Mjera 3 iz Priloga II. Uredbe traži dokumentiran proces upravljanja rizicima s procjenom, razinama, vlasnicima i planom obrade. Većina organizacija ima dokument koji tako izgleda. Manjina ima dokument koji izdrži pitanja.
Ovo su obrasci koji se ponavljaju, poredani po tome koliko brzo se primijete.
1. Registar nije povezan s inventarom imovine
Rizik glasi "gubitak podataka" ili "kibernetički napad", bez naznake na kojoj imovini. Takav zapis ne može se ni tretirati ni verificirati - ne zna se što se štiti, ni kad je rizik prestao postojati.
Uredba procjenu rizika izrijekom veže uz imovinu iz inventara kritične imovine. Ako registar rizika i registar imovine nemaju zajedničku referencu, dvije mjere koje trebaju stajati jedna na drugoj stoje jedna pored druge.
Uzmite nasumičan redak iz registra rizika i pokušajte pronaći odgovarajuću stavku u inventaru imovine. Ako to traje dulje od minute, veza ne postoji.
2. Rizici nemaju vlasnika, nego odjel
U stupcu vlasnika piše "IT" ili "Informatika". Odjel ne može donijeti odluku o prihvaćanju rizika, ne može biti pozvan na odgovornost i ne može izvijestiti upravu. Uredba traži identifikaciju vlasnika rizika i njihovo područje odgovornosti - to znači osobu s imenom.
Posljedica je predvidljiva: rizik čiji je vlasnik odjel ostaje otvoren godinama jer nitko pojedinačno ne kasni.
3. Ocjena postoji, obrazloženje ne
Vjerojatnost 3, utjecaj 4, razina visoka. Zašto 3, a ne 2? Kad je zadnji put preispitano? Bez traga rasuđivanja, ocjena je broj koji se ne može ni obraniti ni osporiti.
Ovo posebno smeta kod samoprocjene, gdje se svaka ocjena mora moći obrazložiti dokazom. Registar rizika u kojem su ocjene nastale na sastanku bez zapisnika stvara isti problem na višoj razini.
4. Plan obrade je popis želja
Mjere obrade formulirane su kao "unaprijediti nadzor" ili "razmotriti dodatnu zaštitu", bez roka, vlasnika i procjene resursa. To nije plan obrade nego evidencija dobrih namjera.
Uredba traži da odgovor na rizik bude razmjeran razini i kritičnosti, uz odgovarajuće tehničke, operativne i organizacijske mjere. Razmjernost se ne može ocijeniti ako mjera nije konkretna.
- Loše: "poboljšati upravljanje pristupom"
- Dobro: "uvesti višefaktorsku autentifikaciju za sve administratorske račune, vlasnik M. K., rok 31. 3., procjena 12 radnih dana"
5. Registar se ne mijenja
Najjasniji signal da sustav ne živi. Ista trideset i dva rizika, iste ocjene, jedina promjena je datum u zaglavlju. Uredba traži ažuriranje procesa na godišnjoj osnovi, ali sadržajno ažuriranje znači nešto drugo: novi rizici ulaze, riješeni se zatvaraju, ocjene se mijenjaju kad se promijeni okolnost.
Registar koji se nije promijenio nakon uvođenja novog sustava, nakon promjene dobavljača ili nakon incidenta govori da se ne koristi u odlučivanju, nego se održava zbog provjere.
Što razlikuje registar koji prolazi
Ne opseg. Vidjeli smo registre sa stotinu redaka koji ne prolaze i registre s dvadeset pet koji prolaze bez primjedbe. Razlikuje ih pet stvari:
- Svaki rizik pokazuje na imovinu iz inventara.
- Svaki rizik ima osobu kao vlasnika.
- Svaka ocjena ima kratko obrazloženje i datum.
- Svaka mjera obrade ima rok, vlasnika i procjenu resursa.
- Postoji trag da se registar mijenjao, s razlogom promjene.
Peta stavka je ujedno i najteža za retroaktivno proizvesti, što je i razlog zašto se registar rizika ne isplati ostavljati za kraj projekta usklađivanja.
Registar rizika je ulaz u nekoliko drugih mjera: određuje razinu provedbe kod uvjetnih kontrola, utemeljuje odabir mjera u planu usklađivanja i povezuje se s procjenom rizika trećih strana iz mjere 8. Slab registar rizika ne pada sam - povuče za sobom sve što se na njega poziva.
Izvori
Ne znate gdje stojite?
Pola sata razgovora i ništa vas ne obvezuje. Kad završimo, znate što trebate napraviti i kojim redom.