Podle nového zákona o kybernetické bezpečnosti (ZKB) je analýza rizik nezbytnou součástí systému řízení bezpečnosti informací (ISMS) u všech povinných subjektů.
Jinými slovy, každá regulovaná organizace či firma si bude muset:
- udělat přehled o svých aktivech a ohodnotit jejich důležitost vůči regulované službě,
- identifikovat hrozby, zranitelnosti a rizika, která mohou ovlivnit její fungování,
- a sestavit plán zavedení opatření, která rizika sníží na přijatelnou úroveň.
Na papíře to nemusí vypadat zas tak složitě. Zvlášť pokud využijete předpřipravené metodiky (například ty od NÚKIBu), externí konzultanty, a máte odpovídající budget.
Realita?
Minimálně tři měsíce práce manažera kybernetické bezpečnosti, vedoucích oddělení, vedení a dalších lidí, kteří se do procesu musí zapojit.
Z vlastní zkušenosti vím, že právě čas je faktor, který firmy nejčastěji podceňují.
Zvlášť ty, které s regulováním své kybernetické bezpečnosti zatím nemají zkušenost.
Pro ně může být analýza rizik spíš běh přes překážky na maratonské trati.
Do jakých pastí se při ní dá spadnout?
Řekněme si nejdřív, o čem vlastně analýza rizik podle nového ZokB vlastně je.
Co vlastně chráníme (sestavení seznamu aktiv)?
Prvním krokem každé analýzy rizik je položit zdánlivě triviální otázku, na kterou ale málokterá firma zná jasnou odpověď.
V praxi to znamená obejít vedoucí jednotlivých oddělení a zjistit, co všechno potřebují, aby jejich část firmy vůbec fungovala.
Cílem je pochopit, které systémy, data nebo procesy jsou pro organizaci skutečně nepostradatelné.
Často jde o delší diskusi, protože každé oddělení přirozeně vnímá priority trochu jinak.
Proto je vhodné využít externí pohled, například manažera kybernetické bezpečnosti, který dokáže aktivum ohodnotit z hlediska dostupnosti, důvěrnosti a integrity.
S ohledem na kybernetickou bezpečnost přitom rozlišujeme dva typy aktiv:
- Primární aktiva jsou služby a informace, například dodávka pitné vody, strategický dokument nebo know-how.
- Podpůrná aktiva jsou servery, počítače, software, objekty… zkrátka vše, co pomáhá zajistit chod primárního aktiva.
Následně přichází na řadu hodnocení jejich významnosti.
Opřít se lze například o některou z ověřených metodik (v TNS například stavíme na již zmíněné metodice NÚKIBu v upravené podobě).
Zjednodušeně řečeno, zajímá nás:
Co by se stalo, kdyby aktivum nefungovalo?
Co by se stalo, kdyby se data změnila nebo unikla na veřejnost?
Právě z těchto dopadů pak vzniká hodnocení významnosti aktiv. V praxi často prostá excelovská tabulka, která určuje, co bude součástí systému řízení bezpečnosti (SŘBI) a co ne.
Co nás může ohrozit?
Úplný základ systému řízení bezpečnosti informací máme, a tak se můžeme pustit do identifikace hrozeb a zranitelností, kterým jsou naše aktiva vystavena.
Je přitom důležité rozlišovat dva pojmy:
- Zranitelnost = slabé místo. V podstatě cokoliv, co může aktivum poškodit nebo narušit jeho důvěrnost, integritu či dostupnost. Například neaktuální operační systém, slabá hesla nebo nedostatečná fyzická ochrana serveru.
- Hrozba = aktivita, která se toto slabé místo snaží zneužít. Zatímco zranitelnost bývá uvnitř systému nebo procesu, hrozba přichází zvenčí. Může jít například o phishing, chybnou konfiguraci, selhání napájení v serverovně nebo ztrátu pracovního notebooku.
Dobře provedené hodnocení hrozeb a zranitelností odhalí slabá místa, poskytne podklad pro přiměřená opatření a dá argumenty pro vedení, proč má smysl do konkrétních oblastí investovat.
Většina organizací se v této fázi opírá o metodiku NÚKIBu a její katalog hrozeb a zranitelností.
