rejestr ryzyk

Rejestr ryzyk to prowadzony na bieżąco wykaz zidentyfikowanych ryzyk wraz z ich oceną, właścicielem, planowaną reakcją i stanem realizacji. NIST, powołując się na okólnik OMB A-11, definiuje go jako repozytorium informacji o ryzyku, w tym danych zebranych o ryzykach w czasie ^[2]. Według NIST IR 8286r1 rejestr jest kluczowym dokumentem, w którym śledzi się i komunikuje informacje o ryzyku na każdym etapie zarządzania nim ^[1]. Ten sam dokument przytacza definicję ISO: zapis informacji o zidentyfikowanych ryzykach, nazywany też dziennikiem ryzyka ^[1].

Jak działa

Rejestr nie jest analizą, lecz jej trwałym zapisem. Wpisy powstają w toku szacowania ryzyka, a potem są aktualizowane przy każdym przeglądzie. NIST opisuje, że rejestr wypełnia się informacjami w miarę postępu kolejnych kroków, a po wdrożeniu uzgodnionej reakcji stan po zmianach staje się stanem bieżącym i cykl zaczyna się od nowa ^[1]. Schemat poniżej pokazuje ten obieg.

RYS. 1Obieg wpisu w rejestrze ryzyk

Każdy wpis opisuje ryzyko jako scenariusz. NIST zaleca, by scenariusz cyberbezpieczeństwa obejmował źródło zagrożenia, zdarzenie, wykorzystaną podatność, zagrożone zasoby i szkodliwy skutek ^[1]. Okólnik OMB A-11, cytowany przez NIST, wymienia typową zawartość rejestru: opis ryzyka, skutek, prawdopodobieństwo, strategie ograniczania, właścicieli i ranking priorytetów ^[1].

Składniki

NIST IR 8286r1 podaje wzorcowy szablon rejestru ryzyk cyberbezpieczeństwa (CSRR) ^[1]. Zastrzega, że rzeczywisty rejestr może mieć więcej albo mniej pól, ale model powinien być stosowany spójnie i iteracyjnie ^[1].

NIST wymienia cztery typy reakcji na ryzyko negatywne: akceptację, przeniesienie, ograniczenie i unikanie ^[1]. Akceptacja dotyczy ryzyk mieszczących się w tolerancji; przeniesienie oznacza podział skutków z inną stroną, na przykład przez ubezpieczenie od ryzyk cybernetycznych ^[1]. Granice akceptacji wyznacza apetyt na ryzyko. To, co zostaje po wdrożeniu zabezpieczeń, to ryzyko szczątkowe.

Szczegóły, które nie mieszczą się w tabeli, trafiają do osobnego zapisu szczegółowego. Dzięki temu rejestr pozostaje podsumowaniem, a nie obszernym raportem; zapis może być dokumentem, wpisem w bazie wiedzy albo rekordem w aplikacji GRC ^[1].

Znaczenie

Rejestr łączy poziom techniczny z decyzjami zarządu. NIST zaleca, by każdy system o wysokiej wartości i każda organizacja miały własny rejestr, a ich treść była agregowana, normalizowana i priorytetyzowana na wyższych szczeblach ^[1]. Z najważniejszych pozycji powstaje profil ryzyka przedsiębiorstwa ^[1].

NIST Cybersecurity Framework w wersji 2.0 z 26 lutego 2024 roku wymienia rejestr ryzyk jako przykład planu działań, który zamyka lukę między profilem bieżącym a docelowym ^[3]. Rezultat ID.RA-06 wymaga, by reakcje na ryzyko były wybierane, priorytetyzowane, planowane, śledzone i komunikowane ^[3], a GV.RM-06 — ustalonej metody obliczania, dokumentowania, kategoryzowania i priorytetyzowania ryzyk ^[3]. Rejestr jest naturalnym miejscem, w którym widać spełnienie obu wymagań.

W Unii Europejskiej art. 21 dyrektywy NIS2 wymienia wśród minimalnych środków politykę analizy ryzyka i bezpieczeństwa systemów informatycznych ^[4]. Dyrektywa nie nazywa rejestru wprost, ale udokumentowana analiza ryzyka bez niego jest trudna do wykazania. Podobną rolę pełni on w systemach zgodnych z ISO/IEC 27001.

W WordPressie

Dla właściciela strony na WordPressie rejestr ryzyk bywa jedną tabelą w arkuszu. Wpisy zwykle wynikają z kilku stałych źródeł zagrożeń.

• Nieaktualne oprogramowanie. Dokumentacja WordPressa przypomina, że starsze wersje nie otrzymują poprawek bezpieczeństwa ^[5]. Wpis może dotyczyć rdzenia albo konkretnej porzuconej wtyczki.
• Błędy we wtyczkach. Podatność we wtyczce to najczęstszy scenariusz. Przykładem jest kampania z czerwca 2023 roku przeciw wtyczce Ultimate Member, poniżej wersji 2.6.7, z ponad 200 000 aktywnych instalacji, w której atakujący rejestrowali konta z uprawnieniami administratora ^[6].
• Uprawnienia w panelu. Stała DISALLOW_FILE_EDIT odbiera wszystkim użytkownikom możliwość edycji plików motywów i wtyczek z panelu ^[5]. Brak tej stałej to typowe ryzyko do zapisania i obniżenia.
• Utrata danych. Dokumentacja zaleca regularną kopię zapasową (backup), w tym bazy MySQL ^[5].

Wpis dla przypadku Ultimate Member mógłby wyglądać tak: scenariusz „przejęcie strony przez rejestrację konta administratora”, właściciel — osoba utrzymująca stronę, reakcja — ograniczenie przez aktualizację do 2.6.7 i przegląd kont administratorów, zgodnie z zaleceniami WPScan ^[6], status — zamknięte po weryfikacji.

Dobre praktyki

• Opisywać ryzyko jako scenariusz, a nie jako hasło w rodzaju „hakerzy”. NIST zaleca wspólne sformułowania, w których każdy scenariusz zawiera zagrożenie, zasób, metodę i skutek ^[1].
• Przypisać każdemu wpisowi jednego właściciela. W szablonie NIST właściciel odpowiada za utrzymanie ryzyka zgodnie z wymaganiami organizacji ^[1].
• Wiązać rejestr z innymi procesami: zarządzaniem podatnościami, zarządzaniem ryzykiem dostawców (TPRM) i analizą wpływu na działalność.
• Nie czekać z oczywistymi poprawkami, aż rejestr będzie kompletny. NIST wprost dopuszcza wcześniejsze usuwanie oczywistych problemów, ale z czasem rejestr powinien stać się zwykłym kanałem komunikowania ryzyka ^[1].
• Aktualizować rejestr przy każdej zmianie. Przegląd po incydencie albo po modelowaniu zagrożeń często dodaje nowe wpisy.

Historia i przykłady

Pierwsze wydanie NIST IR 8286 ukazało się w październiku 2020 roku. Zastąpiła je rewizja NIST IR 8286r1 z grudnia 2025 roku, zatwierdzona przez komisję redakcyjną NIST 18 listopada 2025 roku ^[1]. Rewizja utrzymuje rejestr ryzyk cyberbezpieczeństwa jako główne narzędzie przekazywania informacji z zarządzania ryzykiem cyberbezpieczeństwa do zarządzania ryzykiem przedsiębiorstwa ^[1].