Co je posouzení kybernetických rizik?

Komplexní posouzení kybernetických rizik vyhodnocuje několik vrstev stavu zabezpečení organizace, od technické infrastruktury až po lidské faktory. To organizacím umožňuje systematicky identifikovat rizika a vyvíjet cílené strategie, které je zmírňují.

Základní prvky posouzení kybernetických rizik

Dobře strukturované posouzení rizik zahrnuje několik základních kroků:

1. Definování rozsahu

Posouzení kybernetických rizik začíná definováním rozsahu. To znamená přesně určit, která část organizace se bude posuzovat, jestli se jedná o konkrétní obchodní jednotku, aplikaci nebo celé podnikové IT prostředí. Jasně stanovený rozsah zabraňuje přehlédnutí slepých míst a pomáhá udržet fokus. Zahrnuto by mělo být následující:
 

• Fyzická infrastruktura, jako jsou servery, stolní počítače, mobilní zařízení a koncové body IoT.
• Softwarové systémy, jako jsou interní nástroje, cloudové platformy, aplikace třetích stran a databáze.
• Síťová vrstva, včetně segmentace, vzdáleného přístupu a služeb určených pro externí uživatele.
• Lidé, včetně rolí uživatelů, úrovní přístupu a digitálních aktivit zaměstnanců, kontraktorů a dodavatelů.
   

2. Identifikace prostředků

Po vytvoření oboru je dalším krokem identifikace prostředků. To zahrnuje katalogizaci všeho hodnotného v definovaném rozsahu, co podporuje provoz firmy. Mezi prostředky patří:
 

• Fyzický hardware, jako jsou přenosné počítače, servery, směrovače a úložná zařízení.
• Softwarové systémy, jako jsou operační systémy, obchodní aplikace, nástroje zabezpečení a vlastní kód.
• Síťová infrastruktura, včetně bezdrátových přístupových bodů, sítí VPN, bran firewall a systémů DNS.
• Lidé, jako jsou zaměstnanci, správci, uživatelé z řad třetích stran a jejich příslušné identifikační údaje a přístupové údaje.
   

Každý prostředek by se měl klasifikovat podle toho, jak je pro firmu důležitý.

3. Určení hrozeb

Hrozbou je jakákoli potenciální událost, aktér nebo stav, který by mohl způsobit škodu zneužitím ohrožení zabezpečení v systému, síti, aplikaci nebo procesu. Je to ta část rizikového scénáře, která odpovídá na otázku "co se může pokazit".

Hrozby můžou být:

• Záměrné, například když kyberzločinec spustí phishingový útok nebo když někdo uvnitř organizace zneužije svůj přístup.
• Náhodné, například nesprávně nakonfigurovaná brána firewall nebo zaměstnanec, který odešle citlivá data nesprávné osobě.
• Environmentální, včetně požárů, povodní nebo výpadků elektrického proudu, které narušují provoz nebo poškozují zařízení.

Můžou cílit na hardware (například krádež notebooku), software (zneužití chyby v aplikaci), sítě (odposlouchávání nešifrovaného provozu) nebo lidi (podvedení uživatelů, aby prozradili hesla).

4. Posouzení ohrožení zabezpečení

Ohrožení zabezpečení je slabina systému, aplikace, procesu nebo lidského chování, kterou by mohla hrozba zneužít k způsobení škody nebo k dosažení neoprávněných výsledků. Je to ta část rizikového scénáře, která odpovídá na otázku "jak se může něco pokazit".

Ohrožení zabezpečení se můžou projevit mnoha způsoby:
 

• Hardware. Nešifrované přenosné počítače, zastaralý firmware nebo nezabezpečené porty.
• Software. Neopravené aplikace, výchozí přihlašovací údaje nebo kód, který není zabezpečený.
• Sítě. Otevřené porty, slabé šifrování nebo špatná segmentace.
• Lidské faktory. Opakovaně používaná hesla, nedostatek školení nebo nadměrná přístupová oprávnění.
   

Ohrožení zabezpečení nevede automaticky k incidentu, ale v kombinaci s relevantní hrozbou otevře dveře k riziku. Například webový server, na kterém běží zastaralý software, je zranitelný. Pokud aktér hrozeb toto ohrožení zabezpečení vyhledá a zneužije ho, může v organizaci dojít k úniku dat.

5. Vyhodnocení existujících kontrolních mechanismů

Jakmile jsou hrozby a ohrožení zabezpečení identifikovány, je čas posoudit stávající kontrolní mechanismy, které je zmírňují. Kontrolní mechanismy spadají do tří obecných typů:
 

• Preventivní. Například brány firewall, antivirový software a vícefaktorové ověřování.
• Detekční. Zahrnují systémy pro detekci vniknutí a nástroje pro správu akcí a informací o zabezpečení (SIEM).
• Nápravná. Mezi příklady patří zálohy a plány zotavení po havárii.
   

