Řízení informačních rizik v praxi:
5denní kurz – specialista

Organizační pokyny a harmonogram kurzu, představení lektora, představení účastníků a jejich pracovního zařazení a odvětví za účelem zasazení řízení rizik do kontextu. Poté bude následovat vstupní test za účelem prověření úrovně znalostí (výsledky budou anonymizovány a budou sloužit pro samotného účastníka kurzu, aby si udělal představu o tom, jak je na tom). Ukážeme si, proč má řízení rizik smysl, jak se v něm orientovat. Projdeme si základní standardy, rámce, fáze a klíčové pojmy, způsoby posuzování rizik (interní, externí, kombinované), metody posuzování rizik (kvalitativní, semikvalitativní, kvantitativní)

Naučíte se:

• orientovat se v normách, standardech a frameworcích,
• rozlišovat pojmy riziko, hrozba, zranitelnost, dopad, opatření,
• chápat role, odpovědnosti a fáze procesu řízení rizik.

Výstup: Perfektní orientace v nejznámějších standardech a znalost terminologie, která je stěžejní.

Klíčová slova: ISO 31000, ISO 27005, M_o_R, FAIR, NIST 800, riziko, nejistota, possibility, likelihood, frequency, impact, vulnerability, controls, risk apettite, risk tolerance, risk exposure, risk profile, inherent risk, current risk, residual risk,…

Každá organizace je jiná. Naučíte se, jak identifikovat klíčové služby, jak je rozložit na jednotlivá aktiva, zachytit závislosti mezi nimi a jak následně identifikovat a správně popsat rizika v různých fázích životního cyklu.

Naučíte se:

• provést dekompozici systému na primární a sekundární aktiva,
• chápat jejich vzájemné závislosti,
• vytvářet risk scénáře a naplňovat registr rizik.

Výstup: mapa aktiv vaší organizace a registr rizik s konkrétními statementy a scénáři. Spočtená účinnost vybrané sady opatření.

Klíčová slova: primary asset, secondary asset, dependency, controls, threat taxonomy, threat actor, risk statement, risk scenario, risk register

Risk matice jsou rozšířené, oblíbené, ale značně zavádějící. Vysvětlíme si, proč naprosto selhávají, a proč je nelze opravit. Na praktických příkladech si ukážeme, jak mohou vést ke zcela chybným manažerským rozhodnutím.

Naučíte se:

• odhalit limity risk matic,
• rozpoznat jejich logické i matematické slabiny,
• vysvětlit, proč jsou nespolehlivé pro řízení rizik.

Výstup: spočítaná chybovost, schopnost obhájit, proč matice nefungují, a argumentovat proti jejich používání.

Klíčová slova: risk matrix, errorneous ranking, range compression, izorisk curves, cognitive bias, priroritizace

Seznámíte se s jednoduchými metodami kvantifikace, které vám umožní rychle vyjádřit riziko pomocí čísel. Naučíte se pracovat s rozdělením škod a pravděpodobností vzniku škodné události a zobrazit výsledek v přehledné vizualizaci.

Naučíte se:

• odhadovat dopady a pravděpodobnosti,
• exaktně stanovit účinnosti bezpečnostních opatření,
• využívat základní modely pro rychlé hodnocení rizik,
• vizualizovat výsledky do grafu (heatmapa).

Výstup: rychlý, číselně podložený přehled rizik vaší organizace.

Klíčová slova: loss magnitude, expected value, threat event frequency, loss event frequency, Bernoulli, Poisson, vulnerability, susceptibility

Závěrečný modul vás posune k plnohodnotné kvantitativní analýze. Naučíte se vyjadřovat riziko jako interval, sestavovat RTC a LEC křivky, využívat simulace a vyčíslit návratnost investic do bezpečnostních opatření (ROSI).

Naučíte se:

• pracovat s intervalovým vyjádřením rizik,
• vytvářet RTC a LEC křivky,
• využívat simulace pro práci s nejistotou,
• spočítat návratnost bezpečnostních opatření.

Výstup: vlastní risk report obsahující vypočítané riziko, křivky RTC/LEC a vyčíslení ROSI.

Klíčová slova: RTC, LEC, ROSI, monte carlo, Bayes, prior