom polise osiguranja (klauzula 4.2): pored postojećeg protivpožarnog sistema (uslov za validnost polise), uvedena je i fizički odvojena kopija ključnih podataka van glavne lokacije.

Rizik 5: Prekid dobavljača sirovine za proizvod niskog obima

Verovatnoća: niska (2/5). Uticaj: nizak (1/5) — ovaj specifičan proizvod čini manje od 1% ukupnog prihoda firme. Ukupna ocena: nizak rizik. Tretman — svesno prihvatanje: rukovodstvo je doneo eksplicitnu, zapisanu odluku da se ovaj rizik prihvata bez dodatnog ulaganja, jer trošak bilo kakve mere tretmana (dodatne zalihe, alternativni dobavljač) ne bi bio opravdan u odnosu na nizak uticaj. Ovo je podjednako validna i dokumentovana odluka kao i ulaganje u ublažavanje — bitno je da je svesna, ne da je rizik jednostavno zaboravljen.

Četiri načina tretmana rizika

Primeri iznad pokazuju sve tipične kategorije tretmana koje standard implicitno očekuje da razmotrite za svaki rizik: ublažavanje (smanjiti verovatnoću ili uticaj, kao kod kvara linije ili ransomware-a), transfer (prebaciti deo finansijskog rizika na treću stranu, kao kod cyber osiguranja), izbegavanje (promeniti proces da se rizik u potpunosti ukloni — Elektrotehna ovo razmatra za proizvod niskog obima, gde bi potpuno ukidanje proizvoda eliminisalo rizik, ali je odlučeno da to nije opravdano zbog postojeće tražnje), i prihvatanje (svesno ne raditi ništa dodatno, kad je trošak tretmana veći od koristi).

Smernice za dokumentaciju

Registar rizika treba da sadrži: opis rizika, povezan proces iz BIA, ocenu verovatnoće i uticaja po zajedničkoj matrici, ukupnu ocenu, odabrani tip tretmana, konkretnu radnju, odgovornu osobu i rok, i status (u toku, završeno, prihvaćeno bez dalje akcije). Ovaj registar se čuva sa ograničenim pristupom (uspostavljeno u klauzuli 7.5, jer sadrži osetljive podatke o ranjivostima firme), i redovno se ažurira — posebno kad se promeni kontekst (klauzula 4.1) ili kad se desi promena poput one opisane u klauzuli 6.3.

Najčešća greška

Najčešća greška je duga lista identifikovanih rizika bez ijedne stvarno odabrane mere tretmana — registar postoji, ali niko nije odlučio šta se povodom svake stavke zapravo radi. Druga česta greška je nesvesno prihvatanje rizika — rizik jednostavno ostane bez tretmana ne zato što je doneta odluka da se prihvati, nego zato što ga je neko zaboravio ili mu nikad nije stigao red, što je suštinski drugačije (i rizičnije) od zapisane, promišljene odluke o prihvatanju.