Zagrożenia, luki w zabezpieczeniach i ryzyko.

Trzy słowa są często ze sobą mylone. Rozróżniaj je, a reszta zagadnień związanych z bezpieczeństwem stanie się łatwiejsza.

• Zagrożenie to coś, co może spowodować szkodę: przestępca, nieostrożny błąd, burza, przerwa w dostawie prądu, powódź.
• Podatność to słabość, którą zagrożenie może wykorzystać: pozostawione otwarte drzwi, niezaaktualizowane oprogramowanie, hasło zapisane na kartce.
• Ryzyko to szansa, że zagrożenie wykorzysta słabość, pomnożona przez to, jak poważny byłby skutek.

Przykład. Rzeka stanowi zagrożenie dla domu (może spowodować powódź). Podatnością jest mieszkanie na dnie doliny. Ryzyko obejmuje prawdopodobieństwo powodzi oraz rozmiar szkód, które by spowodowała. Przeniesienie mebli na piętro nie usuwa rzeki. Zmniejsza część skutków.

Ocena ryzyka. Zespoły zwykle przyznają każdemu ryzyku dwie oceny w prostej skali, na przykład od 1 (niskie) do 5 (wysokie):

• Prawdopodobieństwo: jak prawdopodobne jest, że to wydarzy się w ciągu najbliższego roku?
• Skutek: jak poważne byłyby konsekwencje, gdyby do tego doszło?

Następnie ryzyko = prawdopodobieństwo × skutek. Umieść każde ryzyko na siatce 5 × 5 (macierzy ryzyka), a w prawym górnym rogu znajdą się najpilniejsze problemy. Przykład:

Te wyniki to oceny na skali porządkowej (uporządkowanej, ale niedokładnej). Wynik 12 nie oznacza, że coś jest „dwa razy bardziej rzeczywiste” niż wynik 6. Siatka służy do porządkowania i omawiania, a nie do pomiaru wielkości fizycznej. Potraktuj ją jako dobry punkt wyjścia do rozmowy i pamiętaj o jej granicach.

Co możesz zrobić z ryzykiem? Są cztery standardowe odpowiedzi:

• Zmniejszyć je: dodać ochronę, która zmniejsza prawdopodobieństwo, skutki albo jedno i drugie (aktualizacje, kopie zapasowe, zamki, szkolenia).
• Zaakceptować je: uznać, że jest wystarczająco małe albo zbyt kosztowne do naprawienia, i świadomie z nim żyć.
• Przenieść je: pozwolić, by ktoś inny poniósł część kosztów, na przykład za pośrednictwem ubezpieczenia lub zaufanego dostawcy usług.
• Unikać go: przestać robić coś ryzykownego (nie zbierać danych, których nie potrzebujesz).

Dodana przez ciebie ochrona nazywa się zabezpieczeniem. Każde zabezpieczenie ma koszt (pieniądze, czas, wygodę), więc prawdziwym zadaniem osoby odpowiedzialnej za obronę jest uzyskanie jak największego zmniejszenia ryzyka w ramach budżetu.

Ryzyko równe zero nie istnieje. Nawet komputer wyłączony w zamkniętym pomieszczeniu może zostać skradziony albo się zepsuć. Celem jest ryzyko zrozumiałe i akceptowalne, a nie równe zeru.