Analiza rizika i gep analiza — zašto su prvi korak ka usklađenosti

Prema podacima Republičkog zavoda za statistiku, tek oko 40% firmi u Srbiji šifruje podatke, dokumenta i mejlove, dok procenu rizika od hakerskih napada ima svega 13% malih i srednjih preduzeća. Drugim rečima — velika većina firmi donosi odluke o bezbednosti „na oko", bez jasne slike koji su im rizici zaista najveći.

Zakon o informacionoj bezbednosti zato analizu rizika postavlja kao prvi, obavezan korak — sve ostalo (Akt o bezbednosti IKT sistema, mere zaštite, obuka zaposlenih) gradi se na njenim rezultatima.

Šta je analiza rizika?

Analiza rizika u informacionoj bezbednosti kombinuje tri elementa:

• pretnje — spoljne ili unutrašnje izvore potencijalne štete (sajber napadi, ljudska greška, kvar opreme);
• ranjivosti — konkretne slabosti u softveru, hardveru ili ponašanju zaposlenih koje pretnja može da iskoristi;
• uticaj — koliku realnu štetu bi firma pretrpela ako bi do uspešnog napada zaista došlo.

Rezultat je jasna slika: koji su najveći rizici, kolika je verovatnoća da se ostvare, i šta bi njihova realizacija koštala firmu — finansijski, operativno i po ugledu.

Šta je gep (GAP) analiza i po čemu se razlikuje?

Gep analiza je nešto drugačiji alat — ona ne procenjuje verovatnoću i uticaj budućih incidenata, već poredi trenutno stanje bezbednosti firme sa onim što zakon i dobra praksa zahtevaju, i precizno pokazuje gde postoji razlika („gap") — koje mere nedostaju, koje procedure nisu formalizovane, gde dokumentacija kasni za stvarnim stanjem.

U praksi, gep analiza je koristan prvi filter pre nego što se krene u detaljniju analizu rizika — brzo pokazuje najveće rupe, dok analiza rizika daje dublju, precizniju sliku prioriteta.

Zašto ovaj korak ne treba preskočiti

Firme koje krenu direktno na izradu Akta o bezbednosti bez prethodne analize rizika, često dobiju dokument koji je formalno u redu, ali suštinski ne odgovara na stvarne rizike njihovog poslovanja. Akt tada postaje „papir za fioku", umesto alat koji zaista smanjuje verovatnoću i posledice bezbednosnog incidenta. S obzirom da je procenu rizika, prema navedenim podacima, uradilo tek 13% malih i srednjih preduzeća u Srbiji, ovo je oblast u kojoj se firma koja to uradi kako treba — realno izdvaja od konkurencije.

Kako BDB pristupa ovom koraku

Kombinujemo analizu rizika i gep analizu prilagođenu delatnosti i veličini firme — od manjih privrednih društava do zdravstvenih ustanova i javnih institucija kritične infrastrukture. Rezultat je osnova za Akt o bezbednosti IKT sistema koji je i zakonski usklađen i praktično primenjiv.