ryzyko szczątkowe

Ryzyko szczątkowe to ryzyko, które pozostaje po wdrożeniu zabezpieczeń i które trzeba świadomie zaakceptować, przenieść, na przykład ubezpieczyć, albo dalej ograniczać. NIST definiuje je jako część ryzyka pozostającą po zastosowaniu środków bezpieczeństwa ^[1]. Polski słownik NSC 7298 ujmuje to krótko: ryzyko po wdrożeniu zabezpieczeń ^[3]. Pojęcie wynika z prostego faktu, który Sekurak streszcza tak: nawet gigantycznymi środkami nie wyeliminuje się wszystkich możliwych problemów bezpieczeństwa ^[7].

Jak działa

Ryzyko szczątkowe jest wynikiem procesu, a nie osobnym rodzajem zagrożenia. Najpierw szacowanie ryzyka ustala ryzyko wyjściowe: jakie zagrożenia mogą wykorzystać jakie podatności i z jakim skutkiem. Potem dobiera się zabezpieczenia. To, co zostaje po ich wdrożeniu, jest ryzykiem szczątkowym, i ono trafia do decyzji kierownictwa.

RYS. 1Miejsce ryzyka szczątkowego w zarządzaniu ryzykiem

Polska wersja ram zarządzania ryzykiem, NSC 800-37 z 1 września 2021 roku, podkreśla, że niezależnie od reakcji na ryzyko pozostaje pewien stopień ryzyka rezydualnego, a organizacje określają dopuszczalne stopnie ryzyka szczątkowego w oparciu o tolerancję ryzyka organizacyjnego ^[4]. Ten sam dokument przewiduje, że wykryte braki osoba autoryzująca albo akceptuje jako ryzyko szczątkowe, albo usuwa ^[4]. Górną granicę akceptacji wyznacza apetyt na ryzyko organizacji.

Przykład: sklep na WordPressie ocenia ryzyko przejęcia panelu przez atak siłowy jako wysokie. Po włączeniu uwierzytelniania dwuskładnikowego (2FA) i limitu prób logowania prawdopodobieństwo spada, ale nie do zera, bo zostają kradzież sesji i phishing w czasie rzeczywistym. Ta pozostała część jest ryzykiem szczątkowym. Kierownictwo może ją zaakceptować, jeśli mieści się w tolerancji, albo zlecić kolejne zabezpieczenia.

NIST podaje trzy bliskie sformułowania. Oprócz definicji z SP 800-30 glosariusz przytacza wersję z SP 800-161, mówiącą o ryzyku po zastosowaniu kontroli i środków zaradczych, oraz z NISTIR 8286: ryzyko, które zostaje po udokumentowaniu i wykonaniu reakcji na ryzyko ^[2].

Postępowanie z ryzykiem szczątkowym

NIST wymienia pięć typów reakcji na ryzyko: akceptację, unikanie, ograniczanie, dzielenie i przeniesienie ^[1]. Po wdrożeniu zabezpieczeń te same opcje dotyczą ryzyka, które zostało.

Terminologia nie jest jednolita. NSC 7298 używa formy „ryzyko szczątkowe” ^[3], NSC 800-37 używa obu form obok siebie ^[4], a polski tekst rozporządzenia (UE) 2024/2690 mówi o „ryzyku rezydualnym” ^[5]. Chodzi o to samo pojęcie.

W WordPressie

Dokumentacja WordPressa stawia sprawę wprost: bezpieczeństwo nie polega na doskonale bezpiecznych systemach, bo takie mogą być niepraktyczne albo niemożliwe do utrzymania; jest ograniczaniem ryzyka, a nie jego eliminacją ^[8]. Każda strona ma więc ryzyko szczątkowe, także po aktualizacjach, utwardzaniu i instalacji wtyczki bezpieczeństwa.

Typowe składniki ryzyka szczątkowego strony na WordPressie:

• luka zero-day w rdzeniu, motywie albo wtyczce, na którą nie ma jeszcze poprawki;
• czas między publikacją poprawki a jej instalacją, także przy automatycznych aktualizacjach;
• zależność od hostingu. Dokumentacja zaznacza, że dostawca odpowiada za infrastrukturę, ale nie za aplikację, którą właściciel instaluje ^[8], co opisuje model współdzielonej odpowiedzialności;
• przejęcie konta mimo silnego hasła, na przykład przez infostealer na komputerze redaktora.

Rozsądna odpowiedź to połączenie akceptacji z przygotowaniem: sprawdzona kopia zapasowa (backup) i plan reagowania na incydenty ograniczają skutki zdarzeń, których nie dało się uniknąć.

Znaczenie w przepisach

Przepisy nie wymagają zerowego ryzyka, lecz udokumentowanej decyzji o tym, co zostaje. Rozporządzenie wykonawcze (UE) 2024/2690 do dyrektywy NIS2 wymaga, by organy zarządzające przyjmowały wyniki oceny ryzyka i akceptowały ryzyko rezydualne ^[5]. Plan postępowania z ryzykiem ma w zrozumiały sposób podawać powody uzasadniające tę akceptację ^[5]. Po niezależnym przeglądzie podejmuje się działania naprawcze albo akceptuje ryzyko rezydualne zgodnie z kryteriami akceptacji ryzyka ^[5].

RODO w art. 32 każe dobierać środki bezpieczeństwa z uwzględnieniem stanu wiedzy technicznej, kosztów wdrożenia oraz ryzyka o różnym prawdopodobieństwie i wadze ^[6]. Art. 36 łączy się z ryzykiem szczątkowym bezpośrednio: jeśli ocena skutków dla ochrony danych wskazuje, że przetwarzanie powodowałoby wysokie ryzyko, gdyby administrator nie zastosował środków w celu jego zminimalizowania, administrator przed rozpoczęciem przetwarzania konsultuje się z organem nadzorczym ^[6].

Pojęcie wraca w dyskusji o karach za naruszenia RODO. Sekurak we wrześniu 2019 roku omówił decyzję Prezesa UODO wobec sklepu Morele.net właśnie w kontekście technicznej analizy ryzyka IT i przypomniał, że ryzyka szczątkowego nie da się usunąć żadnymi środkami ^[7]. Z perspektywy administratora danych ważne jest więc nie to, czy ryzyko zostało, ale czy zostało rozpoznane, ocenione i świadomie przyjęte.

Dobre praktyki

• Zapisywanie ryzyka szczątkowego w rejestrze ryzyk z właścicielem, uzasadnieniem akceptacji i datą przeglądu ^[5].
• Akceptacja przez osobę upoważnioną do takiej decyzji; w NSC 800-37 jest to osoba autoryzująca ^[4].
• Przegląd po poważnych incydentach i istotnych zmianach, a nie tylko w stałych odstępach czasu ^[5].
• Rozdzielenie tego, co zaakceptowano, od tego, czego nie zauważono. Ryzyko szczątkowe to ryzyko znane i opisane; brak analizy nie tworzy ryzyka szczątkowego, tylko ryzyko nierozpoznane.