Bezpečnostní incident: stanovení závažnosti incidentu

V tomto příspěvku se pokusím nastínit možnosti, jak stanovit závažnost bezpečnostního incidentu.

Stanovit správně závažnost bezpečnostního incidentu bývá velice často problém. Navíc se závažnost může v průběhu životního cyklu incidentu měnit. Např. na počátku vyšetřování bezpečnostního incidentu se může zdát, že se jedná o bezpečnostní incident se zanedbatelným dopadem na společnost, a teprve až v průběhu šetření se může ukázat, že původní předpoklad byl mylný.

Pokud už mají společnosti zavedený nějaký proces, který by se dal s trochou nadsázky označit jako incident management a v rámci tohoto procesu stanovují závažnost jednotlivých bezpečnostních incidentů, tak se jejich přístup značně liší. To, že jednotlivé společnosti používají různý počet stupňů pro vyjádření závažnosti bezpečnostního incidentu a jednotlivé stupně mají i různě pojmenovány, je pochopitelné. Zarážející však je, že pro stanovení stupně závažnosti nemají definována jasná pravidla.

Pokud společnost provedla analýzu rizik např. v souladu s metodikou popsanou v knize Řízení informačních rizik v praxi, může poměrně snadno stanovit závažnost bezpečnostního incidentu podle hodnoty aktiva, jehož důvěrnost, integrita nebo dostupnost byla nebo by mohla být narušena. Jak již ale bylo naznačeno v článku Bezpečnostní incident, možností je více. Pojďme se nyní zamyslet nad tím, na základě jakých kritérií můžeme závažnost stanovit.

Jednotlivé stupně závažnosti si pojmenujme např. takto:

• nízká (N)
• střední (S)
• vysoká (V)
• kritická (K)

Podle množství postižených uživatelů:

• jeden nebo několik málo uživatelů (N)
• celá pobočka (S)
• celý region (V)
• celá společnost (K)

Podle úrovně, která se bude incidentem zabývat:

• referent (N)
• nižší management (S)
• střední management (V)
• vrcholový management (K)

Podle toho, kdo musí být s incidentem seznámen:

• Jeden nebo několik málo zaměstnanců společnosti (N)
• Všichni zaměstnanci společnosti (S)
• Kromě vlastních zaměstnanců i osoby mimo společnost (V)
• Kromě vlastních zaměstnanců i veřejnost (K)

Podle úrovně odbornosti:

• první úroveň podpory (N)
• správce systému (S)
• bezpečnostní expert (V)
• bezpečnostní firma (K)

Bez ohledu na velikost organizace a předmět podnikání by měly čtyři stupně pro stanovení závažnosti bezpečnostního incidentu většině společností stačit.

A podle čeho stanovujete závažnost bezpečnostních incidentů ve vaší společnosti vy?

Štítky: bezpečnostní incident, informační bezpečnost

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.