Co mají společného Velký hanojský masakr krys a moderní přístupy k řízení rizik

Formou překladu zahraničního názorového článku What the Great Hanoi Rat Massacre of 1902 and Modern Risk Practices Have in Common vám přinášíme pohled „Z Nového světa“ od Tony Martin-Vegue.

Doufáme, že vám tento článek promluví z duše stejně, jako oslovila americké publikum v roce 1893 světoznámá symfonie „From the New World“ Antonína Dvořáka. Po dohodě s autorem přidáváme k původnímu článku formou komentářů ještě naše „Slovanské tance“, abychom tuto vážnou hudbu uvedli do našeho prostředí. Ať se vám tedy líbí riskařská symfonie i naše „druhé housle“!

Velký hanojský „masakr“ krys

Před dávnými časy (v roce 1902) zamořily krysy nově vybudovanou městskou kanalizaci Hanoji. Francouzští koloniální správci, znepokojeni riziky pro veřejné zdraví, zavedli speciální odměnu: místní obyvatelé dostanou zaplaceno za každý odevzdaný krysí ocas.

Zprvu řečí čísel vypadalo všechno skvěle. Tisíce krysích ocasů vyúčtováno a proplaceno. Jenomže pak si městští úředníci všimli něčeho zvláštního: všude kolem byly stále krysy. Brzy dorazila i hlášení. Někteří lidé začali krysy chovat. Jiní krysám ustřihli ocas a vypustili je zpátky do ulic, aby se volně množili a bylo i v budoucnu co chytat a prodat. Někteří dokonce kvůli odměně pašovali do města krysy z okolí.

Systém pobídek a odměn vytvořil iluzi fungujícího řešení, zatímco se ve skutečnosti problém nenápadně zhoršoval. Byl to učebnicový příklad tzv. „zvrácené pobídky“ – situace, kdy jsou odměny nastaveny a vyladěny tak, že u řešeného problému způsobí jeho zhoršení a prohloubení.

Zvrácené pobídky v řízení kybernetických rizik

Před pěti lety jsme si říkali, že kvantifikace kybernetických rizik (CRQ) jako téma pomalu vplouvá do hlavního proudu řízení kybernetických rizik. Vedoucí pracovníci si začínali uvědomovat nedostatky a selhání „tradičních“ kvalitativních a risk-maticových metod. Tvůrci standardů a standardizační organizace tomuto problému věnovali pozornost. Všechno naznačovalo, že se věci konečně dávají do pohybu. Ale dnes? Už si tím nejsem tak jistý.

Čím hlouběji do tohoto oboru pronikám, tím víc vnímám, jak silná je setrvačnost udržující status quo. Ukazuje se, že kybernetická bezpečnost je plná zvrácených pobídek, a to nikoli v izolovaných a ojedinělých případech, ale jako nedílná součást systému samotného.

Na tento problém výstižně poukázal před téměř 25 lety Ross Anderson ve svém klasickém článku „Proč je to s informační bezpečností tak těžké“ (Why Information Security Is Hard), kde ukázal, že kybernetická bezpečnost není pouze technologickým problémem, je hlavně problémem mikroekonomickým.

Cílem kybernetické bezpečnosti není jen vytvářet a udržovat bezpečné systémy, skutečnou výzvou je to, že zájmy, motivace a pobídky pro jednotlivé aktéry — uživatele, dodavatele, pojišťovny, konzultanty a regulátory — se často rozcházejí.

Současné řízení kybernetických rizik je naší vlastní verzí lovu hanojských krys. Papírově to vypadá, že dosahujeme pokroku: zprávy jsou odevzdány, audity splněny, požadavky standardů a legislativy formálně splněny.

Ekosystém řízení kybernetických rizik je založený na opakujících se cyklických pobídkách

Organizace zahajují cyklus dobrým úmyslem. Poohlédnou se po standardech a rámcích jako jsou NIST CSF, ISO/IEC 27001 nebo COBIT, aby jim pomohly zformovat bezpečnostní programy. Tyto standardy často obsahují obecné pojednání ohledně řízení rizik, ale záměrně se vyhýbají předepsání konkrétního modelu. Tato flexibilita je záměrná a zajišťuje jejich širokou aplikovatelnost.

