zabezpieczenie
rejestr ryzyka
Krótka pisemna lista tego, co może pójść źle, jak bardzo, kto za to odpowiada i co postanowiono. Dzięki niej pokażesz, że środki pasują do ryzyka, i masz uczciwy powód, by zrobić mniej tam, gdzie ryzyko jest niskie.
- co chroni
- dobór środków, żeby wysiłek szedł tam, gdzie jest ryzyko
- kto za to odpowiada
- wskazany właściciel każdego ryzyka, a akceptacje należą do zarządu
- zacznij od
- pięć usług, bez których firma nie działa, i jedno zagrożenie dla każdej
czym jest
Rejestr ryzyka to lista tego, co może pójść źle. Przy każdym wpisie mówi, jak bardzo jest to prawdopodobne, jak poważne byłyby skutki, kto za to odpowiada i co postanowiono: zmniejszyć, przenieść, uniknąć albo zaakceptować.
Każdy przepis z rejestru wymaga środków dopasowanych do ryzyka, a rejestr jest sposobem, żeby pokazać, że takie są. NIS2 wymaga polityk analizy ryzyka oraz środków odpowiednich i proporcjonalnych. DORA wymaga udokumentowanych ram. RODO wymaga bezpieczeństwa dopasowanego do ryzyka dla osób, co potrzebuje własnej kolumny.
Żaden z tych tekstów nie narzuca metody. Wybierz taką, która jest dość krótka, żeby organ zarządzający ją przeczytał, i stosuj ją za każdym razem tak samo. Zacznij od usług i zasobów, które liczą się najbardziej, i idź dalej.
podstawa NIS2 art. 21(2)(a), 21(1); DORA art. 6(1); RODO art. 32(1). Metoda jest praktyką.
jak ryzyko zamienia się w decyzję
- 1nazwijjedno zdanie, powiązane z usługą lub zasobem
- 2oceńprawdopodobieństwo i skutek w krótkiej skali, za każdym razem tak samo
- 3rozstrzygnijzmniejsz, przenieś, unikaj albo zaakceptuj, z nazwiskiem i datą
- 4powiąż z pracązabezpieczenie, które je zmniejsza, i dowód, który zostawia
termin przeglądu i każda zmiana, która nie może czekać do niego
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
przykład
Wyobraź sobie firmę z 200 osobami, która napisała rejestr ryzyka na potrzeby audytu.
Ma dwieście wierszy, metodę oceny przepisaną z normy i żadnych właścicieli. Nikt go nie otworzył od audytu, a najwyższe ryzyka wiszą bez decyzji.
Ma dwadzieścia ryzyk, każde z nazwiskiem, oceną w skali trzy na trzy, decyzją i datą. Zarząd podpisuje akceptacje i czyta widok na jedną stronę. Lżejszy środek ma obok zapisany powód.
To ilustracja, a nie opis prawdziwego przypadku.
co musi robić dla każdego przepisu
| przepis | gdzie | czego wymaga tekst | co musi robić zabezpieczenie |
|---|---|---|---|
| NIS2 | NIS2 art. 21(2)(a) | Polityki analizy ryzyka i bezpieczeństwa systemów informatycznych. | Prowadź pisemną analizę z decyzją, właścicielem i datą przy każdym ryzyku i wracaj do niej, gdy coś się zmienia. |
| NIS2 | NIS2 art. 21(1) | Środki odpowiednie i proporcjonalne do ryzyka, narażenia, wielkości, prawdopodobieństwa i dotkliwości. | Zapisz, dlaczego każdy środek ma taką skalę, żeby lżejszy środek miał pisemne uzasadnienie. |
| IR 2024/2690 | IR 2024/2690 załącznik 2.1 | Wymienieni dostawcy usług cyfrowych: ramy zarządzania ryzykiem. | Opisz, jak ryzyka są znajdowane, oceniane i rozstrzygane, w dokumencie, który przeczyta organ zarządzający. |
| DORA | DORA art. 6(1) | Udokumentowane ramy zarządzania ryzykiem ICT. | Prowadź rejestr jako część tych ram i pokaż, że organ zarządzający go widział. |
| RODO | RODO art. 32(1) | Bezpieczeństwo odpowiednie do ryzyka dla osób. | Dodaj kolumnę z ryzykiem dla osób fizycznych, żeby ten sam rejestr wspierał dobór środków dla danych osobowych. |
podstawa NIS2 art. 21(2)(a), 21(1); IR 2024/2690 załącznik 2.1 jako punkt odniesienia; DORA art. 6(1); RODO art. 32(1). To, co zabezpieczenie ma robić, jest praktyką.
