Analiza ryzyka w ochronie danych — jak ją przeprowadzić

Podejście oparte na ryzyku

Przed RODO polskie przepisy podawały zabezpieczenia wprost: rozporządzenie z 2004 r. dzieliło przetwarzanie na trzy poziomy bezpieczeństwa i do każdego przypisywało listę środków — długość hasła, częstotliwość jego zmiany, zasady kopii zapasowych. Wystarczyło ustalić poziom i odhaczyć listę.

RODO odeszło od tego modelu. Art. 24 ust. 1 każe administratorowi wdrożyć środki techniczne i organizacyjne, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób o różnym prawdopodobieństwie i wadze. Art. 32 ust. 1 powtarza to dla bezpieczeństwa przetwarzania, a ust. 2 wskazuje, jakie ryzyko ocenić: przypadkowe lub niezgodne z prawem zniszczenie, utratę, modyfikację, nieuprawnione ujawnienie danych lub nieuprawniony dostęp do nich. Na tej samej logice opierają się ochrona danych w fazie projektowania (art. 25), ocena skutków (art. 35) i ocena naruszenia (art. 33–34).

Zmiana jest zasadnicza: zamiast jednej listy dla wszystkich każda organizacja sama ustala, co jej grozi, i sama odpowiada za to, czy dobrane środki są wystarczające.

Ważne jest też, czyje ryzyko się ocenia. Klasyczne zarządzanie ryzykiem w bezpieczeństwie informacji pyta o straty organizacji. RODO pyta o skutki dla osoby, której dane dotyczą — motyw 75 wymienia dyskryminację, kradzież tożsamości, stratę finansową, naruszenie dobrego imienia czy utratę kontroli nad własnymi danymi. Wyciek listy kandydatów do pracy kosztuje firmę niewiele, a kandydata, który nie chciał, żeby obecny pracodawca wiedział o jego poszukiwaniach — bardzo dużo.

Po co przeprowadza się analizę

Metodyki analizy ryzyka

RODO nie wskazuje metodyki i Prezes UODO jej nie narzuca. Wybór należy do administratora — pod warunkiem, że metoda jest opisana, stosowana konsekwentnie i daje wynik, który da się uzasadnić. Najczęściej spotyka się cztery podejścia:

Metody można łączyć — i w praktyce się je łączy: scenariusze z ISO/IEC 27005 porządkują analizę, a skutek ocenia się z perspektywy osoby, jak chce RODO.

Cztery elementy scenariusza

Analiza scenariuszowa składa się z czterech list. Każdy scenariusz to jedno zdanie zbudowane z ich pozycji: „zagrożenie X może wykorzystać podatność Y aktywa Z, przed czym chronią zabezpieczenia W”.

Ryzyko ocenia się dwa razy. Ryzyko wrodzone to ocena scenariusza tak, jakby zabezpieczeń nie było. Ryzyko rezydualne (szczątkowe) to ocena po uwzględnieniu zabezpieczeń, które rzeczywiście funkcjonują. Różnica między nimi pokazuje, ile dają zastosowane środki — a samo ryzyko rezydualne jest tym, co administrator ostatecznie akceptuje albo postanawia dalej obniżać.

Jak ją przeprowadzić — krok po kroku

1. Określ zakres. Analiza obejmuje czynności z rejestru czynności. Przy kilkudziesięciu czynnościach dzieli się je na grupy tematyczne — kadry, sprawy interesantów, monitoring, finanse — i dla każdej grupy prowadzi osobną analizę.
2. Zinwentaryzuj aktywa używane w tych czynnościach — razem z ludźmi, którzy z nich korzystają, bo informatyk zna serwer, a nie zna szafy w sekretariacie.
3. Zidentyfikuj zagrożenia i podatności — realne dla tej organizacji, a nie wszystkie możliwe.
4. Zbuduj scenariusze, łącząc aktywo, zagrożenie i podatność. W typowej grupie czynności jest ich kilkanaście.
5. Oceń ryzyko wrodzone — prawdopodobieństwo i skutek dla poufności, integralności i dostępności danych, bez uwzględnienia zabezpieczeń.
6. Przypisz zabezpieczenia, które faktycznie działają, i oceń ryzyko rezydualne.
7. Wybierz strategię postępowania z ryzykiem: akceptację, redukcję (dodatkowe środki), transfer (np. ubezpieczenie, powierzenie wyspecjalizowanemu podmiotowi) albo unikanie (rezygnację z czynności lub zmianę jej sposobu).
8. Sporządź raport i przedstaw go do zatwierdzenia kierownikowi jednostki — to on podejmuje decyzję o akceptacji ryzyka.
9. Przeglądaj analizę co najmniej raz w roku i po każdej istotnej zmianie: nowym systemie, nowej czynności, zmianie dostawcy, naruszeniu.

Dlaczego nie ma analizy „dla wszystkich”

Weźmy jedną czynność — naliczanie wynagrodzeń — w trzech organizacjach:

Czynność ta sama, ale aktywa, podatności i zabezpieczenia — zupełnie inne. W gminie głównym scenariuszem jest złośliwe oprogramowanie w sieci, w żłobku — wgląd w papierowe dokumenty i awaria jedynego komputera, w firmie — przejęcie konta w chmurze i zgubiony telefon. Analiza przepisana z jednej organizacji do drugiej opisuje ryzyko, którego tam nie ma, i pomija to, które jest.

