V skratke:
- Analýza rizík je základ, z ktorého vychádzajú všetky bezpečnostné opatrenia. Robí ju PZS aj PKZS a preskúmava najmenej raz ročne.
- Metodika NBÚ počíta riziko ako pravdepodobnosť × následok (R = P × D), výsledok 4 až 100 zaradí do piatich úrovní.
- Výsledky schvaľuje zodpovedná osoba, súčasťou je aj analýza funkčného vplyvu s cieľovou dobou obnovy.
Postup podľa vyhlášky 227/2025 Z. z.
Riadenie rizík obsahuje podľa § 5 ods. 1 vyhlášky:
- Identifikáciu aktív: evidencia primárnych aktív (služby, procesy, informácie) a podporných aktív (servery, siete, aplikácie, dodávatelia), ich vlastníkov a zodpovedných osôb (§ 6). Podporné aktívum preberá najvyššiu hodnotu z primárnych aktív, ktoré na ňom stoja.
- Identifikáciu rizík vrátane opisu opatrení, ktoré už máte.
- Analýzu rizík: pravdepodobnosť škodlivej udalosti pri zneužití zraniteľnosti a následky na dôvernosť, integritu a dostupnosť.
- Hodnotenie rizík podľa vopred nastavených pravidiel a rovnakej metódy pre všetky scenáre.
- Prijatie opatrení podľa rizík, so zoznamom prijatých a neprijatých opatrení a zdôvodnením.
- Preskúmanie najmenej raz ročne a aktualizáciu rizík aj opatrení.
Súčasťou je analýza funkčného vplyvu s cieľovou dobou obnovy a cieľovým bodom obnovy (§ 5 ods. 2). Súčasťou analýzy rizík podľa § 20 ods. 5 zákona je aj politické riziko tretej strany, najmä možnosť, že dodávateľa ovplyvňuje štát mimo EÚ a NATO. Politické riziká schvaľuje vláda a NBÚ ich zverejňuje v JISKB.
Stupnice z metodiky NBÚ
| Pravdepodobnosť (P) | Hodnota | Ako často |
|---|---|---|
| Veľmi vysoká | 1 | 81 až 100 %, veľmi často; zraniteľnosť už bola mnohokrát zneužitá |
| Vysoká | 0,8 | 61 až 80 %, často |
| Stredná | 0,6 | 41 až 60 %, niekedy |
| Nízka | 0,4 | 21 až 40 %, málokedy |
| Veľmi nízka | 0,2 | 0 až 20 %, skoro nikdy |
| Následok (D) | Hodnota | Príklad finančného následku | Prevádzkový následok |
|---|---|---|---|
| Katastrofický | 100 | 1 500 001 až 15 000 000 € | celá organizácia, všetci klienti |
| Závažný | 80 | 150 001 až 1 500 000 € | organizácia, značná časť klientov |
| Stredný | 60 | 15 001 až 150 000 € | organizácia, malá časť klientov |
| Malý | 40 | 1 501 až 15 000 € | interne, viac útvarov |
| Zanedbateľný | 20 | 1 až 1 500 € | interne, jeden útvar |
Finančné hranice sú v metodike príklad, každá organizácia si ich určí podľa seba. Riziko R = P × D sa zaradí do úrovní: 80 až 100 veľmi vysoké (opatrenia bezodkladne, prevádzka je od nich podmienená), 45 až 79 vysoké, 20 až 44 stredné, 10 až 19 nízke a 1 až 9 veľmi nízke (možno akceptovať).
Šablóna s výpočtom
Hodnoty upravte podľa seba, riziko sa prepočíta. Riadky sú naša ilustrácia, nie posúdenie konkrétnej firmy.
| Aktívum | Hrozba a zraniteľnosť | Pravdepodobnosť | Následok | Riziko | Ošetrenie |
|---|---|---|---|---|---|
| Firemný web a e-shop | DDoS útok, slabá ochrana perimetra | 36 | zníženie: ochrana proti DDoS a WAF, aktualizácie | ||
| Účtovný systém | zneužitie identity, prístup len heslom | 32 | zníženie: viacfaktorové overovanie, kontrola oprávnení | ||
| Súborový server | ransomware, zálohy v tej istej sieti | 60 | zníženie: oddelené zálohy, test obnovy | ||
| Hosting webu u dodávateľa | výpadok alebo nedodržanie zmluvy | 24 | presun: zmluva podľa § 19 ods. 2, SLA | ||
| Pracovné notebooky | strata alebo krádež | 24 | zníženie: šifrovanie diskov, zvyšok zachovať |
Text v bunkách sa dá prepísať. Tabuľku si skopírujte do tabuľkového editora, stránka nič neukladá. Hrozby na doplnenie nájdete vo Verejnom katalógu hrozieb NBÚ.
Ošetrenie rizík
Metodika NBÚ (kap. 8) pozná štyri metódy, preferuje zníženie rizika a riziká rieši od najvyššieho:
- Zníženie rizika: opatrenia, ktoré znížia pravdepodobnosť alebo následok, napríklad firewall a ochrana webu proti útokom z internetu.
- Vyhnutie sa riziku: činnosť nevykonáte alebo zmeníte podmienky, napríklad iný komunikačný kanál.
- Presun rizika: časť následkov preberie poistenie alebo zmluvný partner. Zodpovednosť podľa zákona vám zostáva.
- Zachovanie rizika: riziko spĺňa kritériá akceptácie a ďalšie opatrenia netreba.
Pri webe je typickým znížením rizika služba ochrany pred webom. WEDOS NIS2 Standard znižuje pravdepodobnosť úspešného DDoS útoku a útokov na aplikáciu a zároveň ukladá logy. Ako to zapadá do ďalších opatrení, je na stránke NIS2 bezpečnostné opatrenia.