Je důležité posoudit pokrytí v těchto oblastech:
 

• Hardware. Jsou zavedená fyzická bezpečnostní opatření, jako je přístup pomocí identifikační karty, šifrování zařízení nebo postupy pro bezpečnou likvidaci?
• Software. Jsou zavedené postupy správy oprav a zabezpečeného vývoje?
• Sítě. Provádíte segmentaci provozu, zajišťujete odpovídající protokolování a používáte protokol TLS pro šifrovanou komunikaci?
• Lidé. Jsou zaměstnanci proškoleni v oblasti ochrany před phishingem? Dodržují zásady přístupu princip nejnižších oprávnění?
   

Toto hodnocení poskytuje přehled o tom, jak účinná je současná ochrana a kde stále existují mezery.

6. Identifikace pravděpodobnosti a dopadu

Pro každý identifikovaný scénář rizika odhadněte:
 

• Pravděpodobnost. Jak pravděpodobná je hrozba s ohledem na aktuální kontrolní mechanismy?
• Dopad. Co by se stalo, kdyby uspěla – finanční ztráta, únik dat, výpadek?
   

Zvažte narušení provozu firmy, regulační pokuty, poškození reputace a provozní náklady. Například selhání hardwaru nebo sítě může způsobit rozsáhlé výpadky, zatímco útok phishing může vést ke ztrátě dat prostřednictvím ohrožených přihlašovacích údajů.

7. Výpočet rizika

Nyní zkombinujte pravděpodobnost a dopad a určete hodnocení rizika pro každý scénář.

Příklad:

Scénář rizika	Pravděpodobnost	Dopad	Úroveň rizika
Ransomware na zastaralých serverech	Vysoká	Vysoký	Kritická
Nesprávně nakonfigurované pravidlo brány firewall	Střední	Střední	Střední
Phishingový e-mail, který obejde filtry	Vysoká	Nízký	Střední

To pomáhá určit priority – které problémy vyžadují okamžitou pozornost a které jsou přijatelné nebo tolerovatelné.

8. Doporučení zmírňujících opatření

U každého vysokého nebo kritického rizika navrhněte akce, které ho sníží. Mezi doporučení patří:
 

• Hardware. Vynuťte šifrované úložiště, nastavení zabezpečeného spouštění a uzamkněte nepoužívané porty.
• Software. Implementujte pravidelné opravy a používejte nástroje pro kontrolu kódu ve vývojovém kanálu.
• Sítě. Zaveďte segmentaci sítě a nasaďte systémy prevence vniknutí.
• Lidé. Rozšiřte školení týkající se zabezpečení a vynuťte silnější řízení přístupu a ověřování identit.
   

Doporučení by měla vyvažovat snížení rizika s náklady, složitostí a dopadem na použitelnost.

9. Zdokumentování a vykazování

Důkladné posouzení rizik by mělo být jasně zdokumentováno a sdíleno se zúčastněnými stranami na více úrovních. Příslušná zpráva obvykle obsahuje shrnutí na vysoké úrovni pro vedoucí pracovníky, podrobné technické zjištění pro týmy IT a zabezpečení a prioritizované akční položky. Vizuální prvky, jako jsou teplotní mapy, architektonická schémata a tabulky, často pomáhají komunikovat složitá rizika účinněji. Dokumentace by měla zahrnovat inventář prostředků, identifikované hrozby a zranitelnosti, stávající kontrolní mechanismy, skóre rizik a doporučená zmírňující opatření. Zpráva by také měla určovat, kdo je zodpovědný za jednotlivé akce a kdy jsou plánována následná posouzení. Transparentnost a srozumitelnost pomůžou získat podporu a sladit týmy.

10. Kontrola a opakování

Posouzení rizik nejsou jednorázová – jsou součástí průběžného cyklu. Technologie se vyvíjejí, obchodní procesy se mění a neustále se objevují nové hrozby. Tady je několik tipů, které vám pomůžou zůstat odolní a připravení.
 

• Naplánujte pravidelná posuzování (čtvrtletně, ročně nebo po významných změnách).
• Automatizujte všude tam, kde je to praktické (průběžné hledání ohrožení zabezpečení, monitorování koncových bodů).
• Upravujte své kontrolní mechanismy podle toho, jak se objevují nová rizika – zejména v souvislosti s prací na dálku, závislostí na dodavatelských řetězcích nebo nástroji s generativní AI.

Posuzování kybernetických rizik je pouze tak silné jako proces, který za ním stojí. Dodržování osvědčených postupů pomáhá zajistit, aby byla posouzení účinná, opakovatelná a sladěná s obchodními prioritami.

Začněte s jasnými cíli

Než se do toho pustíte, je důležité určit, čeho má posouzení dosáhnout. To může znamenat identifikaci důležitých prostředků a potenciálních hrozeb, splnění požadavků na dodržování předpisů, snížení pravděpodobnosti incidentů nebo informování o budoucích investicích do zabezpečení. Stanovení jasných cílů hned na začátku pomáhá zajistit, aby posouzení zůstalo po celou dobu procesu zaměřené, relevantní a použitelné.

