Odhad rizik (Risk assesment)

stejne jako kazda cinnost, i provozovani systemu pro spravu informaci je spojeno s jistym rizikem (chyba zarizeni, obsluhy, programu, vandalismus, kradez, ...)

provedeni kvalifikovaneho odhadu rizik prinasi:

• zlepseni obecneho povedomi - pracovnici si problem uvedomi a maji sanci jej pochopit
• identifikace hodnot, slabin a moznych kontrol celeho systemu - ne vzdy je jasne, ktere casti systemu maji nejvetsi hodnotu, odkud prameni nejvetsi nebezpeci
• zlepseni vychodiska pro strategicka rozhodnuti - nektere ochranne a kontrolni mechanismy velmi snizuji produktivitu systemu pricemz jejich prinos neni zrejmy, ruzne druhy nebezpeci jsou ruzne realne a predstavuji mnohdy daleko vetsi hrozbu, nez by se dalo ocekavat
• lepsi rozlozeni vydaju na bezpecnost - nektere velmi drahe ochranne mechanismy poskytuji pouze male zvyseni bezpecnosti a popripade i naopak

Vlastni provedeni odhadu rizik lze rozdelit do nekolika kroku:

1. Identifikace hodnot
2. Urceni slabin
3. Odhad pravdepodobnosti zneuziti
4. Vypocet ocekavanych rocnich ztrat
5. Prehled pouzitelnych ochrannych mechanismu
6. Nastin rocnich uspor ze zavedeni ochrannych mechanismu

ad) Identifikace hodnot

presnejsi vysledek docilime scitanim po jednotlivych kategoriich, napr

• hardware - pocitace, monitory, pasky, tiskarny, disky, komunikacni media, ...
• software - operacni system, koupene programy, vlastni zdrojove kody, knihovny
• data - vlastni ulozena data, logy, archivni kopie, listingy, ...
• lide - pracovnici potrebni k spravnemu chodu systemu, spravci, programatori
• dokumentace - programu, technickeho vybaveni, systemu, administrativni postupy
• spotrebni material - papir, diskety, tonery, pasky do tiskaren, ...

v podstate jde i zevrubnou inventarizaci celeh systemu, cena nekterych casti muze byt pouze velmi priblizne odhadnuta a i takovy odhad muze byt velmi obtizny

ad) Urceni slabin

• dopad prirodnich katastrof - pozar, vichrice, zaplavy, vypadky napajeni, selhani techniky
• poskozeni tretimi osobami - pristupy po siti, vytacena spojeni, hackeri, kolem-jdouci, lide zkoumajici odpad firmy
• nasledky zlomyslnych pracovniku - zklamani pracovnici, uplatkarstvi, zvedavci
• dusledky neumyslnych chyb - zadani spatnych prikazu, vadnych dat, skartace spatnych dokumentu, kompromitace tajnych materialu

zjistovani techto faktu lze provadet formou dotazniku, ktery vyplni zainteresovani pracovnici:

Dotaznicek
Hodnota	Utajeni	Integrita	Dostupnost
Hardware		pretizeni, zniceni, poskozeni
Software	odcizen, kopirovan	modifikovan	smazan, presunut
Data	zpristupnena vne firmy	znicena chybou SW ; lidi	smazana
Lide			unava, nemoc
Dokumentace			ztracena, odcizena
Material			odcizen, znicen

ad) Odhad pravdepodobnosti zneuziti

jde o to zjistit, jak casto dojde ke zneuziti nektere z expozic systemu

ucineni techto odhadu muze byt velmi obtizne, lze pouzit nekterou z metod:

• Odhad na zaklade obecnych dat - napr. pojistovny maji rozsahle zaznamy o poctu katastrof a o prumernych zpusobenych skodach, o poctu vloupani, podvodu. Vyrobci maji prehled o zivotnosti a poctu selhani zarizeni, ...
• Odhad na zaklade vlastnich dat - za dobu cinnosti firmy vznikle zaznamy o zavadach zarizeni, poctech vadnych loginu, ...
• Odhad poctu vyskytu udalosti za urcite casove obdobi - napr, na zaklade poctu vyskytu teto udalosti za poledni dva roky
• Bodovaci system poctu vyskytu udalosti - napr dle tabulky
  

• Delfska metoda - okruh hodnotitelu provede hodnoceni dane veliciny. Pote je kazdy seznamen s vysledky ostatnich a upravi sve hodnoceni. Pokud jsou upravena hodnocceni podobna, mame vysledek, v opacnem pripade vysledek vznikne dohodou hodnotitelu.

ad) Vypocet ocekavanych rocnich ztrat

je nejproblematictejsi krok analyzy, zatimco cenu vymeny soucastek lze snadno zjistit, je daleko obtiznejsi vycislit nedostunost (i jen docasnou) casti dat

mnohe fitmy udrzuji o svych zakaznicich velmi duverna osobni data (nemocnice, banky, pojistovny), je obtizne odhadnout ztraty zpusobene vyzrazenim techto dat

je takrka nemozne vycislit ztratu zpusobenou nedostupnosti obsluhy v okamziku selhani systemu udrzujiciho zivotni funkce pacienta

je treba najit odpoved na nasledujici okruhy otazek:

• Jake pravni normy chrani utajeni a integritu dat?
• Muze uvolneni danych dat predstavovat poskozeni osoby, nebo organizace?
• Muze neautorizovany pristup k datum zpusobit ztratu obchodnich prilezitosti? Muze tak utocnik ziskat vyhodu, kolik predstavuji ocekavane ztraty?
• Psychologicky efekt ztraty dostupnosti? Ztrata duveryhodnosti, dobreho jmena, ... Kolika zakazniku se zaleztost tyka, jaky je jejich prinos pro firmu?
• Jaka je cena pristupu k programum, lze pocitani odlozit, nebo provest jinde? Cena tohoto reseni?
• Kolik je utocnik ochoten zaplatit za ziskani pristupu k nasim datum a programum?Jakou pro neho predstavuji hodnotu?
• Dopad ztraty dat: co tostoji, lze data nahradit nebo rekonstruovat, za jak dlouho, za kolik?

