Our S.O.S. line:
+49 89 262 025954
Our team of experts is ready to assist your organization in the event of a cyberattack.
details
A kockázatok elemzésére két alapvető megközelítés alkalmazható. A kvalitatív és a kvantitatív kockázatelemzés. Bár a két módszer eltérő módon közelíti meg a kockázatokat, céljuk közös, olyan információt biztosítani a szervezet és annak vezetősége számára, amely támogatja a megalapozott kockázatkezelési döntéseket.
A két módszer közötti különbség megértése különösen fontos egy szervezeti szintű kockázatkezelési rendszer kialakításakor, hiszen nem minden kockázatot szükséges ugyanolyan részletességgel elemezni.
A szervezeti kockázatkezelés egyik legfontosabb feladata annak meghatározása, hogy milyen események vagy körülmények (azaz fenyegetések) akadályozhatják a szervezet stratégiai és operatív működését, valamint céljainak elérését.
A fenyegetések rengeteg különböző területről származhatnak. Egy szervezet fenyegetési katalógusában például az alábbi kategóriák jelenhetnek meg:
A szervezeti kockázatelemzés célja ezeknek a kockázatoknak a strukturált vizsgálata. Egy kockázatelemzés során a fenyegetések bekövetkezésének valószínűségét és hatását kell értékelni, majd ezek alapján meghatározni a prioritásokat.
A kvalitatív kockázatelemzés lényege, hogy a szervezet a kockázatokat elsősorban minőségi szempontok alapján értékeli és rangsorolja.
A módszer alkalmazásakor nem feltétlenül szükséges pontos pénzügyi vagy statisztikai adatokat meghatározni minden egyes kockázathoz. A szervezet szakértői, vezetői és az egyes szakterületek képviselői értékelik, hogy egy adott fenyegetés bekövetkezése mennyire valószínű, és milyen mértékű következményekkel járhat.
Egy szervezet például az alábbi kockázatokat azonosíthatja:
Ezeket a kockázatokat a szervezet például egy valószínűség–hatás mátrix segítségével helyezheti el. A magas valószínűségű és magas hatású kockázatok kerülnek a legmagasabb prioritási kategóriába, míg az alacsony valószínűségű és alacsony hatású kockázatok kisebb figyelmet igényelnek.
Ez a megközelítés lehetővé teszi, hogy a szervezet ne próbáljon minden kockázattal egyszerre azonos intenzitással foglalkozni.
A kvalitatív kockázatelemzés egyik legfontosabb előnye, hogy viszonylag gyorsan és egyszerűen alkalmazható. Egy szervezetnek nem feltétlenül kell minden kockázathoz részletes statisztikai adatokat gyűjtenie ahhoz, hogy kialakítson egy elsődleges kockázati képet. Ez különösen hasznos lehet akkor, amikor új kockázat jelenik meg, és még nem áll rendelkezésre elegendő történeti adat annak pontos számszerűsítésére.
A módszer legnagyobb korlátja a szubjektivitás.
Ha egy szervezet szakértői egy kockázatot „magas” hatásúnak minősítenek, ez nem feltétlenül jelenti azt, hogy a hatás ténylegesen egy konkrét, számszerű értéknek felel meg. Két szakértő ugyanazt a kockázatot eltérően ítélheti meg.
Az értékelést befolyásolhatja a résztvevők tapasztalata, az adott szervezeti egység érdeke, a rendelkezésre álló információ mennyisége vagy akár az is, hogy korábban milyen tapasztalatokat szereztek hasonló helyzetekben.
Ezért fontos, hogy a szervezet egyértelmű értékelési kritériumokat alakítson ki. Például előre meghatározható, hogy mit jelent az „alacsony”, „közepes” és „magas” hatás.
A kvantitatív kockázatelemzés célja, hogy a szervezet a kockázatok lehetséges következményeit számszerű formában is meg tudja határozni.
Ez jelentős előrelépést jelenthet a kvalitatív elemzéshez képest. Ahelyett, hogy csak azt mondanánk egy kockázatról, hogy „magas”, megpróbálhatjuk meghatározni például:
A kvantitatív elemzés így lehetőséget ad arra, hogy a szervezet a kockázatokat ne csak relatív kategóriákban, hanem konkrétabb mérőszámok alapján is vizsgálja.
A kvantitatív kockázatelemzés egyik egyszerűbb módszere az Expected Monetary Value (EMV), vagyis várható pénzügyi érték.
Az alapképlet a kvantitatív módszerétől kicsit eltérő: itt a bekövetkezési valószínűség és a pénzügyi hatás szorzata adja a kockázati értéket.
