Analiza ryzyka,
która żyje cały rok

Jak to działa

Od aktywów do planu postępowania

1. Aktywa — analiza zaczyna się od inwentaryzacji: systemy, dane, sprzęt, ludzie, lokalizacje. Każde aktywo ma właściciela i klasyfikację.

2. Zagrożenia i podatności — do aktywów przypisujesz zagrożenia z podpowiadanej biblioteki (albo własne) oraz podatności, które je urealniają.

3. Szacowanie — prawdopodobieństwo × skutek według skali przyjętej w organizacji; system liczy poziom ryzyka i porównuje z kryteriami akceptacji.

4. Postępowanie z ryzykiem — dla ryzyk powyżej progu: plan postępowania (redukcja, przeniesienie, unikanie, akceptacja), przypisane zabezpieczenia, odpowiedzialni i terminy.

5. Monitorowanie — przeglądy okresowe z przypomnieniami, historia zmian poziomu ryzyka i dowód, że analiza jest procesem, a nie dokumentem.

Dla audytora i organu

Dowody zamiast deklaracji

• Rejestr ryzyk z pełną historią — kiedy ryzyko zidentyfikowano, jak zmieniał się jego poziom, co zrobiono
• Powiązanie ryzyko → zabezpieczenie → aktywo: audytor widzi, że zabezpieczenia wynikają z analizy, a nie odwrotnie
• Raport z szacowania ryzyka na przegląd zarządzania generowany z systemu
• Mapowanie na wymagania: ISO 27001 (pkt 6.1, 8.2, 8.3), art. 8 ust. 1 ustawy o KSC, środki NIS2