Ryzyko krok po kroku
Analiza ryzyka to najważniejsza praca koordynatora. W tym module przejdziesz ją krok po kroku, na przykładach z urzędu, szkoły i małej biblioteki. Metoda pochodzi z normy ISO/IEC 27005.
2.1Co to jest ryzyko i kto jest jego właścicielem
Ryzyko to szansa, że coś złego się stanie, i skutek, jaki to wywoła. Ocenisz je dwiema liczbami: prawdopodobieństwem i skutkiem. Właściciel ryzyka to kierownik komórki, który odpowiada za proces albo dane, których ryzyko dotyczy. Nie musi znać się na technice. Decyduje o skutkach i o działaniach.
Akceptacja ryzyka to decyzja kierownika jednostki, że zostawia ryzyko szczątkowe. Szczegóły masz w module 1.
Każde ryzyko ma właściciela. Pusta rubryka „właściciel” oznacza, że nikt nie zrobi planu.
Zobacz rysunek 3. To sześć kroków analizy ryzyka. Pierwsze pięć robisz w I kwartale, szósty po każdej zmianie.
2.2Krok 1: rejestr aktywów
Aktywo to wszystko, co ma wartość dla jednostki i trzeba to chronić: dane, system, sprzęt, dokumenty, ludzie, usługi. Każde aktywo ma właściciela.
| Jednostka | Przykładowe aktywa | Właściciel |
|---|---|---|
| Urząd Gminy Przykładowo | dane podatników, system dziedzinowy, serwer plików, skrzynka ogólna | kierownik referatu podatków, kierownik biura informatyki |
| Szkoła Podstawowa nr 1 w Przykładowie | dziennik elektroniczny, dane uczniów, komputery w pracowniach, dokumentacja kadrowa | dyrektor, nauczyciel odpowiedzialny za pracownię, kadrowa |
| Biblioteka Publiczna w Przykładowie | katalog czytelników, komputer publiczny, kopie zapasowe | kierownik biblioteki, osoba prowadząca komputer publiczny |
Jak to zrobić: zebranie informacji o aktywach
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Osobiście | 1. Umów 20 minut z kierownikiem komórki. 2. Zapytaj: „Jakie dane i systemy są u Pana niezbędne do pracy?” 3. Zapisz odpowiedzi w rejestrze aktywów razem z kierownikiem. | Zapytaj też o papier i dane w telefonach. Kierownik często o nich zapomina. |
| 1. Wyślij krótką ankietę: nazwa, rodzaj danych, kto ma dostęp, gdzie jest. 2. Ustal termin odpowiedzi, np. 7 dni. 3. Nieodpowiedzi przypomnij osobiście. | Ankieta bez rozmowy daje niepełny wynik. | |
| System / ASI | 1. Poproś ASI o listę systemów i serwerów. 2. Porównaj ją z odpowiedziami kierowników. 3. Różnice wyjaśnij na spotkaniu. | Program zainstalowany „przez referat” bywa nieznany ASI. Taki najczęściej generuje ryzyko. |
2.3Krok 2: zagrożenia, także cyfrowe
Do każdego aktywa dopisujesz, co może pójść źle. Zagrożenia cyfrowe są dziś na pierwszym miejscu, bo przez e-mail i sieć trafiają do jednostki najczęściej.
| Zagrożenie | Przykład w jednostce | Pytanie do właściciela |
|---|---|---|
| Phishing (fałszywy e-mail) | sekretariat dostaje „pilny formularz wpisu do wykazu” z linkiem | Czy pracownicy wiedzą, komu zgłaszać takie wiadomości? |
| Ransomware (okup za pliki) | serwer plików zaszyfrowany, dane podatników niedostępne | Czy mamy kopię zapasową offline i testowaliśmy odtworzenie? |
| Wyciek przez dostawcę | firma obsługująca system traci dane z kopii | Czy jest umowa i co w niej zapisano o bezpieczeństwie i incydentach? |
| Błąd człowieka | e-mail z listą mieszkańców do złego adresata | Czy pracownicy znają zasadę drugiego sprawdzenia adresata? |
| Awaria i brak ciągłości | awaria serwera w dniu terminu rozliczeń | Jak długo możemy pracować bez systemu? |
| Podszycie się pod przełożonego | „Burmistrz” prosi SMS-em o pilny przelew lub kod | Czy znamy zasadę sprawdzenia prośby drugim kanałem? |
2.4Krok 3: ocena
Dla każdej pary (aktywo, zagrożenie) wpisujesz dwie liczby od 1 do 3. Wynik to ich iloczyn. Tabela 3 pokazuje poziomy.