Tegyük fel, hogy egy szervezetnél egy jelentős informatikai rendszer kiesésének 20%-os valószínűsége van egy adott időszakban, és egy ilyen esemény várhatóan 100 millió forintos pénzügyi hatással járna.
Ebben az esetben: 0,2 × 100 000 000 = 20 000 000 Ft
A kockázat várható pénzügyi kitettsége tehát 20 millió forint.
Ez nem azt jelenti, hogy a szervezet ténylegesen 20 millió forintot fog veszíteni. A szám egy várható érték, amely több lehetséges kimenetel figyelembevételével támogatja a döntéshozatalt.
A kvantitatív kockázatelemzés egyik legfontosabb előnye, hogy a szervezet számára lehetővé teszi a kockázatok számszerűsítését. Ez különösen fontos lehet olyan szervezetek esetében, ahol a kockázatok jelentős pénzügyi, működési vagy stratégiai következményekkel járhatnak.
A számszerű eredmények hatékonyan támogatják a vezetői döntéshozatalt. Ha egy szervezet több kockázat közül szeretné meghatározni, hogy melyek kezelésére fordítson több erőforrást, a pénzügyi vagy valószínűségi adatok megfelelő szempontot adhatnak a döntéshez.
A számszerű eredmények emellett megkönnyíthetik a kockázati tartalékok és erőforrások tervezését.
A kvantitatív kockázatelemzés számos korláttal is rendelkezik. Az egyik legfontosabb, hogy jelentős mennyiségű és megfelelő minőségű adatra lehet szükség. Ez különösen problémás lehet olyan kockázatok esetében, amelyek ritkán fordulnak elő.
További korlát a nagyobb idő- és erőforrásigény. Egy részletes kvantitatív elemzéshez adatok gyűjtésére, statisztikai elemzésre, modellezésre és megfelelő szakértelemre lehet szükség.
Egy hatékony szervezeti kockázatkezelési rendszerben célszerű lehet a két módszert egymásra építve alkalmazni. Első lépésként a szervezet azonosítja a jelentősebb kockázatokat. Ebben részt vehetnek a vezetők, a kockázatkezelési funkció, a belső ellenőrzés és az egyes szakterületek szakértői.
Ezt követi a kvalitatív elemzés, amelynek során a kockázatokat valószínűség és hatás alapján értékelik. Az eredmény egy szervezeti szintű kockázati térkép vagy kockázati nyilvántartás lehet. Ez lehetővé teszi, hogy a szervezet megkülönböztesse egymástól például a rutinszerűen kezelhető és a vezetői szintű figyelmet igénylő kockázatokat.
A következő lépésben a kiemelt kockázatok közül azok, amelyeknél a számszerűsítésnek valódi döntéstámogató értéke van, kvantitatív elemzésnek vethetők alá. Így például egy információbiztonsági kockázat esetében nemcsak azt mondhatjuk, hogy „magas”, hanem megvizsgálhatjuk a lehetséges pénzügyi hatások tartományát is. Egy kritikus beszállítói kockázat esetében pedig megbecsülhetjük a kiesés várható pénzügyi és működési következményeit.
A kvantitatív eredmények ezután támogatást adhatnak a kockázatkezelési intézkedések meghatározásához.
A szervezeti kockázatkezelés célja nem az, hogy a szervezet minden kockázatot megszüntessen. Sokkal inkább az, hogy megfelelően felismerje, értékelje és kezelje azokat a bizonytalanságokat, amelyek akadályozhatják stratégiai és működési céljainak elérését.
Ebben a folyamatban a kvalitatív és kvantitatív kockázatelemzés eltérő, de egymást kiegészítő szerepet tölthet be.
A két módszer alkalmazása ezért nem feltétlenül választási kérdés. Egy jól működő szervezeti kockázatkezelési rendszerben a kvalitatív elemzés lehet a kockázatok elsődleges értékelésének és rangsorolásának eszköze, míg a kvantitatív elemzés a kiemelt kockázatok mélyebb és számszerű vizsgálatát támogathatja.
A kockázatelemzés végső célja nem maga az elemzés, hanem az, hogy a szervezet jobban megértse a kockázati környezetét, és ennek alapján tudatosabban alakítsa ki kockázatkezelési intézkedéseit és döntéseit.
Ha szervezetének kockázatelemzésében és a kockázatkezelési folyamatok kialakításában támogatásra van szüksége, a White Hat IT Security csapatára számíthat!
Mi történik akkor, ha egy biztonsági kontrollnak meg kellene felelni, de üzleti vagy technikai okból mégsem lehet időben megvalósítani? Egy kontroll figyelmen kívül hagyása és egy szabályozott kontrollkivétel között óriási a különbség. A megfelelően kezelt kivételhez indoklás, kockázatértékelés, kompenzáló intézkedés, [...]