Zapojte správné zainteresované strany

Posuzování rizik není jen úkolem IT – vyžaduje vstupy napříč organizací. Týmy zabezpečení a IT přinášejí technické odborné znalosti, zatímco právní týmy a týmy pro dodržování předpisů poskytují poradenství k regulačním rizikům. Provozní oddělení a oddělení personalistiky můžou upozorňovat na problémy související s procesy a personálem, zatímco vrcholové vedení nese odpovědnost za sladění těchto činností s obchodními cíli. Zapojení více pohledů pomáhá zajistit, aby posouzení zachytilo celý rozsah rizik, od chybné konfigurace softwaru po lidské chování.

Rozhodněte se mezi interním nebo externím posuzováním

Neexistuje žádný nejlepší přístup k provádění posuzování rizik. Interní posouzení bývají nákladově efektivnější a těží ze znalosti prostředí, ale mohou přehlédnout slepá místa nebo postrádat specializované nástroje. Externí posouzení nabízejí nový, nezaujatý pohled a hlubší odbornost, i když mohou být dražší a lidé, kteří posouzení provádějí, obvykle méně znají interní systémy. Mnoho organizací volí hybridní přístup: používají interní týmy pro pravidelné kontroly a zapojují externí odborníky pro hlubší analýzy nebo když to vyžaduje dodržování předpisů.

Zvolte správnou strategii ošetření rizik

Jakmile jsou rizika identifikována, musí se organizace rozhodnout, jak na ně zareaguje. Některá rizika lze akceptovat, pokud se vejdou do rámce tolerance společnosti. Jiným lze zcela předejít tím, že se odstraní systém nebo činnost, která je způsobuje. Rizika lze také přenést na třetí stranu, například prostřednictvím pojištění nebo smluvních ujednání. Organizace se nejčastěji rozhodují zmírnit rizika použitím kontrolních mechanismů, které snižují pravděpodobnost nebo dopad na přijatelnou úroveň. Správná strategie závisí na obchodních cílech, ochotě podstupovat riziko a dostupných zdrojích.

Vše dokumentujte

Udržování přesné dokumentace je zásadní pro krátkodobý i dlouhodobý úspěch. Pomáhá organizacím dodržovat oborové předpisy, sledovat změny a trendy v průběhu času a přijímat rychlejší a informovanější rozhodnutí. Dobrá dokumentace také zjednodušuje audity, zjednodušuje kontroly zabezpečení a udržuje kontinuitu i při vývoji týmů nebo systémů.

Jednejte podle zjištění

Hodnota posouzení rizik spočívá v tom, jak se výsledky používají. Nejprve by se měla vyřešit ohrožení zabezpečení s vysokým rizikem a nápravné kroky by měly být v souladu s širšími cíli zabezpečení. Přiřaďte odpovědnost za jednotlivé akce, sledujte průběh a pravidelně znovu vyhodnocujte, abyste měli jistotu, že vylepšení zůstanou funkční. Zacházejte se zjištěními jako se součástmi průběžného procesu, nikoli jednorázovým cvičením, a zaveďte následné kroky do své kultury zabezpečení.

Posuzujte ve správné frekvenci

Technologie se rychle vyvíjejí a stejně tak i hrozby. To znamená, že posouzení rizik by se měla provádět více než jednou ročně, zejména v prostředích s vysokým rizikem. Odvětví jako finance a zdravotnictví často provádějí nové posouzení čtvrtletně nebo pololetně. Menší firmy to můžou dělat ročně nebo po zásadních změnách infrastruktury. Společnosti, které upřednostňují cloudová řešení, nebo rychle rostoucí firmy můžou potřebovat ještě častější posuzování, aby udržely krok s měnícími se potenciálními oblastmi útoku. Nové posouzení je také vhodné provést po velkých událostech, jako jsou fúze, narušení zabezpečení nebo změny v předpisech.

Chcete-li mít náskok před nově vznikajícími hrozbami a začlenit kyberbezpečnost do celkových obchodních rozhodnutí, zařaďte do svých operací zabezpečení pravidelné posuzování kybernetických rizik. S vytvořením efektivního procesu vám může pomoct několik řešení. Řešení pro správu akcí a informací o zabezpečení (SIEM), jako je Microsoft Sentinel, pomáhají korelovat události, identifikovat anomálie a prioritizovat upozornění pomocí integrovaných analytických funkcí a analýzy hrozeb. Řešení rozšířené detekce a reakce (XDR) poskytují podrobný přehled o potenciálních cestách útoku napříč koncovými body, identitami, e-maily a cloudovými aplikacemi. Spojení SIEM a XDR do jednoho sjednoceného řešení SecOps pomáhá obráncům vidět rizika napříč celými digitálním prostředím a rychleji provádět koordinované akce. Řešení AI pro kybernetickou bezpečnost, jako je například Microsoft Security Copilot, vyhodnocují signály, aby odhalila důležité poznatky a doporučila další kroky.