Kockázatelemzés és kockázatkezelés

A szolgáltatást Magyarországon az IOSEC csoport partnere nyújtja, és a szerződést is ő köti Önnel. A módszertan, a sablonok és az eredmények az egész csoportban egységesek.

Öt ok, amiért a kockázatelemzés az auditon nem állja meg a helyét

Ezek nem feltételezések. Olyan megállapítások, amelyek ágazattól függetlenül ismétlődnek — és mind az öt megszüntethető még az audit előtt.

1. Egyszeri dokumentum. Az elemzés egyszer készült el, és azóta senki sem frissítette. A dokumentumon lévő dátum ezt azonnal elárulja.
2. Átvett, testre nem szabott katalógus. Általános fenyegetéslista, amely bármely cégre illik — és ezért egyikre sem. Az auditor rákérdez egy konkrét vagyonelemre, és az összefüggés szétesik.
3. Felelős nélküli vagyonelemek. Ha egy vagyonelemért senki sem felel, a kockázat kezeléséért sem felel senki. Gyakori oka annak, hogy az intézkedések a dokumentumban maradnak, és nem jutnak el az üzemeltetésig.
4. Kimaradt üzemeltetési technológiák. A vezérlőrendszerek, a gyártósorok és az épületgépészet kimaradnak a hatókörből.
5. Intézkedések nélküli kockázatok. Az a kockázati lista, amelyből egyetlen intézkedés sem következik, nem igazolja, hogy a kockázatokkal bármi történik.

A módszer nincs előírva

A gyakorlatban a legtöbb szervezetnek elegendő a kvalitatív megközelítés — a valószínűség × hatás mátrix —, ha meg tudja indokolni. A félkvantitatív megközelítés indexekkel, a kvantitatív pénzügyi modellezéssel dolgozik. A választás az Önre vonatkozó követelményektől, a már bevezetett szabványoktól és attól függ, mire van szüksége a szervezetnek.

Ha már van bevezetett módszertana, például az ISO/IEC 27001 vagy a csoportszintű szabályok miatt, nincs értelme lecserélni.

Egy kockázati nyilvántartás, több keretrendszer

Kockázatelemzést egyszerre több keretrendszer is megkövetel Öntől.

• ISO/IEC 27001. A szabvány meghatározott kockázatértékelési folyamatot, kockázatkezelési tervet és alkalmazhatósági nyilatkozatot vár el — és a háromnak ugyanazt kell mondania.
• GDPR. A 32. cikk (1) bekezdése szerint az adatkezelő és az adatfeldolgozó a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja. A mérvadó kockázat az embereket érinti, nem a szervezetet — ugyanazok a vagyonelemek, a másik oldalról nézve.
• DORA. A pénzügyi szervezeteknek általános kockázatkezelési rendszerük részeként megbízható, átfogó és jól dokumentált IKT-kockázatkezelési keretrendszerrel kell rendelkezniük (6. cikk (1) bekezdés). E keretrendszer részeként a pénzügyi szervezeteknek azonosítaniuk, osztályozniuk és megfelelően dokumentálniuk kell valamennyi, az IKT-ra támaszkodó üzleti funkciót, feladat- és felelősségi kört, az említett funkciókat támogató információs vagyonelemeket és IKT-eszközöket, valamint azok IKT-kockázattal kapcsolatos feladatkörét és függőségeit (8. cikk (1) bekezdés). A keretrendszert legalább évente egyszer – vagy mikrovállalkozások esetében időszakonként – felül kell vizsgálni (6. cikk (5) bekezdés).

Gyakorlati következmény. Ha ISO/IEC 27001 tanúsítás előtt áll, és a GDPR vagy a DORA is vonatkozik Önre, ne készítsen két elemzést. Egy kockázati nyilvántartás két nézettel a kimenetre általában olcsóbb, következetesebb, és az auditon könnyebben megvédhető, mint két dokumentum, amelyek ugyanazt a vagyonelemet eltérően értékelik.

Miért eszköz, ha egy táblázat is elég

Az első elemzéshez a táblázat valóban elég, és ennek az ellenkezőjét nem fogjuk állítani. Akkor már nem elég, amikor valakinek egy év múlva igazolnia kell, mi változott és ki hagyta jóvá.

• A táblázatnak nincs előzménye. Nem igazolja, mikor és miért változott az értékelés.
• A táblázatban nincsenek kapcsolatok. A vagyonelem, a kockázat, az intézkedés és a felelős egymás mellett él, nem egymással.
• A táblázatban nincs jóváhagyás. Nem látszik belőle, ki írta alá a maradványkockázat elfogadását.

Rendszerünk, az Anrix, az Ön infrastruktúrájában fut — a rendszerei sérülékenységeiről szóló adatok nem hagyják el a hálózatát. A kritikus infrastruktúra, az ipar és a pénzügyi szektor számára ez rendszerint nem preferencia, hanem feltétel.

Hol ér véget a feladatunk

Az elemzést annak a szemével készítjük, aki ilyen elemzéseket auditon ellenőriz: a különbség a jól kinéző és a helytálló elemzés között csak az asztal túloldaláról látszik.

Azt az elemzést azonban, amelyet Önnel együtt készítettünk — az Anrixban is —, nem ugyanaz a csapat auditálja. A saját munkáját nálunk senki sem auditálja.

Behatolásvizsgálatot és fenyegetésalapú behatolásvizsgálatot (TLPT) nem végzünk.

Sem az eszköz, sem a tanácsadó nem dönti el Ön helyett, melyik vagyonelem kritikus, és hogy elfogadható-e a maradványkockázat. Ez olyan döntés, amelyet a vezetés ír alá — és ennek így is kell lennie.