Řízení rizik: Proč dokumentovat zavedení určitého opatření

Zavedení určitého opatření byste měli dokumentovat proto, abyste byli schopni i po letech jeho smysluplnost obhájit a vysvětlit, proč není vhodné dané opatření kvůli snižování nákladů rušit, a že se v případě administrativních opatření dokonce nejedná ani o nějakou zbytečnou byrokracii, jak se mnozí mylně domnívají.

Vždy je nutné si uvědomit, že máme bezpečnostní opatření, která slouží k prevenci, k detekci a k reakci na incident. Zatímco u posledních dvou opatření můžeme poměrně přesně vyčíslit, kolik pokusů o průnik do systému nebo narušení bezpečnosti jsme detekovali, tak u prvně zmíněného můžeme jen hádat.

Po implementaci těchto bezpečnostních opatření zpravidla poklesne i počet bezpečnostních incidentů, což je celkem logické a lze to dokázat i statisticky. Problém je, že management, který se dost často mění, má tendenci dospět na základě analýzy tohoto trendu k mylnému závěru, že zavedená opatření jsou vlastně zbytečná, protože pravděpodobnost hrozby je nízká. Rozuměj, za sledované období k žádnému incidentu nedošlo.

Není tomu tak, dochází pouze k chybné záměně příčiny a důsledku. To je podobné, jako kdybyste si mysleli, že mříže, které hyzdí váš balkón, můžete sundat, protože vám do bytu už několik let nikdo nevlezl. Jenže on tam nikdo nevlezl právě proto, že tam jsou. Netřeba dodávat, že pokud dojde k odstranění takového opatření, tak dříve či později si této skutečnosti někdo všimne a dojde k realizaci hrozby.

Štítky: řízení informačních rizik

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.