Анализа и процена ризика и геп анализа — зашто су први корак ка усклађености

Према подацима Републичког завода за статистику, тек око 40% фирми у Србији шифрује податке, документа и мејлове, док процену ризика од хакерских напада има свега 13% малих и средњих предузећа. Другим речима — велика већина фирми доноси одлуке о безбедности „на око", без јасне слике који су им ризици заиста највећи.

Закон о информационој безбедности зато анализу ризика поставља као први, обавезан корак — све остало (Акт о безбедности ИКТ система, мере заштите, обука запослених) гради се на њеним резултатима.

Шта је анализа ризика?

Анализа ризика у информационој безбедности комбинује три елемента:

• претње — спољне или унутрашње изворе потенцијалне штете (сајбер напади, људска грешка, квар опреме);
• рањивости — конкретне слабости у софтверу, хардверу или понашању запослених које претња може да искористи;
• утицај — колику реалну штету би фирма претрпела ако би до успешног напада заиста дошло.

Резултат је јасна слика: који су највећи ризици, колика је вероватноћа да се остваре, и шта би њихова реализација коштала фирму — финансијски, оперативно и по угледу.

Шта је геп (GAP) анализа и по чему се разликује?

Геп анализа је нешто другачији алат — она не процењује вероватноћу и утицај будућих инцидената, већ пореди тренутно стање безбедности фирме са оним што закон и добра пракса захтевају, и прецизно показује где постоји разлика („гап") — које мере недостају, које процедуре нису формализоване, где документација касни за стварним стањем.

У пракси, геп анализа је користан први филтер пре него што се крене у детаљнију анализу ризика — брзо показује највеће рупе, док анализа ризика даје дубљу, прецизнију слику приоритета.

Зашто овај корак не треба прескочити

Фирме које крену директно на израду Акта о безбедности без претходне анализе ризика, често добију документ који је формално у реду, али суштински не одговара на стварне ризике њиховог пословања. Акт тада постаје „папир за фиоку", уместо алат који заиста смањује вероватноћу и последице безбедносног инцидента. С обзиром да је процену ризика, према наведеним подацима, урадило тек 13% малих и средњих предузећа у Србији, ово је област у којој се фирма која то уради како треба — реално издваја од конкуренције.

Како БДБ приступа овом кораку

Комбинујемо анализу ризика и геп анализу прилагођену делатности и величини фирме — од мањих привредних друштава до здравствених установа и јавних институција критичне инфраструктуре. Резултат је основа за Акт о безбедности ИКТ система који је и законски усклађен и практично примењив.