V kvantitativním hodnocení kybernetických rizik často začínáme velmi prostou otázkou: jak často může daná událost nastat?

Jinými slovy potřebujeme stanovit roční frekvenci výskytu události (annualized rate of occurrence, zkr. ARO) nebo také frekvenci ztrátové události (loss event frequency, zkr. LEF), kterou pak násobíme očekávanou ztrátou při jedné události (single loss expectancy, zkr. SLE), abychom získali roční očekávanou ztrátu (annualized loss expectancy, zkr. ALE). A tady začíná problém.

Od reakcie na udalosti k prediktívnemu bezpečnostnému monitoringu

Analytik SOC sedí pred obrazovkou a SIEM mu práve zobrazil červený alert. Nastala korelácia udalostí, ktorá naznačuje incident. Napríklad sa niekto neoprávnene dostal tam, kam nemal. Monitorovací systém urobil presne to, na čo bol postavený – upozornil na útok vo chvíli, keď už prebiehal, alebo tesne po tom, čo skončil. Otázka, ktorá by mala analytika zaujímať oveľa viac, znie inak: mohol to systém vedieť skôr?

Risk matice patří mezi nejrozšířenější nástroje řízení rizik, přesto jejich schopnost poskytovat spolehlivý podklad pro rozhodování zůstává odborně zpochybněná.

Analýza, za kterou stojí Jan Kopřiva, tento problém kvantifikuje pomocí metrik pořadové korelace a ukazuje, že nejde pouze o intuitivní nedokonalost, ale o měřitelný a systematický jev.

Norma ISO/IEC 27001 v článku 6.1.2 požaduje, aby proces hodnocení rizik produkoval konzistentní, validní a srovnatelné výsledky. ISO/IEC 27005 pak v informativní části upozorňuje, že provádění matematických operací nad čísly, která jsou ve skutečnosti pouze kódy kvalitativního hodnocení, může být metodicky neplatné.

Výklad není tak jednoduchý, jak by se na první pohled mohlo zdát. Risk matice sama o sobě nemusí být automaticky neshodou.

Jelikož ty zatracené matice rizik stále nedávají některým z vás spát, tak se k nim opět na chvíli vrátíme.

Mnozí z vás se totiž celkem logicky ptají: „Dobře, když je problém v tom, že se v klasické matici rizik nesmí sčítat nebo násobit ordinální hodnoty, tak je prostě nahradíme kardinálními reprezentanty a problém je vyřešen, ne?“

Používají ji všichni a tak ani my nemůžeme zůstat mimo, pomyslí si nejeden CEO, protože přeci kdo chvíli stál, za chvíli stojí opodál.

Jasně, jenže pak zjistíme, že největší problém není, zda vůbec AI začít používat, ale kde a jak nastavit pravidla. Protože AI se dá nasadit skoro kdekoliv. Otázka ovšem je, co to udělá s firmou, když ji nacpeme i tam, kde se vůbec, ale vůbec nehodí. A přesně tady to začíná.

Risk analytik ve vaší firmě nerozhoduje o rizicích. O těch rozhodujete samozřejmě vy. Ale zpravidla rozhodujete podle podkladů, které pro vás připravil právě onen risk analytik.

Pokud dostanete špatně zpracovanou analýzu rizik, budete rozhodovat o rozpočtech, prioritách, bezpečnostních opatřeních, pojištění, technologiích nebo organizačních změnách na základě nepřesných, neúplných nebo zavádějících informací. A můžete za to nést i osobní odpovědnost.

V CRQ často modelujeme dopad pomocí lognormálního rozdělení. Lognormal je ale neomezený, má nekonečný pravý ocas, což někdy nechceme, protože chceme zabránit tomu, aby model generoval ekonomicky nemožné škody.

V zásadě máme dvě jednoduché možnosti, jak k tomuto problému prakticky přistoupit v rámci lognormálního modelu, a to truncaci (oříznutí) a capování (zastropování). V tomto článku si rozebereme oba tyto přístupy.

S hodnocením zranitelností pomocí standardu CVSS jste se na těchto stránkách mohli setkat již několikrát. Etičtí hackeři jej používají pro stanovení závažnosti zranitelnosti, kterou v hodnoceném systému nalezli, a firmy jej pak následně používají pro prioritizaci oprav.

Všichni jaksi předpokládají, že CVSS skóre je objektivní, konzistentní a že stejné zranitelnosti povedou u různých hodnotitelů ke stejnému nebo alespoň velmi podobnému výsledku. Jenže ono to tak jednoduché není.

Krizové plány často vypadají dobře, dokud je nikdo nemusí použít. Mají kapitoly, tabulky, kontakty, odpovědnosti i formální schválení. Jenže ve chvíli, kdy se incident začne měnit v krizi, rozhoduje něco úplně jiného: kdo má právo plán aktivovat, kdo má poslední slovo a podle čeho se určí priority.

Pokud krizový plán na tyto otázky neodpovídá, není to nástroj řízení. Je to jen další dokument, který uklidňuje organizaci přesně do okamžiku, kdy začne být opravdu potřeba.