Kvalifikovany odhad ztrat byva vyssi, nez se obvykle predpoklada, muze problemu ochrany zajistit potrebnou pozornost. LZe rovnez vytycit okruhy bezpecnosti, kterym je treba se zvlaste venovat.

vypocet je na zaklade predchozich zkoumani, vzdy nasobime pravdepodobnost nektere ze ztrat s jeji hodnotou, vysledny soucet techto nasobku predstavuje odhad rocnich ztrat

ad) Prehled pouzitelnych ochrannych mechanismu

pokud vycisleny odhad ztrat je prilis vysoky, je treba zavest nove ochranne mechanismy

muzeme probrat jednotlive expozice systemu a zkoumat moznosti jejich pokryti, nebo naopak mezi vsemi ochrannymi mechanismy hledat nejaky, ktery by resil nas problem

vysledkem je seznam navrhovanych opatreni

ad) Nastin rocnich uspor ze zavedeni ochrannych mechanismu

muzeme spocitat, o kolik se snizi odhad ocekavanych ztrat, vime, jaka je cena zavedeni novych ochrannych mechanismu, z techto hodnot lze ziskat odhad celkovych uspor.

Nedostatky odhadu rizik

nedostatecne presny - velka cast zpracovavanych hodnot muze byt pouze zhruba odhadnuta, vysledky jsou pouze statisticke

klamny pocit presnosti - absolutni velikot vlastnich vypoctenych hodnot byva precenovana, dulezitejsi je jejich vzajemny vztah

nepruznost - analyza rizik by mela byt provadena opakovane, je vsak tendence i pri novych zpracovanich pouzivat hodnoty obdobne hodnotam z minulych let

Navrh bezpecnostniho planu

bezpecnostni plan popisuje, jak dana organizace pristupuje k otazkam bezpecnosti

plan musi byt dostatecne casto revidovan a musi byt zkoumano jeho dodrzovani

vypracovanim planu byva poverena skupina odborniku pokud mozno ze vsech dulezitych organizacnich struktur firmy, velikost a struktura tohoto tymu zavisi na velikosti firmy

soucasti bezpecnostniho planu:

Bezpecnostni politika

vyjadruje vuli pracovat na dosazeni jisteho stupne bezpecnosti

• popis celkovych cilu bezpecnostnich aktivit - napr ochrana dat pred katastrofami, pred uniky mimo organizaci, apod.
• kdo ma zodpovednost za udrzeni bezpecnosti - povereny pracovnik, vedeni, vsichni
• zavazky organizace na udrzeni bezpecnosti - pocet vyclenenych pracovniku, minimalni vydaje do teto oblasti

Popis soucasneho stavu

popis obsahuje seznam hodnot systemu, soupis hrozeb pro tyto hodnoty a pouzivane ochranne mechanismy

dale je popsan zpusob ziskavani a vstupni validace dat, pripadne predpoklady o jejich vlastnostech

mely by byt popsany metody odhalovani slabin systemu, popisy akci, ktere je treba podniknout v pripade odhaleni nove slabiny

Doporuceni

seznam dalsich bezpecnostnich opatreni, ktere je treba prijmout k doplneni, nebo nahrazeni socasnych mechanismu

soucasti by mel byt rozbor nakladu a ztrat

seznam by mel byt serazen podle nalehavosti navrhovanych opatreni, navrhovana by mela byt pouze opatreni, jejichz celkovy efekt neni zaporny

Odpovednost za implementaci

je treba urcit konkretni osoby zodpovedne za zavedeni a provozovani konkretnich bezpecnostnich mechanismu, temto lidem dukladne vysvetlit jejich ukol a duvody

tez je nutne navrhnout zpusob hodnoceni splneni techto ukolu

mozne rozdeleni zodpovednosti:

• uzivatele osobnich pocitacu - kazdy ruci za svuj pocitac
• administrator databazoveho systemu - zodpovida za pristup k datum a jejich integritu
• firma muze poverit zvlastniho pracovnika zodpovedneho za vytvoreni obecnych pravidel prace s daty a jejich uvolnovani ci ruseni
• pracovnici osobnih oddeleni zodpovidaji za prijeti duveryhodnych a spolehlivych pracovniku

Casovy rozvrh

nektera opatreni mohou byt prilis nakladna, nebo slozita, nez aby mohla byt zavedena naraz

musi existovat plan, do kdy budou ktera opatreni zavedena, pripadne nejzajsi terminy splneni jednotlivych fazi bezpecnostniho planu

tez poradi zavadeni opatreni muze byt dulezite

Soustavna pozornost

je treba jiz v planu stanovit termin, kdy musi byt provedeno nove zhodnoceni bezpecnostni situace a overeni funkcnosti bezpecnostnich aktivit

ziskana oceneni hodnot a bezpecnostnich rizik musi byt prubezne aktualizovana

Zavazek dodrzovani bezecnostniho planu

vsichni pracovnici by meli byt s bezpecnostnim planem seznameni a mela by jim byt vysvetlena jeho dulezitost i jejich role v ramci planu

podstatne je, aby vedeni organizace prijalo zavazek, ze bude poskytovat dostatecnou podporu provadeni bezpecnostniho planu