Postępowanie z ryzykiem: akceptacja, transfer, ograniczenie, unikanie

Po zidentyfikowaniu i przeanalizowaniu ryzyk organizacje muszą zdecydować, co z nimi zrobić. Postępowanie z ryzykiem to proces wyboru i wdrażania reakcji na każde ryzyko z uwzględnieniem jego prawdopodobieństwa, wpływu oraz kosztu usunięcia. Istnieją cztery powszechnie uznawane opcje postępowania: akceptacja, transfer, ograniczanie i unikanie. Żadna opcja nie jest zawsze właściwa — odpowiedni wybór zależy od kontekstu biznesowego, apetytu na ryzyko i dostępnych zasobów.

Ograniczanie ryzyka zmniejsza prawdopodobieństwo lub wpływ ryzyka poprzez wdrażanie zabezpieczeń. Jest to najczęściej stosowana opcja postępowania. Przykłady obejmują wdrożenie zapory sieciowej w celu zmniejszenia prawdopodobieństwa włamania do sieci, instalowanie poprawek w celu zamknięcia znanych podatności lub wdrożenie MFA w celu ograniczenia skutków kradzieży danych uwierzytelniających. Ograniczanie nie eliminuje ryzyka całkowicie — prowadzi do powstania ryzyka rezydualnego, które należy ponownie ocenić po zastosowaniu zabezpieczeń.

Transfer ryzyka przenosi finansowe konsekwencje ryzyka na stronę trzecią. Najczęstszym przykładem jest ubezpieczenie cybernetyczne — organizacja płaci składkę, a ubezpieczyciel pokrywa straty wynikające z objętych ochroną incydentów. Ryzyko można również przenieść na podstawie umowy: umowy dotyczące poziomu usług (SLA) z dostawcami chmury mogą przenosić odpowiedzialność za naruszenia danych na dostawcę, a klauzule odszkodowawcze w umowach mogą przenosić odpowiedzialność na partnerów biznesowych. Co ważne, transfer nie eliminuje samego ryzyka — przenosi jedynie ciężar finansowy.

Akceptacja ryzyka oznacza świadome tolerowanie ryzyka bez wdrażania dodatkowych zabezpieczeń, ponieważ koszt ograniczenia przewyższa oczekiwaną stratę lub ryzyko znajduje się poniżej progu ryzyka organizacji. Akceptacja musi być udokumentowaną, świadomą decyzją podjętą przez odpowiednią osobę uprawnioną (zwykle właściciela ryzyka lub członka kadry kierowniczej). Nieudokumentowana, dorozumiana akceptacja — ignorowanie ryzyka, ponieważ nikt nie zajął się jego usunięciem — nie jest tym samym co formalna akceptacja i prowadzi do ustaleń audytowych.

Unikanie ryzyka całkowicie eliminuje ryzyko poprzez rezygnację z działalności, która je powoduje. Na przykład organizacja może zdecydować, że nie będzie bezpośrednio przechowywać danych kart płatniczych — dzięki temu całkowicie unika zakresu PCI-DSS, przekazując obsługę wszystkich płatności kartą zewnętrznej usłudze tokenizacji. Unikanie jest właściwe, gdy ryzyko jest nieakceptowalnie wysokie i nie istnieje opłacalna możliwość jego ograniczenia ani transferu, ale może również oznaczać rezygnację z okazji biznesowej.

Wybór opcji postępowania wymaga porównania ekspozycji na ryzyko z kosztami reakcji. Jeśli ALE wynosi $50,000, a ograniczanie ryzyka kosztuje $10,000 rocznie, takie ograniczanie jest wyraźnie opłacalne. Jeśli ALE wynosi $5,000, a ograniczanie ryzyka kosztuje $30,000 rocznie, bardziej uzasadniona może być akceptacja lub transfer ryzyka. Organizacje uwzględniają również apetyt na ryzyko — poziom ryzyka, który kierownictwo jest gotowe tolerować — oraz tolerancję ryzyka, czyli dopuszczalne odchylenie od apetytu na ryzyko dla określonych kategorii ryzyka.