| Skala | 1 | 2 | 3 |
|---|---|---|---|
| Prawdopodobieństwo | mało prawdopodobne, raz na kilka lat | możliwe, raz na rok | prawdopodobne, kilka razy w roku |
| Skutek | drobny: brak przerwy w pracy, brak szkody dla osób | poważny: przerwa do jednego dnia, dane osobowe w niepowołanych rękach | bardzo poważny: przerwa dłuższa niż dzień, dane szczególne, kara lub szkoda dla wielu osób |
| Wynik (prawdopodobieństwo × skutek) | Poziom | Co robisz |
|---|---|---|
| 1–2 | niskie | zwykle akceptujesz, ale zapisujesz decyzję |
| 3–4 | średnie | planujesz środki w ciągu roku |
| 6–9 | wysokie | planujesz środki od razu, termin do trzech miesięcy |
— Ryzyko: awaria serwera plików urzędu przed rozliczeniami. Jak oceniasz prawdopodobieństwo?
— Dwa. W ciągu roku już się zdarzyła.
— A skutek?
— Trzy. Bez systemu nie wydajemy decyzji przez kilka dni. Wynik to sześć, czyli ryzyko wysokie.
2.5Krok 4: plan postępowania z ryzykiem
Dla ryzyka średniego i wysokiego wybierasz jedną z czterech decyzji.
| Decyzja | Co znaczy | Przykład |
|---|---|---|
| Ograniczam | wprowadzam środek ochrony | kopia zapasowa offline i test odtworzenia |
| Przenoszę | dzielę ryzyko z innym podmiotem | umowa z dostawcą z zapisami o bezpieczeństwie i odpowiedzialności |
| Unikam | rezygnuję z czynności | przestajemy zbierać zbędne dane w formularzu |
| Akceptuję | zostawiam ryzyko szczątkowe | ryzyko niskie albo zbyt kosztowne do ograniczenia; decyzję podpisuje kierownik jednostki |
Jak to zrobić: wpis do rejestru ryzyk
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Osobiście z właścicielem | 1. Pokaż wynik oceny i zapytaj: „Jaki środek wybiera Pan?” 2. Zapisz środek, termin, osobę odpowiedzialną i koszt. 3. Ustal datę sprawdzenia, czy środek działa. | Zapisz to przy właścicielu. Po rozmowie łatwo zapomnieć szczegóły. |
| 1. Wyślij właścicielowi wpis do uzgodnienia. 2. Poproś o potwierdzenie albo uwagi w ciągu 7 dni. 3. Po potwierdzeniu wpisz do rejestru. | Wpis bez odpowiedzi zostaje „do uzgodnienia”. Nie zamykaj go. |
2.6Kierownik nie chce być właścicielem ryzyka
Zdarza się, że kierownik mówi: „To sprawa informatyka”. Informatyk administruje serwerem. Nie odpowiada za skutki dla procesu. Za proces odpowiada kierownik komórki.
| Kanał | Co robisz | Na co uważasz |
|---|---|---|
| Osobiście | 1. Powiedz: „Nie musi Pan znać się na serwerach. Ma Pan zdecydować, jak długo komórka może pracować bez danych.” 2. Zaproponuj spotkanie razem z ASI. 3. Wyjaśnij: właściciel nie odpowiada za awarię, tylko za to, że ryzyko ma plan. | Nie wpisuj informatyka „na siłę”. To nie jego decyzja. |
| Pismo | 1. Jeśli odmowa trwa, skieruj notatkę do kierownika jednostki z prośbą o wyznaczenie właściciela w zakresie czynności. 2. Wpisz zakres do zarządzenia. | To ostateczność. Najpierw rozmowa. |
- Zapisujesz każde ryzyko z właścicielem, decyzją i terminem.
- Po zmianie w systemie lub u dostawcy robisz analizę przed wdrożeniem.
- Oceniasz zagrożenia cyfrowe w każdej komórce.
- Nie wpisujesz właściciela za niego bez rozmowy.
- Nie zostawiasz ryzyka wysokiego bez terminu.
- Nie przesyłasz rejestru ryzyk poza jednostkę bez umowy.
Aktywa, zagrożenia, ocena, plan, akceptacja, przegląd. Każde ryzyko ma właściciela, decyzję i termin.
- Które trzy ryzyka cyfrowe są u mnie najwyższe? Kto jest ich właścicielem?
- Który kierownik może mieć opór i jak z nim porozmawiam?