szacowanie ryzyka

Szacowanie ryzyka to według polskiego słownika NSC 7298 proces identyfikacji, analizy i oceny ryzyka ^[1]. Jego celem jest ustalenie, które zagrożenia są dla organizacji najpoważniejsze i którymi zająć się najpierw. Przewodnik NIST SP 800-30 definiuje je jako proces identyfikowania, szacowania i szeregowania ryzyk dla działalności organizacji, jej aktywów, osób i innych organizacji, wynikających z używania systemu informacyjnego ^[2]. W polskim prawie termin występuje m.in. w ustawie o krajowym systemie cyberbezpieczeństwa (KSC) ^[4].

Jak działa

Przewodnik NIST SP 800-30 przyjmuje, że ryzyko jest funkcją prawdopodobieństwa wystąpienia zdarzenia zagrażającego i jego potencjalnego negatywnego wpływu ^[2]. Polska wersja przewodnika, NSC 800-30, powtarza tę definicję ^[3]. Szacowanie odpowiada więc na dwa pytania: jak łatwo coś może się stać i co się wtedy stanie.

W części głównej szacowania SP 800-30 przewiduje sześć zadań ^[2]:

1. wskazanie źródeł zagrożeń, z ich możliwościami, zamiarami i wyborem celów;
2. wskazanie możliwych zdarzeń zagrażających;
3. wskazanie podatności i warunków sprzyjających;
4. określenie prawdopodobieństwa, że zdarzenie przyniesie szkodę;
5. określenie skutków;
6. wyznaczenie ryzyka jako połączenia prawdopodobieństwa i skutków ^[2].

Pierwsze dwa zadania są bliskie modelowaniu zagrożeń. Wyniki zapisuje się zwykle w rejestrze ryzyk.

Etapy procesu

Szacowanie nie jest jednorazowe. SP 800-30 dzieli je na cztery kroki: przygotowanie, przeprowadzenie, przekazanie wyników i ich utrzymanie ^[2]. NSC 800-30 nazywa je po polsku tak, jak na schemacie poniżej ^[3].

RYS. 1Cztery kroki szacowania ryzyka (NSC 800-30)

Szacowanie jest częścią szerszego zarządzania ryzykiem, które według NIST obejmuje określenie ram ryzyka, jego ocenę, reagowanie na ryzyko i monitorowanie ^[2].

Pojęcia pokrewne

Polskie nazwy łatwo pomylić, bo w mowie potocznej „szacowanie”, „analiza” i „ocena” ryzyka znaczą to samo. Słownik NSC 7298 je rozróżnia.

Prawo Unii nie jest tu konsekwentne. Rozporządzenie wykonawcze 2024/2690 do dyrektywy NIS2 mówi o przeprowadzaniu i dokumentowaniu „ocen ryzyka”, a zarazem wymienia ocenę jako jeden z etapów obok identyfikacji i analizy ^[5].

SP 800-30 opisuje trzy podejścia ^[2]. Ilościowe opiera się na liczbach i najlepiej wspiera analizę kosztów i korzyści. Jakościowe używa kategorii, na przykład od bardzo niskiego do bardzo wysokiego, i ułatwia komunikację z decydentami. Półilościowe przekłada skale liczbowe na takie kategorie ^[2].

Obowiązki prawne

W pierwotnym brzmieniu z 2018 roku art. 8 KSC wymagał, by system zarządzania bezpieczeństwem operatora usługi kluczowej zapewniał „prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem” ^[4]. Brak takiego szacowania był zagrożony karą pieniężną z art. 73 ^[4]. Szacowanie jest podstawą systemu zarządzania bezpieczeństwem informacji (SZBI).

Rozporządzenie 2024/2690 opisuje proces szczegółowo. Podmiot ma stosować metodykę, ustalić poziom tolerancji ryzyka zgodnie z apetytem na ryzyko, identyfikować ryzyko, w tym pojedyncze punkty awarii, i analizować zagrożenia, prawdopodobieństwo i wpływ ^[5]. Wyniki i plan postępowania z ryzykiem trzeba przeglądać co najmniej raz w roku oraz po poważnych incydentach ^[5]. Organ zarządzający przyjmuje wyniki i akceptuje ryzyko rezydualne ^[5].

RODO wymaga dobierania zabezpieczeń do ryzyka naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze ^[6]. Gdy przetwarzanie może powodować wysokie ryzyko, administrator przeprowadza ocenę skutków dla ochrony danych ^[6].

W WordPressie

Dla strony na WordPressie praktycznym narzędziem jest metoda OWASP Risk Rating. Zakłada ona model „ryzyko = prawdopodobieństwo × skutek” ^[7]. Prawdopodobieństwo wynika m.in. z łatwości wykrycia i wykorzystania podatności oraz z tego, kto może zaatakować. W czynniku wielkości grupy atakujących najwyższą wartość mają anonimowi użytkownicy internetu ^[7]. Każdy czynnik ocenia się w skali od 0 do 9; wynik poniżej 3 oznacza poziom niski, od 3 do poniżej 6 średni, od 6 do 9 wysoki ^[7].

W przypadku podatności we wtyczce wynik CVSS opisuje samą lukę, ale nie kontekst strony. Ta sama luka ma inne znaczenie w sklepie z danymi tysięcy klientów niż na stronie wizytówce. OWASP podkreśla, że jeśli dostępne są informacje o skutkach biznesowych, należy je stosować zamiast samych skutków technicznych ^[7]. Zaleca też naprawianie najpoważniejszych ryzyk w pierwszej kolejności ^[7].

Przykład z opisu metody pokazuje, dlaczego kontekst ma znaczenie. Prawdopodobieństwo wyszło tam średnie (4,375), skutek techniczny wysoki (7,25), a skutek biznesowy niski (2,25) ^[7]. Z czysto technicznego punktu widzenia ryzyko byłoby wysokie, ale po uwzględnieniu skutków biznesowych OWASP ocenia je jako niskie ^[7]. Metoda przypomina także, że nie każde ryzyko opłaca się usuwać: wydatek 100 000 dolarów na ograniczenie strat z oszustw rzędu 2000 dolarów rocznie zwracałby się przez 50 lat ^[7]. Takie ryzyko można świadomie zaakceptować i zapisać. Osobno warto ocenić porzucone wtyczki, bo bez aktywnego autora poprawka może się nie pojawić.

Dokumentacja WordPressa ujmuje cel wprost: bezpieczeństwo to ograniczanie ryzyka, a nie jego eliminacja ^[8]. Wynik szacowania zasila zarządzanie podatnościami i decyzje o tym, które wtyczki aktualizować, zastąpić albo usunąć.

Historia i przykłady

Wydanie SP 800-30 Rev. 1 ukazało się we wrześniu 2012 roku ^[2]. Polski słownik NSC 7298 w wersji 1.0 pochodzi z 1 września 2021 roku ^[1], a przewodnik NSC 800-30 w wersji 1.1 z 30 marca 2023 roku ^[3].