Apetyt na ryzyko to szeroko rozumiany, strategiczny poziom ryzyka, który organizacja jest gotowa zaakceptować w dążeniu do osiągnięcia swoich celów — często określany przez zarząd. Tolerancja ryzyka to dopuszczalne odchylenie w ramach określonych kategorii ryzyka. Organizacja może mieć niski ogólny apetyt na ryzyko, ale większą tolerancję ryzyka reputacyjnego w przypadku konkretnej linii produktów. Te progi określają, kiedy akceptacja ryzyka jest właściwa, a kiedy wymagane jest przekazanie sprawy wyżej.

Gdy nie można wdrożyć idealnego zabezpieczenia ograniczającego ryzyko — ze względu na koszty, ograniczenia techniczne lub starsze systemy — zabezpieczenie kompensacyjne zapewnia alternatywne zmniejszenie ryzyka. Jeśli na przykład stary system nie obsługuje MFA, funkcję kompensującą mogą pełnić intensywniejsze monitorowanie, izolacja sieci i dodatkowe rejestrowanie zdarzeń. Zabezpieczenia kompensacyjne są formalnie uznawane w PCI-DSS i innych standardach za prawidłowy sposób postępowania z ryzykiem, jeśli zostały udokumentowane wraz z uzasadnieniem i zatwierdzone przez odpowiednią osobę uprawnioną.

Po zastosowaniu dowolnego sposobu postępowania z ryzykiem prawie zawsze pozostaje pewien poziom ryzyka. Ryzyko rezydualne to ryzyko pozostałe po wdrożeniu zabezpieczeń. Właściciel ryzyka musi je formalnie potwierdzić i zaakceptować. Jeśli ryzyko rezydualne nadal przekracza dopuszczalny próg, konieczne są dodatkowe zabezpieczenia. Decyzje dotyczące postępowania z ryzykiem oraz poziomy ryzyka rezydualnego należy zapisywać w rejestrze ryzyka i przeglądać w określonych odstępach, szczególnie gdy zmienia się krajobraz zagrożeń.

Ramy zgodności ograniczają zakres dopuszczalnych sposobów postępowania z ryzykiem. HIPAA nie pozwala na uniknięcie przetwarzania chronionych informacji zdrowotnych — organizacje muszą je ograniczyć lub przenieść. PCI-DSS wymaga stosowania określonych zabezpieczeń niezależnie od analizy kosztów i korzyści. Zrozumienie tych ograniczeń pozwala uniknąć sytuacji, w której preferowany przez organizację sposób postępowania (na przykład zaakceptowanie luki w zabezpieczeniach) narusza wymóg regulacyjny, co może skutkować karami finansowymi lub utratą uprawnień do przetwarzania płatności kartowych.

Postępowanie z ryzykiem obejmuje również ryzyko związane z podmiotami zewnętrznymi i łańcuchem dostaw. Gdy dostawcy lub partnerzy mają dostęp do systemów albo danych, poziom ich bezpieczeństwa staje się częścią profilu ryzyka organizacji. Dostępne sposoby postępowania obejmują: zabezpieczenia umowne (przeniesienie), oceny bezpieczeństwa dostawców (ograniczenie), wybór alternatywnych dostawców (unikanie) lub formalną akceptację ryzyka z okresowymi przeglądami. Incydenty naruszenia bezpieczeństwa w łańcuchu dostaw (SolarWinds, XZ Utils) pokazują, dlaczego zarządzanie ryzykiem związanym z podmiotami zewnętrznymi jest ważnym zagadnieniem na egzaminie Security+.

Sprawdź swoją wiedzę na temat zagadnień CompTIA Security+ (SY0-701) z tej lekcji.

W tej lekcji dowiedzieli się Państwo, że: ograniczanie ryzyka zmniejsza prawdopodobieństwo wystąpienia ryzyka lub jego wpływ za pomocą zabezpieczeń, przeniesienie ryzyka przenosi konsekwencje finansowe na podmioty zewnętrzne, takie jak ubezpieczyciele, akceptacja ryzyka jest udokumentowaną decyzją o tolerowaniu ryzyka, a unikanie ryzyka eliminuje je przez zaniechanie danej działalności. Następnie omówimy najważniejsze ramy bezpieczeństwa: NIST RMF, ISO 27001 i CIS Controls.