Jednym z najważniejszych elementów Systemu Zarządzania Bezpieczeństwem Informacji jest analiza ryzyka. Dla osób, które wcześniej nie zajmowały się cyberbezpieczeństwem, pojęcie to może brzmieć skomplikowanie. W rzeczywistości chodzi o odpowiedź na kilka praktycznych pytań: co może pójść nie tak, jakie będą tego skutki i co urząd powinien zrobić, aby ograniczyć zagrożenie.
Czym jest ryzyko w bezpieczeństwie informacji?
Każdy urząd codziennie podejmuje decyzje związane z ryzykiem, nawet jeśli nie używa tego określenia.
Kiedy pracownik zabezpiecza ważne dokumenty w zamykanej szafie, ogranicza ryzyko dostępu osób nieuprawnionych. Gdy informatyk wykonuje kopię zapasową, zmniejsza możliwe skutki utraty danych. Z kolei wyznaczenie osoby zastępującej nieobecnego pracownika pozwala ograniczyć ryzyko przerwania określonych czynności.
Analiza ryzyka polega na uporządkowaniu takiego myślenia. Urząd rozpoznaje zagrożenia, ocenia ich znaczenie i decyduje, jakie zabezpieczenia są potrzebne.
Nie chodzi o przewidzenie każdego możliwego problemu. Ważne jest rozpoznanie sytuacji, które mogą szczególnie utrudnić realizację zadań publicznych.
Od czego rozpocząć analizę ryzyka?
Najpierw trzeba ustalić, jakie informacje, systemy i procesy są istotne dla funkcjonowania urzędu.
Mogą to być systemy obsługi podatków, elektroniczny obieg dokumentów, poczta służbowa, dokumentacja kadrowa, rejestry publiczne czy usługi świadczone przez zewnętrznych dostawców.
Warto pamiętać, że nie wszystkie zasoby mają postać elektroniczną. Dokumenty papierowe, klucze do pomieszczeń, nośniki danych i wiedza osób wykonujących kluczowe zadania również mogą mieć znaczenie dla bezpieczeństwa.
Następnie należy ustalić, kto najlepiej zna dany obszar. W przypadku systemu podatkowego będzie to zwykle właściwy kierownik referatu wspierany przez informatyka. Nie wystarczy bowiem znać parametry techniczne systemu. Trzeba również rozumieć, do czego jest wykorzystywany i co się stanie, jeśli przestanie działać.
Przykład: co może zagrozić pracy referatu podatkowego?
Załóżmy, że urząd korzysta z systemu informatycznego do obsługi podatków lokalnych. Pracownicy wykorzystują go do sprawdzania danych podatników, naliczania należności i przygotowywania dokumentów.
Pierwszym zagrożeniem może być awaria serwera. Jeżeli system przestanie działać, część pracowników nie będzie mogła wykonywać swoich obowiązków. W określonych okolicznościach mogą pojawić się opóźnienia w realizacji spraw.
Drugim zagrożeniem jest nieuprawniony dostęp do danych. Może wynikać z przejęcia konta pracownika, błędnie przydzielonych uprawnień lub niewłaściwego zabezpieczenia systemu.
Trzecim problemem może być utrata danych spowodowana awarią, przypadkowym usunięciem informacji lub atakiem cyberprzestępców. Jeśli urząd nie ma odpowiednich kopii zapasowych, przywrócenie prawidłowej pracy może okazać się bardzo trudne.
Już tak prosta analiza pozwala wskazać kilka potrzebnych działań: kontrolowanie uprawnień, wykonywanie i testowanie kopii zapasowych oraz przygotowanie zasad postępowania podczas awarii.
Jak ocenić, które zagrożenia są najważniejsze?
Nie każde zagrożenie wymaga takiej samej reakcji. Urząd musi więc ustalić priorytety.
Pomocna może być ocena prawdopodobieństwa wystąpienia problemu oraz jego możliwych skutków. Nie trzeba od razu stosować zaawansowanych obliczeń. W mniejszej jednostce wystarczająca może być prosta, konsekwentnie stosowana metoda oparta na poziomach niskim, średnim i wysokim.
Przykładowo, drobna awaria urządzenia biurowego może mieć ograniczone konsekwencje, jeśli dostępne jest inne stanowisko pracy. Natomiast niedostępność jedynego systemu obsługującego ważny proces może spowodować poważne zakłócenia.
Ocena powinna uwzględniać rzeczywistą sytuację urzędu. To samo zagrożenie może mieć różne znaczenie w dwóch jednostkach, które korzystają z innych systemów i inaczej organizują pracę.
Co zrobić z wynikami analizy?
Samo rozpoznanie zagrożeń nie wystarczy. Najważniejsze jest podjęcie decyzji, co urząd zamierza z nimi zrobić.
W niektórych przypadkach konieczne będzie wdrożenie dodatkowych zabezpieczeń. Może to oznaczać zmianę zasad nadawania dostępu, zakup potrzebnego urządzenia, aktualizację systemu lub przygotowanie procedury awaryjnej.
Część ryzyka można ograniczyć poprzez odpowiednie zapisy w umowie z dostawcą usług. Inne zagrożenia mogą zostać zaakceptowane przez uprawnione kierownictwo, jeśli ich poziom mieści się w przyjętych granicach.
Ważne, aby decyzje były świadome i odpowiednio udokumentowane. Jeśli analiza wykaże poważne zagrożenie, powinno być wiadomo, kto odpowiada za jego ograniczenie i jakie działania zostały zaplanowane.
Dlaczego analizę ryzyka trzeba aktualizować?
Urząd nie funkcjonuje w niezmiennych warunkach. Pojawiają się nowe systemy, zmieniają się pracownicy, dostawcy usług i sposoby obsługi mieszkańców.
Każda taka zmiana może wpływać na poziom bezpieczeństwa. Przykładowo wdrożenie nowej aplikacji dostępnej przez internet może wymagać ponownego sprawdzenia zasad dostępu i zabezpieczenia danych.
Dlatego analiza ryzyka nie powinna być dokumentem przygotowanym raz na kilka lat i odłożonym do archiwum. Należy ją przeglądać regularnie oraz po istotnych zmianach i incydentach.
W dobrze działającym SZBI analiza ryzyka pomaga podejmować rozsądne decyzje. Pozwala skupić czas i środki tam, gdzie są najbardziej potrzebne, zamiast wdrażać przypadkowe zabezpieczenia.
Najważniejsze jest nie to, jak skomplikowana jest metoda analizy, lecz czy jej wyniki pomagają urzędowi skuteczniej chronić informacje i realizować swoje zadania.
W ostatniej części cyklu pokażemy, jak połączyć wszystkie opisane elementy w jeden plan wdrożenia SZBI, rozpisany na pierwsze 90 dni prac.