Je to dobrý odrazový můstek, seznam situací, které mohou nastat, a signálů, na které si dát pozor.
Co vše se může pokazit? Identifikace a hodnocení rizik
Identifikace rizik je povinná pro všechny regulované subjekty spadající pod nový kyberbezpečnostní zákon.
V tomto kroku jde přitom o víc, než jen spojit aktiva s hrozbami a zranitelnostmi. Identifikace rizik zahrnuje i pochopení toho, co by riziko způsobilo (dopad) a jak pravděpodobné to je.
Cílem je vyjádřit riziko číslem.
Pro to se používá výpočet pomocí funkce, do které vstupují faktory: dopad, hrozba a zranitelnost. Dopadem je přitom myšlena hodnota příslušného atributu aktiva (na základě triády důvěrnost, integrita, dostupnost).
Riziko v číselném vyjádření pak dostaneme jako dopad (hodnota příslušného atributu aktiva) x hrozba x zranitelnost.
Vycházíme-li z metodiky NÚKIBu, pohybujeme se na rizikové stupnici 1-64 (přijatelné až nepřípustné riziko).
Řekněme, že máte nějaké běžné aktivum, například účetní systém, tedy místo, kde se mimo jiné nachází citlivá data zaměstnanců.
Příklad:
- Aktivum: účetní systém
- Hrozba: phishingový útok
- Zranitelnost: uživatelé nejsou proškoleni na odhalení podvodných emailů
- Riziko: zneužití přihlašovacích údajů a únik účetních dat
- Dopad: Únik citlivých finančních dat, zneužití dat a možná pokuta od ÚOOÚ pro možné porušení GDPR
- Pravděpodobnost: Vysoká (phishingové kampaně se vyskytují pravidelně)
Výsledek: vysoké riziko
Řešení: Zavedení MFA, proškolení zaměstnanců a testování phishingu nanečisto.
Bez tohoto kroku nelze splnit ani další části zákona, například nastavení bezpečnostních opatření nebo odůvodnění přiměřenosti.
Plán zvládání rizik
V této fázi už máme zmapována aktiva, identifikovány hrozby, zranitelnosti a rizika.
Nastává čas se zeptat:
Co s tím tedy uděláme? Kdo to udělá? Kdy? Kolik to bude stát?
Cílem analýzy rizik není mít vytuněný seznam problémů, ale plán konkrétních kroků, odpovědností a termínů, které v důsledku sníží rizika na přijatelnou úroveň.
Na základě diskuse pak vznikne ucelený plán zvládání rizik s termíny, odpovědnými osobami a vyčíslením nákladů (finanční, personální).
Plán musí být pravidelně aktualizován v souvislosti s postupem zavádění bezpečnostních opatření, a to nejméně jednou ročně.
Na co si dát pozor? 3 pasti analýzy rizik
Zjistit, co chránit, co hrozí a jak to ošetřit, není formální cvičení. V praxi se analýza rizik a její výstupy mohou snadno změnit v přetahovanou mezi stakeholdery.
Zákon totiž nikde přesně neříká, jaká konkrétní řešení zavést.
Tady jsou tři nejběžnější pasti, které při implementaci opatření potkají skoro každou organizaci.
1. Nejasná hranice mezi přiměřeností a nadměrností opatření
Jedním ze základních principů nového zákona je zavádění „přiměřených a přiměřeně nákladných opatření vzhledem k rizikům“.
Jde o rozumný princip, který dává povinným subjektům určitou flexibilitu, možnost manévrovat v mezích zákona. To ale zároveň v praxi vyvolává nejistotu i spory.
Menší firma se sto zaměstnanci si pod „přiměřenými opatřeními“ představí něco úplně jiného než enterprise organizace s vlastním SOCem.
Je přiměřené testovat obnovu dat jednou za rok, nebo musí být každé čtvrtletí?
Musí menší firma skutečně provozovat SIEM, nebo jí stačí pořešit log management?
Je přiměřené vyžadovat MFA i pro interní systémy?
Tento stav navíc eskalují situace kdy:
- Manažeři kybernetické bezpečnosti a specialisté na IT často volí přísnější výklad, aby byli „na jistotu“.
- Management naopak tlačí na minimalizaci nákladů, protože kybernetická rizika vnímá jako hypotetická.