na co patrzeć przy wyborze
- Czy przy wpisie można zapisać opis, prawdopodobieństwo, skutek, właściciela, decyzję, datę i odnośnik do zasobu lub usługi, której dotyczy?
- Czy przechowuje historię, żeby pokazać, jaka była ocena rok temu i dlaczego się zmieniła?
- Czy można zapisać akceptację ryzyka z nazwiskiem i datą?
- Czy pozwala na krótką metodę, którą wyjaśnisz zarządowi, na przykład trzy stopnie prawdopodobieństwa i trzy stopnie skutku?
- Czy oznacza wpisy po terminie przeglądu lub bez właściciela?
- Czy łączy ryzyko z zabezpieczeniem, które je zmniejsza, i z dowodem, który to zabezpieczenie zostawia?
- Czy da się z niego zrobić widok na jedną stronę dla zarządu i pełną listę dla zespołu?
- Czy rozdziela ryzyko dla firmy i ryzyko dla osób?
podstawa praktyka
trzy poziomy, od pierwszego kroku do mocnego
Każdy poziom dodaje coś widocznego. Zatrzymaj się tam, gdzie pozwala na to ryzyko, które akceptujesz.
- start
Wypisz usługi, bez których firma nie działa, i jedną rzecz, która mogłaby zatrzymać każdą z nich. Każdej daj właściciela.
- solidnie
Stosuj krótką pisemną metodę, zapisuj decyzję i datę przy każdym ryzyku i raz w roku pokazuj rejestr zarządowi.
- mocno
Powiąż każde ryzyko z zasobem, zabezpieczeniem i dowodem, przechowuj historię ocen i dodaj kolumnę z ryzykiem dla osób.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
gdzie się psuje
znana metoda, której nikt nie stosuje
Żaden z tych przepisów nie narzuca metody. Krótka metoda, której używasz, jest lepsza niż duża, której nie używasz.
dwieście ryzyk
Tak długi rejestr nie dostaje właścicieli. Dwadzieścia z nazwiskami jest warte więcej.
napisany raz na potrzeby audytu
Pomaga tylko wtedy, gdy ustala kolejność pracy. Jeśli nic się przez niego nie zmieniło, nie robi swojej roboty.
zaakceptowane przez nikogo
Wysokie ryzyko zostawione bez podpisanej akceptacji to ryzyko, o którym nikt nie zdecydował. Wpisz nazwisko i datę przy każdej akceptacji.
podstawa praktyka
dowód, który zostawia
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| rejestr ryzyka: ryzyko, ocena, decyzja, właściciel, data | wskazany właściciel ryzyka | dwa razy w roku |
| podpisane akceptacje ryzyka | organ zarządzający | raz w roku |
| protokół lub materiał z posiedzenia organu zarządzającego, który pokazuje przegląd rejestru | sekretarz zarządu lub prezes | raz w roku |
| pisemna metoda: jak ryzyka są oceniane i co wywołuje każda ocena | szef IT | raz w roku |
podstawa praktyka. Częstotliwość jest Twoim wyborem.
sprawdź sam
- Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (EUR-Lex)
- Rozporządzenie (UE) 2022/2554 (DORA) (EUR-Lex)
- Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)
twój następny krok
Wypisz pięć usług, bez których firma nie działa, i jedną rzecz, która mogłaby zatrzymać każdą z nich.