apetyt na ryzyko

Apetyt na ryzyko to poziom i rodzaj ryzyka, jaki organizacja jest gotowa podejmować w dążeniu do swoich celów. Komisja Nadzoru Finansowego definiuje go w Rekomendacji Z z października 2020 roku jako „bieżącą i przyszłą gotowość banku do podejmowania ryzyka” ^[1]. NIST opisuje go jako ilość i rodzaj ryzyka, które organizacja jest skłonna podjąć, realizując swoje cele, i wskazuje, że ustala go najwyższe kierownictwo ^[3]. Apetyt na ryzyko nie jest liczbą z arkusza technicznego, lecz decyzją zarządu, która wyznacza granice dla wszystkich niższych decyzji o bezpieczeństwie.

Apetyt, tolerancja i akceptacja

Apetyt na ryzyko myli się często z pojęciami pokrewnymi. NIST rozróżnia apetyt, ustalany na poziomie całego przedsiębiorstwa, od tolerancji ryzyka, która zwykle dotyczy programu, celu lub komponentu i jest węższa ^[3]. NIST podaje przykład: stwierdzenie apetytu może brzmieć „poczta ma być dostępna przez zdecydowaną większość doby”, a odpowiadająca mu tolerancja „poczta nie może być przerwana na dłużej niż pięć minut w godzinach pracy” ^[3]. Starsza publikacja NIST SP 800-39 używała jednego terminu „risk tolerance” na oba pojęcia ^[3].

Polski Narodowy Standard Cyberbezpieczeństwa NSC 7298 nie ma hasła „risk appetite”. Ma natomiast „Risk Acceptance”, czyli akceptację ryzyka, oraz „Risk Tolerance”, tłumaczone jako tolerowanie ryzyka: decyzję o akceptacji poziomu ryzyka mimo że przekracza on dopuszczalny próg akceptacji ^[5]. Ryzyko, które pozostaje po zastosowaniu zabezpieczeń i zostaje zaakceptowane, opisuje hasło ryzyko szczątkowe.

Jak działa

Apetyt na ryzyko jest punktem odniesienia w całym procesie zarządzania ryzykiem. NIST opisuje sześć kroków: ustalenie kontekstu, identyfikację ryzyk, ich analizę, priorytetyzację, zaplanowanie i wykonanie reakcji oraz monitorowanie, które ma zapewnić, że ryzyko pozostaje w granicach określonego apetytu ^[3]. Schemat poniżej pokazuje ten cykl.

RYS. 1Apetyt na ryzyko w cyklu zarządzania ryzykiem

Wynik szacowania ryzyka porównuje się z tolerancją. NIST wymienia cztery rodzaje reakcji: akceptację ryzyka mieszczącego się w tolerancji, przeniesienie części skutków na inny podmiot, np. przez ubezpieczenie, ograniczenie ryzyka zabezpieczeniami i unikanie ryzyka ^[3]. Kluczowe wskaźniki ryzyka pokazują, gdzie tolerancja została przekroczona, a gdzie organizacja mieści się w apetycie ^[3]. Wyniki zapisuje się w rejestrze ryzyk.

NIST CSF 2.0 ujmuje to w funkcji Govern: stwierdzenia dotyczące apetytu i tolerancji ryzyka mają być ustanowione, komunikowane i utrzymywane ^[4].

Wymogi i nadzór

W sektorze finansowym apetyt na ryzyko jest obowiązkiem nadzorczym. Rekomendacja Z wymaga, by strategia zarządzania ryzykiem i apetyt na ryzyko były zakomunikowane wszystkim pracownikom banku ^[1]. Zasady wynagradzania nie powinny zachęcać do podejmowania ryzyka wykraczającego poza apetyt zatwierdzony przez radę nadzorczą ^[1]. Audyt ma badać, na ile ryzyko faktycznie ponoszone przez bank odpowiada zaakceptowanemu apetytowi ^[1].

Rozporządzenie DORA przenosi to pojęcie na ryzyko ICT. Strategia operacyjnej odporności cyfrowej ma ustalać limit tolerancji ryzyka związanego z ICT „zgodnie z gotowością podmiotu finansowego do podejmowania ryzyka” ^[2]. Za określenie odpowiedniego poziomu tolerancji ryzyka ICT odpowiada organ zarządzający ^[2].

Dyrektywa NIS2 i polska ustawa o krajowym systemie cyberbezpieczeństwa nie używają terminu „apetyt na ryzyko”. Wymagają jednak środków proporcjonalnych do ryzyka, a decyzje zarządu o tym, jakie ryzyko jest dopuszczalne, pełnią tę samą funkcję.

W WordPressie

Na poziomie pojedynczej strony apetyt na ryzyko widać w decyzjach, które właściciel podejmuje, często nie nazywając ich w ten sposób. Każda z nich to wybór między wygodą, kosztem a prawdopodobieństwem i skutkami incydentu.

Automatyczne aktualizacje. Od wersji 5.5 administrator może włączyć automatyczne aktualizacje każdej wtyczki i motywu osobno, a WordPress domyślnie uruchamia je dwa razy dziennie ^[6]. Włączenie ich dla wszystkich oznacza niski apetyt na ryzyko niezałatanej podatności we wtyczce i wyższy na ryzyko awarii po nieprzetestowanej wersji. Dokumentacja zaleca, by przed włączeniem upewnić się, że można przywrócić poprzednią wersję strony ^[6].

Liczba wtyczek i ich źródło. Każda wtyczka powiększa powierzchnię ataku. Organizacja o niskim apetycie ogranicza je do niezbędnych i utrzymywanych.

Kopie i odtwarzanie. Wybór częstotliwości kopii zapasowych (backup) wyraża, ile danych organizacja gotowa jest stracić, czyli RPO, a czas, jaki może trwać przywrócenie strony, to RTO. Sklep z zamówieniami co kilka minut ma zwykle mniejszy apetyt na utratę danych niż strona wizytówka.

Przeniesienie ryzyka. Część skutków można przenieść na ubezpieczyciela ^[3], zob. ubezpieczenie od ryzyk cybernetycznych.

Dobre praktyki

Apetyt na ryzyko powinien być zapisany, zatwierdzony przez zarząd i przekładalny na mierzalne tolerancje. NIST zaleca, by stwierdzenia o tolerancji miały, tam gdzie to możliwe, jasne i mierzalne granice, a wskaźniki ostrzegały o zbliżaniu się do nich ^[3]. Zmiany w otoczeniu, w tym w przepisach, mogą wymagać okresowego przeglądu apetytu i tolerancji ^[3]. Dla małej firmy wystarczy kilka zdań w polityce bezpieczeństwa, np. akceptowalny czas niedostępności sklepu i maksymalna utrata zamówień.