Klíčovou roli při nalezení optima musí sehrát manažer/ka kybernetické bezpečnosti (ať už interní, nebo externí). Ten je garantem rovnováhy mezi ochranou a provozní realitou, a musí umět zvolený postup obhájit.
2. Střet byznys potřeb s bezpečností
Jedním z nejcitlivějších bodů při zavádění výsledků analýzy rizik je vyvážení zájmů byznysu a kybernetické bezpečnosti.
Bezpečnostní opatření totiž nejsou čistě technickou záležitostí, kdy se tam zavede 2FA, tam EDR, a jinde logování. V praxi opatření zasahují do procesů, zvyšují náklady a mohou snižovat flexibilitu organizace.
To přirozeně vyvolává třenice.
Pro management je důležitá rychlost, efektivita, zisk. Bezpečnostní tým zase prosazuje kontrolu, omezení a prevenci rizik. Výsledkem střetu těchto dvou světů může být napětí, kdy jsou bezpečnostní opatření vnímána jako „překážka“ nebo „brzda byznysu“.
Zavedení 2FA komplikuje práci obchodníků.
Investice do monitoringu a logování nejsou vidět.
Řízení bezpečnosti dodavatelů prodlužuje výběrová řízení. A ti stávající nechtějí nebo neumí dodat bezpečnostní záruky.
A tak dále a tak dále.
Tento střet často vede k tlaku na mírnější hodnocení rizik. Tedy k tomu, že analýza rizik se záměrně „zjemní“, aby nevedla k nákladným opatřením. V praxi pak organizace formálně splní požadavky zákona, ale její odolnost bude suboptimální.
Zodpovědná osoba, manažer kybernetické bezpečnosti, proto musí představovat obchodní dopady technických rizik (dopad na uživatele, finanční ztráty, poškození reputace, právní postihy) a musí zajistit výběr takových řešení, která chod firmy a pohodlí uživatelů ovlivní co možná nejméně.
3. Past formálnosti
Dalším rizikem při zavádění povinností podle nového zákona o kybernetické bezpečnosti je, že se z bezpečnosti stane formalita.
ZoKB přináší řadu nových povinností, od vedení záznamů a analýzy rizik až po reporting incidentů. A všechny vyžadují dokumentaci.
To samo o sobě je správné. Problém nastává ve chvíli, kdy se splnění legislativy zamění za dosažení bezpečnosti.
Teoreticky lze mít 100% splněné požadavky zákona na papíře, ale reálné dopady do bezpečnosti organizace budou minimální.
Typicky k tomu dochází v případě, kdy se organizace bojí víc sankcí než incidentů. Bezpečnostní opatření se pak hodnotí podle toho, jak snadno se vykáží, ne podle jejich efektivity.
Jak z toho ven
Často se mluví o tom, že IT a byznys musí najít společnou řeč.
Analýza rizik a implementace jejích výsledků je přesně tím bodem, kdy to platí na sto procent.
Zavádění bezpečnostních opatření, nejen těch vyplývajících ze ZoKB, totiž často naráží na realitu firemního provozu.
Nástrah je hodně. Zvládnout se dají. Chce to čas.
Tímto nelehkým procesem přitom bude muset projít každý z přibližně 8 500 subjektů, na které nový zákon dopadá. Pro srovnání, původní regulace se týkala „jen“ asi 300 organizací (zdroj).
Manažer kybernetické bezpečnosti v tom hraje klíčovou roli. Musí najít rovnováhu mezi bezpečností a potřebami byznysu. K tomu je potřeba chápat dopady na organizaci a její služby, umět předkládat stakeholderům konkrétní scénáře a zasadit řízení kyberbezpečnosti do širšího kontextu ostatních organizací.
Analýza rizik je přesně k tomu určená.
Dává konkrétní argumenty, proč dělat právě to, a ne něco jiného.
Cílem přitom není absolutní bezpečnost za každou cenu, ale uvědomělé řízení rizik, díky kterému se kyberbezpečnost stane přirozenou součástí řízení organizace, ne jen sérií checkboxů v Excelu.
Jak jste na tom vy?
Už jste s analýzou rizik začali, nebo to máte zatím v šuplíku s nálepkou „až bude čas“?