Zároveň však ponechává organizacím dostatečnou volnost a libovůli pro to, aby si vytvořili tu nejjednodušší, nejlevnější a nejméně důslednou verzi programu řízení rizik, a pak si odškrtnout „máme splněno“.

Představenstvo a vrcholoví manažeři rozhodnou a vydají pokyn: ‚Získejte SOC 2‘ nebo ‚Zařiďte nám ISO certifikaci‘. Toto se stane misí a hlavním úkolem, který kromě spousty jiných věcí zahrnuje i end‑to‑end program řízení kybernetických rizik.

Na scénu nám teď vstupují konzultační firmy – často tzv. Velká čtyřka (Big 4). Jedna firma přijde pomoci s vybudováním programu, druhá provádí jeho audit. Formálně se jedná o samostatné subjekty, funkčně však postupují podle stejného scénáře. Jejich úkolem není prosazovat rigoróznost v řízení rizik, ale dodat požadovanou zprávu. Rámce, které implementují, jsou tak optimalizovány na rychlost, obhajitelnost a auditovatelnost, nikoli vhled do problematiky, přesnost a zacílení nebo reálné snížení rizika.

A tak vzniknou obvyklé výstupy: tepelné mapy (heatmapy), škály a skóre typu červená/žlutá/zelená, nálepky typu vysoké/střední/nízké riziko. Programy jsou navrženy pro jejich snadné opakování, nikoli pro hlubší pochopení situace.

Heatmapa (riskmatice) se v řízení rizik prosadila jako základní komunikační prostředek o rizicích. Standardy, legislativa ani auditoři nepožadují nic navíc, takže se nikdo neobtěžuje zvýšit laťku, nikdo nic extra nevytváří.

Kde cyklus začíná mít trhliny

Právě v tomto bodě se začíná náš moloch kymácet: ten samý ekosystém, který váš program vytváří, ho následně i hodnotí a posuzuje, co jste provedli ‚správně‘. I když se nejedná o tu samou firmu, použité šablony, slovník a očekávání jsou prakticky totožné.

Je to jako požádat studenta, aby napsal test, ale zároveň mu dovolit, aby si sám vymyslel testovací otázky, vybral ty správné odpovědi a vyhodnocení svěřil svému kamarádovi. Jaký test asi vytvoří? Ten nejjednodušší možný, který vypadá aspoň trochu oficiálně, ale zvládne ho bez námahy každý.

Přesně to se tu právě děje.

Programy jsou často navrhovány tak, aby splnily jen to nejnutnější – tedy nejnižší společný jmenovatel toho, co je třeba splnit pro úspěšné absolvování auditu, o němž všichni vědí, že se blíží. Není to proto, že by lidé zapojení do programu byli špatní, ale tím, že je systém nastaven, aby se vyplatila rychlost, obhajitelnost a tvorba status quo výstupů, a ne hlubší vhled nebo zlepšování.

Primárním cílem a hlavní ambicí se tak stává pouhé odškrtnutí příslušné kolonky „splněno“ – nikoliv skutečné pochopení rizika a snížení nejistoty a neurčitosti.

Výsledkem jsou manažerské rámce s úhlednými líbivými grafy a generickými bodovacími schématy, které vypadají na snímcích prezentace naprosto bombasticky.

Ale nejsou navrženy tak, aby nám pomáhaly činit lepší rozhodnutí. Cílem těchto kulis je vytvořit iluzi, že rizika řídíme a máme je pod kontrolou.

A protože tyto programy uspokojují auditory, regulátory i představenstva, nikdo si nepokládá zásadní otázku: „Pomáhá nám to skutečně snižovat rizika v reálném světě?“

Ekonomika krysích ocasů

Aby nebyla mýlka: NIST, ISO a jim podobné rámce nejsou špatné. Tvoří základní pilíř kybernetické bezpečnosti. Problém je v zavedené praxi, kdy ten samý okruh firem navrhuje implementaci i stanovuje audit a kdy jsou tyto rámce optimalizovány pro rychlost a jednoduchost více než pro hloubku a důslednost. Výsledkem je systém, který je mimořádně efektivní v udržování sama sebe v chodu a vysoce neefektivní při řešení problému, kvůli kterému byl stvořen.

Je to ekonomika uříznutých krysích ocasů. Počítáme a poměřujeme se symboly pokroku, zatímco skutečná rizika se na pozadí nepozorovaně a nekontrolovaně množí dál.

