Szacowanie ryzyka dla systemu niejawnego krok po kroku

← Powrót do przewodnika: Dokumentacja SWB i PBE

Szacowanie ryzyka jest w dokumentacji systemu niejawnego czynnością obowiązkową, a nie dobrą praktyką. Ustawa wymienia jego wyniki jako element dokumentu i czyni je warunkiem każdej zmiany w systemie.

Dwa miejsca, w których wymaga tego ustawa

Art. 49 ust. 1 ustawy o ochronie informacji niejawnych każe zamieścić w SWB wyniki procesu szacowania ryzyka oraz określić przyjęte w ramach zarządzania ryzykiem sposoby osiągania i utrzymywania odpowiedniego poziomu bezpieczeństwa.

Art. 49 ust. 4 idzie dalej: podstawą dokonywania jakichkolwiek zmian w systemie jest przeprowadzenie procesu szacowania ryzyka.

Pierwszy przepis dotyczy startu, drugi całego życia systemu. Zarządzanie ryzykiem należy też do zadań pełnomocnika ochrony wymienionych w art. 15 ustawy, więc nie jest to zadanie wyłącznie techniczne.

Krok 1. Wyznacz granice

Nie da się oszacować ryzyka dla czegoś, czego zakres nie jest ustalony. Zanim padnie pierwsze zagrożenie, trzeba wiedzieć, co należy do systemu: które stanowiska, nośniki, pomieszczenia, urządzenia peryferyjne i którzy ludzie.

Ten krok wykonuje się raz, a oszczędza pracy przy każdym kolejnym.

Krok 2. Zinwentaryzuj zasoby

Zasobem jest wszystko, co ma wartość dla bezpieczeństwa przetwarzanych informacji:

• informacje: jakie zbiory, o jakiej klauzuli, w jakiej ilości,
• sprzęt: stanowiska, nośniki, urządzenia sieciowe, drukarki,
• oprogramowanie: system operacyjny, aplikacje, mechanizmy zabezpieczające,
• ludzie: role i przypisane im uprawnienia,
• pomieszczenia wraz z ich zabezpieczeniami.

Najwyższa klauzula w zbiorze informacji wyznacza poprzeczkę dla całego systemu. To ona decyduje o trybie akredytacji.

Krok 3. Wskaż zagrożenia i podatności

Zagrożenie to zdarzenie, które może wyrządzić szkodę. Podatność to słabość, która mu to ułatwia. Ryzyko powstaje dopiero z ich połączenia.

Warto rozdzielić trzy grupy zagrożeń, bo łatwo poprzestać na pierwszej:

Techniczne: awaria nośnika, błąd konfiguracji, złośliwe oprogramowanie wniesione na nośniku.

Fizyczne: dostęp osoby nieuprawnionej do pomieszczenia, kradzież sprzętu, podgląd ekranu, zalanie, pożar.

Ludzkie i organizacyjne: pomyłka użytkownika, obejście procedury dla wygody, nieodebrane uprawnienia po zmianie stanowiska, celowe działanie osoby uprawnionej.

Ostatnia grupa bywa pomijana, a odpowiada za znaczną część realnych incydentów.

Krok 4. Oszacuj poziom ryzyka

Poziom ryzyka wynika z połączenia prawdopodobieństwa zdarzenia i skutków, jakie wywoła. Ustawa nie narzuca metody, więc jednostka wybiera taką, którą potrafi stosować powtarzalnie.

Skala trzy- lub pięciostopniowa jest zwykle wystarczająca. Ważniejsze od jej rozdzielczości jest, żeby kryteria były opisane: co znaczy skutek wysoki, a co średni. Bez tego dwie osoby oceniające to samo ryzyko dostaną dwa różne wyniki, a rok później nikt nie odtworzy toku rozumowania.

Przy skutkach warto pamiętać, że punktem odniesienia jest definicja z art. 1 ust. 1 ustawy: szkoda dla Rzeczypospolitej Polskiej, a nie strata operacyjna jednostki.

Krok 5. Zdecyduj, co z ryzykiem zrobić

Możliwości są cztery i wszystkie są dopuszczalne, o ile są świadome i zapisane:

• ograniczyć, wprowadzając zabezpieczenie,
• przenieść, na przykład na wykonawcę zewnętrznego w umowie,
• unikać, rezygnując z rozwiązania, które je generuje,
• zaakceptować, jeśli poziom jest niski, a koszt ograniczenia niewspółmierny.

Akceptacja jest decyzją, więc musi mieć autora. W jednostce organizacyjnej odpowiedzialność za ochronę informacji niejawnych spoczywa na kierowniku, co wynika z art. 14 ust. 1 ustawy, więc to on akceptuje ryzyko szczątkowe.

Krok 6. Opisz ryzyko szczątkowe

Ryzyko szczątkowe to to, co zostaje po zastosowaniu zabezpieczeń. Zawsze coś zostaje, a dokument, który tego nie pokazuje, wygląda na niedokończony albo nieszczery.

Ta część bywa najkrótsza i jest jedną z ważniejszych: pokazuje, że jednostka wie, gdzie leżą jej granice.

Krok 7. Powiąż wyniki z zabezpieczeniami

To krok, który zamienia analizę w dokument zgodny z art. 49 ust. 1. Każdy środek opisany w SWB powinien dać się przypisać do ryzyka, które ogranicza, i odwrotnie: każde istotne ryzyko powinno mieć wskazaną odpowiedź.

Najprostszą formą jest tabela z trzema kolumnami: ryzyko, zabezpieczenie, ryzyko szczątkowe. Oceniający czyta ją w minutę, a jej brak zmusza go do szukania powiązań samodzielnie.

Kiedy powtarzać

Zawsze przed zmianą w systemie, bo tak stanowi art. 49 ust. 4. Poza tym okresowo, w rytmie zapisanym w dokumentacji, oraz po każdym incydencie, bo incydent jest dowodem, że jakieś ryzyko oszacowano zbyt nisko albo przeoczono.

Podsumowanie

Szacowanie ryzyka nie jest rozdziałem, który dopisuje się na koniec, żeby dokument wyglądał kompletnie. Jest osią, wokół której powstaje reszta: bez niego zabezpieczenia są zbiorem przyzwyczajeń, a nie odpowiedzią na konkretne zagrożenia.

Potrzebujecie przeprowadzić szacowanie ryzyka albo zweryfikować już wykonane? Napiszcie do nas.