Řízení informační bezpečnosti v podmínkách dokonalé a nedokonalé nejistoty
3. díl

Události, které se opakují několikrát za rok a po dobu několika let, mohou vyvolávat dojem jistoty.

Z hlediska rizikového managementu je však stále považujeme za riziko, a to i v případě, že je pravděpodobnost jejich výskytu velmi vysoká, tedy téměř jistá. V kontextu teorie pravděpodobnosti je zásadní rozlišovat mezi téměř jistotou (pravděpodobnost blížící se jedné) a absolutní jistotou (pravděpodobnost rovna jedné).

Téměř jisté události jsou v praxi často považovány za nevyhnutelné, ale stále existuje určitá reziduální nejistota způsobená nepředvídatelnými vlivy nebo chybami v předpokladech modelu (Grimmett & Stirzaker, 2001).

Historická data a jejich limity

Klíčové je si uvědomit, že historická opakovatelnost dané události nezaručuje její výskyt v budoucnosti. Například analýzy seizmické aktivity v oblastech s nízkou historickou frekvencí zemětřesení vedly k podcenění rizika při infrastrukturních projektech. Neočekávané otřesy způsobily vážné škody, což zdůraznilo omezení spolehnutí se na nedostatečná historická data. Vývoj okolních podmínek, změny v prostředí nebo nečekané zásahy mohou způsobit, že daná událost buď nenastane, nebo se změní její charakter.

I při stabilní pravděpodobnosti výskytu může variabilita škod spojených s událostí kolísat v důsledku různých faktorů, jako jsou dopady mitigujících opatření nebo růst hodnoty ohrožených aktiv.

Prediktivní modely a historická data mohou pomoci odhadnout pravděpodobnost a závažnost opakujících se událostí, avšak nejsou dokonalé. V souvislosti s nejistotou při práci s historickými daty může být užitečné využít Shannonovu entropii, která kvantifikuje míru nejistoty v distribuci pravděpodobnosti. Čím vyšší je entropie, tím více informací je potřeba k odstranění nejistoty.

V případě nepravidelně zaznamenaných dat nebo nepředvídatelných změn prostředí se entropie výrazně zvyšuje, což znesnadňuje spolehlivé predikce. Extrapolace je založena na předpokladu, že minulost je reprezentativní pro budoucnost, což není vždy pravda. Tento přístup může vést k falešnému pocitu jistoty, zejména v případě dynamických nebo komplexních systémů.

Extrapolace dat na základě regresní křivky (např. lineární či exponenciální) je ovlivněna subjektivní volbou analytika a inherentní nejistotou modelu. Navíc, i při využití sofistikovaných metod, extrapolace minulosti ne vždy spolehlivě zachycuje budoucí trendy. Tento problém se projevil například před globální finanční krizí v roce 2008, kdy historická data naznačovala stabilitu, což vedlo k podcenění rizik ve finančních systémech.

Absence historických dat

V případech, kdy určitá událost historicky nenastala, mohou prediktivní modely postrádat dostatečná data pro analýzu. Absence bodů k extrapolaci však neznamená jistotu, že k události nikdy nedojde (Hubbard, 2020).

Absence historických dat může být způsobena nejen skutečností, že událost dosud nenastala, ale také selháním v zaznamenávání minulých případů. Například při analýze průmyslových havárií ve specifickém sektoru mohlo dojít k podcenění rizik kvůli nedostatečně zaznamenaným historickým událostem nebo chybě v reportování incidentů. Technologická omezení, nedostatek pozornosti či záznamová chyba mohou vést k nesprávnému závěru o „neexistenci“ určitého rizika.

V těchto případech je klíčové zaměřit se na tvorbu scénářů, které simulují možné dopady a testují odolnost systému vůči neočekávaným situacím. Scénářová analýza může například simulovat vliv kybernetického útoku na hlavní datové centrum organizace, zatímco stresové testy ukáží, jak dobře jsou zálohy schopny nahradit primární infrastrukturu. Podle Hollnagela (2006) resilience systémů spočívá v jejich schopnosti adaptace na nepředvídatelné události a rychlé zotavení. Scénářová analýza a stresové testy umožňují organizacím připravit se na situace, které sice nebyly dosud zaznamenány, ale mohou mít zásadní dopady na jejich fungování.

Tento graf ukazuje, jak omezené množství datových bodů může vést k nejasnostem při volbě správné aproximační metody. Lineární, exponenciální, sinusová a kvadratická křivka vypadají při pohledu na tato data rovnocenně možně, což zdůrazňuje nutnost získat další informace pro spolehlivější predikce. Tento příklad zdůrazňuje, že bez dostatečných dat nelze jednoznačně určit správnou aproximaci.

Praktické implikace pro řízení rizik

Opakující se události, byť téměř jisté, a události bez historických dat zůstávají z hlediska rizikového managementu rizikem, protože jejich budoucí výskyt a dopady nelze zaručit. Zanedbání připravenosti na tyto situace může vést k výrazně vyšším nákladům, než jaké jsou spojené s implementací preventivních opatření.

Pro řízení těchto rizik je zásadní mít připravený plán reakce na incidenty (IRP – Incident Response Plan) a tým pro reakci na incidenty (IRT – Incident Response Team). Například při rozsáhlém kybernetickém útoku na zdravotnická data jednoho evropského poskytovatele došlo k zablokování kritické infrastruktury. Nasazení IRP a IRT umožnilo rychlou izolaci zasažených systémů, obnovení provozu záloh a koordinaci informací se zainteresovanými stranami, což minimalizovalo dopad na pacienty a reputaci organizace. Tyto nástroje umožňují rychlou a efektivní reakci na vzniklé situace, čímž minimalizují negativní dopady na organizaci.

Závěr

Ať už jde o události opakující se, nebo naopak o ty, které dosud nenastaly, rizikový management by měl zahrnovat proaktivní přístup, který zahrnuje analýzu historických dat, simulaci budoucích scénářů a připravenost na neočekávané situace. Důležité je také pravidelně revidovat předpoklady, na kterých jsou tato opatření založena, a zajišťovat iterativní přístup k řízení rizik. Pokud již organizace disponuje daty, měla by upřednostnit kvantitativní analýzu rizik, jako je Cyber Risk Quantification (CRQ). Tento přístup umožňuje přesnější měření rizik, identifikaci nejkritičtějších oblastí a efektivnější alokaci zdrojů. Investice do vývoje technologií pro monitorování, predikci a rychlou reakci pak umožní adaptaci na měnící se hrozby a zajistí dlouhodobou odolnost vůči nejistotě.

LITERATURA

HOLLNAGEL, Erik, David D. WOODS a Nancy LEVESON, eds. Resilience Engineering: Concepts and Precepts. Boca Raton: CRC Press, 2006. ISBN 978-0-7546-4904-5.

GRIMMETT, Geoffrey Richard a David Ronald STIRZAKER. Probability and Random Processes. 3. vydání. Oxford: Oxford University Press, 2001. ISBN 978-0-19-857222-0.

HUBBARD, Douglas W. The Failure of Risk Management: Why It’s Broken and How to Fix It. 2. vydání. Hoboken: Wiley, 2020. ISBN 978-1-119-52203-4.

TALEB, Nassim Nicholas. Fooled by Randomness: The Hidden Role of Chance in Life and in the Markets. 3. vydání. New York: Random House, 2005. ISBN 978-0-8129-7521-5.

Štítky: nejistota

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.