Gotowa analiza „z szablonu” jest przy tym gorsza niż jej brak: wymienia zabezpieczenia, których organizacja nie stosuje, więc przy kontroli albo po naruszeniu staje się dokumentem nieprawdziwym, podpisanym przez kierownika jednostki.

Gotowe listy mają sens w innej roli — jako słownik startowy, z którego wybiera się pozycje pasujące do organizacji, dopisuje brakujące i usuwa obce. Punktem wyjścia może być cudza lista; wynikiem musi być własna analiza.

Metodyka SZODO i dlaczego taka

Moduł analizy ryzyka w SZODO stosuje analizę scenariuszową zgodną z podejściem ISO/IEC 27005, z jakościową oceną prawdopodobieństwa i skutku. Metodyka została odwzorowana z rzeczywistej analizy ryzyka jednostki samorządowej i działa tak:

• Skala 1–4 osobno dla prawdopodobieństwa (P) i skutku (S), poziom ryzyka R = P × S w zakresie 1–16: Niskie 1–3 Średnie 4–7 Wysokie 8–11 Krytyczne 12–16.
• Trzy oceny w każdym scenariuszu — osobno dla poufności, integralności i dostępności.
• Ryzyko rezydualne liczone regułą: każde zabezpieczenie obniża prawdopodobieństwo o 10%, łącznie najwyżej o 60%, a od czterech zabezpieczeń skutek spada o jeden stopień.
• Wynik analizy to najgorszy scenariusz, a nie średnia — osobno przed i po zabezpieczeniach.
• Strategia wybierana spośród czterech: akceptacja, redukcja, transfer, unikanie — z uzasadnieniem w raporcie.

Każdy z tych wyborów ma powód:

Najważniejsze jest jednak to, że cztery listy — aktywa, zagrożenia, podatności i zabezpieczenia — każdy administrator danych ma własne. Zestaw startowy jest dostępny, ale tylko jako punkt wyjścia: dopisuje się do niego własne pozycje, a niepasujące archiwizuje.

Raport z analizy — przykład

Analiza kończy się raportem, który kierownik jednostki zatwierdza podpisem. Raport powinien zawierać metodykę (skalę, progi, sposób liczenia ryzyka rezydualnego), zakres i kontekst, listy aktywów, zagrożeń, podatności i zabezpieczeń użytych w scenariuszach, same scenariusze z ocenami, wynik oraz strategię z uzasadnieniem. Bez rozdziału metodycznego liczby w raporcie są nie do zweryfikowania.

Poniżej skrócony przykład — trzy scenariusze dla czynności „Rekrutacja pracowników” w fikcyjnej spółce. Prawdziwa analiza tej czynności miałaby ich kilkanaście, ale układ jest taki sam jak w raporcie generowanym przez SZODO, a wartości rezydualne wyliczono opisaną wyżej regułą.

Warto zwrócić uwagę na dwie rzeczy. Po pierwsze, wynik analizy wyznacza najgorszy scenariusz: dwa scenariusze o wysokim ryzyku wrodzonym spadły do niskiego i średniego dzięki zabezpieczeniom, ale wynik rezydualny całej analizy wyznacza scenariusz 2, w którym zabezpieczeń jest najmniej. Po drugie, ten sam scenariusz w innej spółce — z recepcją, w której kandydaci czekają osobno — miałby inną podatność i inny wynik. Dlatego przykład jest przykładem, a nie wzorem do przepisania.

Najczęstsze pytania

W praktyce

Jak wygląda analiza ryzyka w SZODO

Analizę prowadzi się w SZODO jako kreator w trzech krokach — identyfikacja (zakres i kontekst), scenariusze, ocena i strategia — a każdy krok zapisuje się od razu, bo analizę wykonuje się zwykle przez kilka dni. Zakres wybiera się z rejestru czynności przetwarzania, a wynik analizy widać potem w podglądzie każdej objętej nią czynności.

Ryzyko wrodzone i rezydualne pokazuje się na żywo przy każdym scenariuszu, macierz zaznacza komórki, w które trafiły oceny, a gotowa analiza kończy się raportem PDF w układzie pokazanym wyżej — dla pojedynczej analizy albo zbiorczym dla wszystkich analiz administratora, z rozdziałem metodycznym i macierzą ryzyka.

Własne listy, zestaw startowy, Asystent AI

Aktywa, zagrożenia, podatności i zabezpieczenia to słowniki konkretnego administratora danych. Można wgrać zestaw startowy z rzeczywistej analizy jednostki samorządowej, dopisywać pozycje ręcznie albo pobrać listę do arkusza, poprawić ją i wgrać z powrotem. Po podłączeniu Asystenta AI aplikacja proponuje scenariusze — ale wyłącznie z pozycji istniejących w Twoich słownikach, a każda propozycja czeka na zatwierdzenie przez człowieka. Asystent ocenia tylko ryzyko wrodzone; rezydualne zawsze liczy aplikacja.