Expertní tým hraje v procesu posuzování rizik, a nejen v něm, hlavní roli.

V praxi se však bohužel často setkáváme se snahou ušetřit na mzdových nákladech a nahradit expertní tým jedním expertem, na kterého je přenesena veškerá odpovědnost za identifikaci, analýzu i hodnocení rizik. Což je samozřejmě špatně.

Pojďme se společně zamyslet nad tím, co ovlivňuje a nadále i bude podstatným způsobem ovlivňovat počet kybernetických útoků.

Jednou větou, byť možná trochu na úkor přesnosti, by se dal stav, ve kterém se nacházíme, formulovat asi nějak takto.

Je doba vánoční plná příběhů a zázraků a na jeden takový je potřeba se podívat, protože se z něj můžeme hodně poučit.

Bylo, nebylo 9. 12. (byl a už není) se objevil níže uvedený tweet (mimochodem velmi trefná profilová fotka odkazující na dnes již kultovní film Leon), … a nastalo zděšení, často i oprávněné, hlavně tam, kam bezpečnost nechodí. Protože jak víme, kam nechodí bezpečnost, tam chodí hacker.

Opět se nám blíží konec roku a nadchází čas se zamyslet nad tím, jaké kybernetické hrozby můžeme očekávat v roce 2022.

Čím dál tím více zaměstnanců se připojuje do informačních systémů společností, které jsou umístěny v cloudu z domova a ze svých soukromých zařízení. Podstatným způsobem se nám změnila nejen krajina hrozeb, ale i se nám významně zvětšil povrch útoku.

Dnes si opět uvedeme jednoduchý příklad stanovení ceny produktu na základě znalostí z prvního dílu.

Máte tři víceméně stejné produkty A, B a C, které se od sebe liší jen nepatrně anebo jen v jedné stěžejní vlastnosti a doposud jste je prodávali i za přibližně stejnou cenu. Produkt B se však moc neprodává, a vy se jej potřebujete zbavit.

Inicializační vektor útoku je v zásadě již několik let stejný, takže o nějakém novém trendu nelze úplně hovořit.

Je zde však patrný pokles v kompromitaci koncových zařízení s Windows a ovládnutí internetového bankovnictví v prohlížeči. Nadále se však můžeme setkat s phishingem, vishingem, smshingem a trojanizovanými aplikacemi.

V anglosaské literatuře se fáze zvládání rizik označuje jako risk treatment, risk response anebo také risk control.

Buď jak buď, v této fázi je nutné učinit několik kroků, které v konečném důsledku rozhodnou o tom, jak efektivní ono zvládání rizik ve vaší organizaci nakonec bude. Na některé z nich se však bohužel velice často zapomíná.

V rámci posouzení rizik se snažíme vždy nejprve identifikovat klíčová aktiva a hrozby, které na ně působí a následně zavést vhodná bezpečnostní opatření k jejich ochraně.

Na první pohled se takovýto přístup jeví jako velice efektivní, protože co jiného bychom měli chránit než aktiva, která nám generují většinu našeho zisku. Jenže je to krapet složitější.

Akceptace rizik patří mezi manažery k nejoblíbenější metodě zvládání rizik. Jak by také ne, když je stačí jen formálně odsouhlasit.

Problém nastává v okamžiku, kdy management není ochoten udělat ani to a bez ohledu na výši rizika se rozhodnutí ohledně volby vhodné metody zvládání rizika vyhýbá a vyhýbá se dokonce i diskusi o tomto riziku.

Možná jste si už v minulém dílu všimli, že jsem vyčlenil řízení rizik jako samostatnou podpůrnou činnost.

Tak jak jsou organizace stále více závislé na informačních a operačních technologiích, tak narůstá význam analýzy hodnototvorného řetězce organizace i z pohledu informační a kybernetické bezpečnosti.