Pokud rizika hodnotíte kvalitativně, není to vaše selhání

Pokud pracujete v organizaci, která spoléhá na kvalitativní odhady – heatmapy, barevné škály, rizikové skóre a indexy – a máte pocit, že byste měli udělat víc, zhluboka se nadechněte.

Nejste v tom sami. A vůbec to není vaše chyba.

Tlak na udržení status quo je obrovský. Obklopuje vás ze všech stran. Většina organizací si vystačí se systémem, který uspokojí auditory a dá top manažerům pocit, že jsou „sejf“.

Ale to ještě neznamená, že ten systém skutečně funguje. Výsledný systém totiž:

• měří to, co je snadno měřitelné, nikoli to, co je skutečně podstatné
• klade důraz na úspěšné absolvování auditu, ne na reálné snižování rizik
• směřuje zdroje do vyplňování checklistů, nikoli do dosažení skutečných výsledků
• motivuje k tomu dělat jen tolik, aby bylo vyhověno požadavkům (dosaženo souladu), ale nikdy víc

Jak skoncovat s lovci krys?

Upřímně? Celý zaběhlý systém zřejmě nespravíme přes noc. Můžeme však v jeho rámci začít jednat jinak. Dokážeme postupně vytvářet něco lepšího – i když zatím musíme pracovat v jeho intencích a omezeních. Jeden přítel si mi před pár lety postěžoval, že jejich vedení zajímá pouze výsledek auditu. Říkal: „Moje zprávy o rizicích ani nečtou.“ Zeptal jsem se, jak ty zprávy vypadají. „Většinou jen červeno-žluto-zelené grafy,“ přiznal. A tehdy mi to došlo: prvním krokem není přimět představenstvo, aby se zajímalo. Prvním krokem je dát jim něco, co jim za ten zájem skutečně stojí.

Takže začněte takto:

V malých krocích. Plňte si své povinnosti z hlediska splnění předpisů, požadavků a souladu, ale zároveň začněte paralelně kvantifikovat reálná rizika. Používejte odhady ve finančním vyjádření (v monetárních jednotkách), pravděpodobnosti a scénáře dopadu (škodního průběhu). Začněte v malém – vyberte si jednu nebo dvě skutečně významné (materiální) oblasti.

Překlopit rizika do kvalifikovaných rozhodnutí. Ukažte, jak kvantifikovaná data mohou odůvodnit výdaje, pomoci prioritizovat bezpečnostní opatření nebo snížit nejistotu a neurčitost způsobem, který má pro byznys skutečný význam.

Vyprávět přesvědčivější příběhy. Nestačí jen ukazovat grafy; své závěry formulujte v kontextu reálných dopadů a nezbytných kompromisů a zasazujte je do možných budoucích scénářů.

S jemným tlakem. Když jednáte s auditory nebo konzultanty, zkuste se zeptat: „Jak by to vypadalo, kdybychom měřili rizika důsledněji?“ Zasaďte malé semínko změny.

Nejde o dokonalost. Jde o změnu směru v organizaci – jedno rozhodnutí po druhém.

Systém pobídek a odměn nedokážeme zbořit ze dne na den – ale současně nemusíme dál množit a živit nové krysy. Můžeme vystoupit z kruhu, podívat se na něj s odstupem a zkusit jinou cestu.

Takhle začíná změna.

Autor Tony Martin-Vegue získal dlouholeté zkušenosti v řízení kybernetických rizik u společností First Republic Bank, LendingClub a Netflix a je propagátorem moderních metod včetně mezinárodního standardu FAIR. Pokud se vám článek Martina líbil, další najdete na jeho webu. 

LITERATURA

ČERMÁK, Miroslav, 2022. Creative Cyber Risk Management. In Book of Series: Lecture Notes in Networks and Systems: Trends and Future Directions in Security and Emergency Management; Springer Cham: Switzerland AG. ISBN 978-3-030-88906-7.

MARTIN-VEGUE, Tony, 2025. What the Great Hanoi Rat Massacre of 1902 and Modern Risk Practices Have in Common, LinkedIn Online Article

Pokud se vám líbí naše články, tak zvažte podporu naši práce – Naskenujte QR kód a přispějte libovolnou částkou.

Děkujeme!

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.