praca
ocena ryzyka
Każdy z tych przepisów wymaga środków odpowiednich do ryzyka. Krótka pisemna ocena pozwala wykazać, że Twoje takie są, i daje uczciwy powód, by zrobić mniej tam, gdzie ryzyko jest niskie.
co to znaczy w praktyce
To dokument roboczy, na którym opiera się reszta tej strony. Mówi, którego dostawcę sprawdzić najpierw, który dostęp przejrzeć najpierw i co zabezpieczyć kopią najpierw. Daje też uczciwy sposób, by zrobić mniej: jeśli ryzyko jest niskie, a powód zapisany, lżejszy środek może się obronić.
Pisz krótko i na tyle prosto, by organ zarządzający mógł to przeczytać.
podstawa NIS2 art. 21(1); RODO art. 32(1)
co zdecydować
- Bez jakich usług firma nie może działać?prezes zarządu, wspólnie z operacjami
- Kto odpowiada za każde wysokie ryzyko i do kiedy ma je zająć?wskazany właściciel
- Jakie ryzyka firma akceptuje na piśmie?organ zarządzający
- Co trafia do organu zarządzającego, a co zostaje w zespole?organ zarządzający
podstawa NIS2 art. 20(1), 21(1); DORA art. 5(2), 8(1). Podział jest praktyką.
siatka ryzyka na tyle mała, by dało się jej używać
- zanotuj
- właściciel i termin
- idzie do zarządu
podstawa praktyka
co zbudować
- Wypisz od pięciu do dziesięciu usług, bez których firma nie może działać. Przy każdej wskaż systemy, dane i dostawców, na których stoi.
- Opisz zwykłymi słowami, co może pójść źle: zaszyfrowanie przez ransomware, awaria dostawcy, były pracownik z zachowanym dostępem, dane wysłane w złe miejsce.
- Oceń, jak prawdopodobne jest każde ryzyko i jak duży byłby skutek, w skali trzystopniowej.
- Zdecyduj przy każdym wysokim ryzyku: ograniczyć, przenieść, uniknąć albo zaakceptować. Dopisz właściciela i termin.
- Dodaj dane osobowe jako osobną kolumnę, aby ten sam dokument wspierał Twoją argumentację w sprawie RODO.
- Zanieś wynik do organu zarządzającego.
podstawa NIS2 art. 21(2)(a); DORA art. 6(1), 8(1); RODO art. 30(1), 32(1); IR 2024/2690 załącznik 2.1, 12.4 jako punkt odniesienia
co zasila ocena ryzyka
- 1Twoje usługibez czego firma nie może działać
- 2co może pójść nie takprostymi słowami
- 3ocenajak prawdopodobne i jak dotkliwe
- 4decyzjaograniczyć, przenieść, uniknąć lub zaakceptować
odpowiedzi ustalają kolejność wszystkiego innego
- dostawcyktórych sprawdzić najpierw
- dostępyktóry system przejrzeć najpierw
- kopie zapasoweco odtworzyć najpierw
- zarządco musi rozstrzygnąć
podstawa NIS2 art. 21(1), 21(2)(a); DORA art. 6(1), 8(1); RODO art. 32(1). Kolejność to praktyka.
dowody, które zostają
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| wykaz usług i aktywów | szef IT | raz w roku i przy większej zmianie |
| rejestr ryzyk: ryzyko, ocena, decyzja, właściciel, termin | wskazany właściciel | dwa razy w roku |
| podpisane akceptacje ryzyka | organ zarządzający | raz w roku |
| rejestr czynności przetwarzania | inspektor ochrony danych lub osoba odpowiedzialna za dane osobowe | raz w roku |
podstawa DORA art. 8(1); RODO art. 30(1). Reszta jest praktyką.
gdzie to się psuje
znana metoda, której nikt nie stosuje
Żaden z tych przepisów nie narzuca metody. Krótka spisana metoda, z której korzystasz, jest lepsza niż rozbudowana, której nikt nie używa.
dwieście ryzyk
Tak długi rejestr nie dostaje właścicieli. Dwadzieścia ryzyk z nazwiskami jest warte więcej.
napisana raz, pod audyt
Pomaga tylko wtedy, gdy ustala kolejność pracy. Jeśli nic się przez nią nie zmieniło, nie spełnia swojej roli.
tylko ryzyko firmy
RODO pyta o ryzyko dla osób. Dodaj tę kolumnę, inaczej dokument nie odpowie na to pytanie.
podstawa RODO art. 32(1); reszta jest praktyką
co przepisy zostawiają otwarte
- Którą metodę wybrać. Żaden z tych przepisów jej nie wskazuje.
- Ile to proporcjonalnie. Rozstrzygają to później organy nadzoru i sądy, oceniając konkretnie na tle ryzyk przetwarzania. Zobaczą Twoje uzasadnienie na papierze.
podstawa Trybunał Sprawiedliwości UE, C-340/21
sprawdź sam
co mówi każdy tekst, dla osoby sprawdzającej tę stronę
| tekst | mówi |
|---|---|
| NIS2 art. 21(2)(a) | Polityki dotyczące analizy ryzyka i bezpieczeństwa systemów informatycznych. |
| NIS2 art. 21(1) | Środki odpowiednie i proporcjonalne do ryzyka, narażenia, wielkości, prawdopodobieństwa i dotkliwości. |
| IR 2024/2690 załącznik 2.1 | Wymienieni dostawcy usług cyfrowych: ramy zarządzania ryzykiem. Załącznik 12.4 wymaga inwentaryzacji aktywów. |
| DORA art. 6(1) | Udokumentowane ramy zarządzania ryzykiem ICT. |
| DORA art. 8(1) | Zidentyfikować i udokumentować funkcje, aktywa i zależności, z przeglądem co najmniej raz w roku. |
| RODO art. 32(1) | Bezpieczeństwo odpowiednie do ryzyka dla osób. |
| RODO art. 30(1) | Rejestr czynności przetwarzania. |
twój następny krok
Zarezerwuj 90 minut z osobą, która kieruje operacjami, i zapisz pierwsze pięć usług.