Kvantifikace kybernetických rizik
s Clever Risk Quantifier™

Ukážeme si, proč barevná risk matice nedokáže spolehlivě vyjádřit velikost rizika, porovnávat scénáře ani určit ekonomicky správné pořadí opatření. Na konkrétním příkladu si vysvětlíme problémy ordinálních škál, komprese rozsahu, chybného pořadí rizik a zdánlivé přesnosti. Poté stejný problém převedeme do kvantitativního modelu, který pracuje s frekvencí, velikostí škody a nejistotou.

Naučíte se:

• rozpoznat logické a matematické limity risk matic,
• vysvětlit rozdíl mezi kategorií rizika a finanční rizikovou expozicí,
• formulovat otázky, na které musí kvantitativní analýza odpovědět,
• obhájit kvantifikaci jako podklad pro rozhodování o prioritách a rozpočtu.

Výstup: schopnost vysvětlit, proč risk matice nestačí pro valuaci a prioritizaci kybernetických rizik a jaké rozhodovací informace poskytuje kvantitativní model.

Klíčová slova: risk matrix, ordinal scale, erroneous ranking, range compression, iso-risk curves, risk exposure, uncertainty, prioritization

Seznámíte se s prostředím Clever Risk Quantifier™ a s logikou, podle které nástroj převádí rizikový scénář do peněžního vyjádření. Vyjasníme si jednotlivé stavy rizika a vztahy mezi hrozbou, zranitelností, frekvencí a škodou. Pojmy budeme průběžně spojovat s konkrétními částmi modelu, aby bylo zřejmé nejen co znamenají, ale také kde se zadávají a jak ovlivní výsledek.

Naučíte se:

• rozlišovat inherentní, aktuální (current) a zbytkové (residual) riziko,
• popsat aktéra hrozby, hrozbu a relevantní rizikovou expozici,
• pracovat s Threat Event Frequency (TEF), Vulnerability (VULN) a Loss Event Frequency (LEF),
• rozložit Loss Magnitude (LM) na primární a sekundární ztráty,
• chápat vztah mezi Primary Loss Magnitude (PLM), Secondary Event Frequency (SLEF) a Secondary Loss Magnitude (SLM),
• orientovat se v základním ovládání, vstupních hodnotách a výstupech CRQ.

Výstup: první jednoduchý kvantitativní model a schopnost správně interpretovat jeho vstupy i vypočtenou rizikovou expozici.

Klíčová slova: inherent risk, current risk, residual risk, threat actor, threat, TEF, VULN, LEF, LM, PLM, SLEF, SLM, ALE

Vytvoříme úplný rizikový scénář a jeho varianty. Ukážeme si, jak v CRQ zachytit různé cesty útoku nebo selhání, kde opatření působí a jak se jejich účinek promítá do frekvence nebo velikosti škody. Zvláštní pozornost věnujeme rozdílu mezi zavedenými, plánovanými a měněnými opatřeními a správnému modelování jejich vzájemných závislostí.

Naučíte se:

• formulovat a modelovat rizikový scénář od hrozby až po finanční dopad,
• vytvářet varianty scénáře a porovnávat jejich výsledky,
• rozlišovat zavedená, plánovaná a měněná opatření,
• určit, zda opatření ovlivňuje frekvenci události, zranitelnost nebo velikost škody,
• modelovat nezávislá i závislá opatření pomocí orientovaného acyklického grafu (DAG),
• vypočítat a interpretovat celkovou účinnost souboru opatření bez prostého sčítání procent.

Výstup: větvený rizikový scénář se současnými a navrhovanými opatřeními, vypočtenou aktuální a reziduální expozicí a správně zachycenými závislostmi.

Klíčová slova: risk scenario, scenario variant, current controls, planned controls, changed controls, control effectiveness, dependency, DAG, TEF reduction, LM reduction

Vypočtené riziko převedeme do podkladů pro rozhodnutí. Budeme porovnávat cenu opatření s očekávaným snížením ztrát, vyhodnocovat jejich návratnost a hledat kombinaci opatření, která dává největší ekonomický smysl. Ukážeme si také práci s křivkou překročení ztrát (LEC), křivkou tolerance rizika (RTC), funkcí hustoty pravděpodobnosti (PDF), heatmapami, dashboardem a dalšími analytickými výstupy dostupnými ve vyšších licenčních verzích CRQ.

Naučíte se:

• porovnat aktuální a reziduální rizikovou expozici s risk appetite a tolerancí rizika,
• zahrnout do rozhodnutí pořizovací a provozní náklady opatření,
• vypočítat a interpretovat Return on Security Investment (ROSI),
• prioritizovat opatření podle snížení expozice, nákladů a návratnosti,
• interpretovat očekávanou hodnotu, percentily, VaR, ES, PDF a LEC,
• použít RTC, dashboard, heatmapy a manažerský report při komunikaci s vedením.

Výstup: ekonomicky zdůvodněný návrh zvládání rizika a pořadí opatření podložené jejich cenou, účinností a dopadem na rizikovou expozici.

Klíčová slova: risk treatment, risk appetite, risk tolerance, ROSI, LEC, RTC, PDF, expected value, VaR, ES, heatmap, dashboard

V závěrečné části propojíte získané znalosti do vlastního modelu. Samostatně nebo s metodickým vedením vytvoříte rizikový profil své organizace. Pokud nechcete pracovat s reálnými údaji, můžete použít připravenou fiktivní organizaci. Model doplníte o scénáře, frekvence, škody a opatření a z výsledků odvodíte priority dalšího postupu.

Naučíte se:

• vybrat scénáře, které mají být součástí rizikového profilu,
• zadávat a dokumentovat odhady včetně jejich nejistoty,
• agregovat jednotlivé scénáře do celkové rizikové expozice,
• identifikovat scénáře a opatření s nejvyšší prioritou,
• uložit a exportovat model pro další práci.

Výstup: vlastní rizikový profil organizace vytvořený v Clever Risk Quantifier™, který vám zůstane a můžete jej po kurzu dále rozvíjet v roční EDU licenci.

Klíčová slova: risk profile, risk exposure, scenario aggregation, risk prioritization, model export, JSON, management reporting