Tento odborný e-book je určen vlastníkům firem, CEO a vrcholovému vedení, kteří nechtějí bezpečnost jen platit, ale skutečně ji řídit.

Tahle kniha nejde po povrchu. Neopakují se v ní fráze, které už jste slyšeli stokrát. Neprodává iluzi, že pár směrnic, několik technologií a jedna prezentace o phishingu udělají z firmy odolnou organizaci. Ukazuje, kde vedení firem selhává a co musí udělat jinak, pokud chce mít bezpečnost skutečně pod kontrolou.

Anglicko-český a česko-anglický výkladový slovník kybernetických rizik pro manažery, architekty, bezpečnostní specialisty a risk analytiky.

Slovník vysvětluje pojmy používané při řízení, analýze a kvantifikaci kybernetických rizik. Online verze je dostupná po přihlášení, umožňuje přecházet mezi jednotlivými pojmy a je doplněna o flash cards pro rychlé procvičení terminologie.

V kvantitativním hodnocení kybernetických rizik často začínáme velmi prostou otázkou: jak často může daná událost nastat?

Jinými slovy potřebujeme stanovit roční frekvenci výskytu události (annualized rate of occurrence, zkr. ARO) nebo také frekvenci ztrátové události (loss event frequency, zkr. LEF), kterou pak násobíme očekávanou ztrátou při jedné události (single loss expectancy, zkr. SLE), abychom získali roční očekávanou ztrátu (annualized loss expectancy, zkr. ALE). A tady začíná problém.

Risk matice patří mezi nejrozšířenější nástroje řízení rizik, přesto jejich schopnost poskytovat spolehlivý podklad pro rozhodování zůstává odborně zpochybněná.

Analýza, za kterou stojí Jan Kopřiva, tento problém kvantifikuje pomocí metrik pořadové korelace a ukazuje, že nejde pouze o intuitivní nedokonalost, ale o měřitelný a systematický jev.

Norma ISO/IEC 27001 v článku 6.1.2 požaduje, aby proces hodnocení rizik produkoval konzistentní, validní a srovnatelné výsledky. ISO/IEC 27005 pak v informativní části upozorňuje, že provádění matematických operací nad čísly, která jsou ve skutečnosti pouze kódy kvalitativního hodnocení, může být metodicky neplatné.

Výklad není tak jednoduchý, jak by se na první pohled mohlo zdát. Risk matice sama o sobě nemusí být automaticky neshodou.

Jelikož ty zatracené matice rizik stále nedávají některým z vás spát, tak se k nim opět na chvíli vrátíme.

Mnozí z vás se totiž celkem logicky ptají: „Dobře, když je problém v tom, že se v klasické matici rizik nesmí sčítat nebo násobit ordinální hodnoty, tak je prostě nahradíme kardinálními reprezentanty a problém je vyřešen, ne?“

Používají ji všichni a tak ani my nemůžeme zůstat mimo, pomyslí si nejeden CEO, protože přeci kdo chvíli stál, za chvíli stojí opodál.

Jasně, jenže pak zjistíme, že největší problém není, zda vůbec AI začít používat, ale kde a jak nastavit pravidla. Protože AI se dá nasadit skoro kdekoliv. Otázka ovšem je, co to udělá s firmou, když ji nacpeme i tam, kde se vůbec, ale vůbec nehodí. A přesně tady to začíná.

Risk analytik ve vaší firmě nerozhoduje o rizicích. O těch rozhodujete samozřejmě vy. Ale zpravidla rozhodujete podle podkladů, které pro vás připravil právě onen risk analytik.

Pokud dostanete špatně zpracovanou analýzu rizik, budete rozhodovat o rozpočtech, prioritách, bezpečnostních opatřeních, pojištění, technologiích nebo organizačních změnách na základě nepřesných, neúplných nebo zavádějících informací. A můžete za to nést i osobní odpovědnost.

V CRQ často modelujeme dopad pomocí lognormálního rozdělení. Lognormal je ale neomezený, má nekonečný pravý ocas, což někdy nechceme, protože chceme zabránit tomu, aby model generoval ekonomicky nemožné škody.

V zásadě máme dvě jednoduché možnosti, jak k tomuto problému prakticky přistoupit v rámci lognormálního modelu, a to truncaci (oříznutí) a capování (zastropování). V tomto článku si rozebereme oba tyto přístupy.

S hodnocením zranitelností pomocí standardu CVSS jste se na těchto stránkách mohli setkat již několikrát. Etičtí hackeři jej používají pro stanovení závažnosti zranitelnosti, kterou v hodnoceném systému nalezli, a firmy jej pak následně používají pro prioritizaci oprav.

Všichni jaksi předpokládají, že CVSS skóre je objektivní, konzistentní a že stejné zranitelnosti povedou u různých hodnotitelů ke stejnému nebo alespoň velmi podobnému výsledku. Jenže ono to tak jednoduché není.

Na první pohled vypadá všechno idylicky. Smaragdově zelené zóny risk matice připomínají klidné mořské zátoky bez vln, bez bouří, bez důvodu k obavám.

Jenže podobně jako u mořských řas stačí velice málo a moře se náhle zbarví do ruda.