Narzędzie · art. 24 i 32 RODO
Prosta analiza ryzyka — spróbuj na jednej czynności
Analiza ryzyka kojarzy się z arkuszem o kilkuset wierszach, którego nikt nie chce otwierać. Tu zaczynasz od jednej czynności, którą sam wpiszesz, odpowiadasz na trzy pytania i przeklikujesz podpowiedzi. Po kilku minutach widzisz, co Twojej organizacji grozi i ile dają zabezpieczenia, które już macie.
▶ Film: jak skorzystać z formularza na przykładzie (2 min 5 s) ›
Co ten formularz robi
Na podstawie Twoich odpowiedzi dobiera dwa–trzy typowe scenariusze, podstawia oceny prawdopodobieństwa i skutku, a po zaznaczeniu zabezpieczeń liczy ryzyko po ich uwzględnieniu — tą samą regułą co aplikacja SZODO. Na końcu pokazuje podgląd raportu z macierzą ryzyka.
Czego nie robi — i dlaczego
Nie zastępuje analizy ryzyka organizacji. Obejmuje jedną czynność, kilka scenariuszy z gotowego katalogu i jeden aspekt bezpieczeństwa na scenariusz. Niczego nie zapisuje, nie drukuje i nie tworzy PDF — odświeżenie strony kasuje wszystko.
Podgląd analizy nie jest przeznaczony do druku. Raport do podpisu, w formacie PDF, powstaje w aplikacji SZODO.
To jest ryzyko odnoszące się tylko do jednej czynności. Ile ich ma Twoja organizacja?
Typowy urząd albo firma ma ich kilkadziesiąt. W SZODO analizę prowadzi się dla grup czynności wybranych wprost z rejestru — z własnymi listami aktywów, zagrożeń, podatności i zabezpieczeń, kilkunastoma scenariuszami na grupę i oceną osobno dla poufności, integralności i dostępności. Każdy krok zapisuje się od razu, można wrócić następnego dnia, a analiza kończy się raportem PDF do podpisu kierownika jednostki. Bez arkusza, bez formuł, bez wersji „ostateczna_v3.xlsx”.
Jak formularz liczy ryzyko
Każdy scenariusz ma ocenę prawdopodobieństwa (P) i skutku (S) w skali 1–4. Ryzyko to ich iloczyn: 1–3 — niskie, 4–7 — średnie, 8–11 — wysokie, 12–16 — krytyczne. Każde zaznaczone zabezpieczenie obniża prawdopodobieństwo o 10% (łącznie najwyżej o 60%), a od czterech zabezpieczeń skutek spada o jeden stopień. Wynik całej analizy wyznacza najgorszy scenariusz, nie średnia.
To ta sama reguła, którą stosuje moduł analizy ryzyka w SZODO. Uproszczenie dotyczy zakresu, nie arytmetyki: tutaj każdy scenariusz ocenia się dla jednego aspektu bezpieczeństwa, a w aplikacji — osobno dla poufności, integralności i dostępności. Więcej o metodzie w opracowaniu Analiza ryzyka w ochronie danych.
Najczęstsze pytania
Czy wynik z formularza wystarczy jako analiza ryzyka?
Nie. Formularz pokazuje sposób myślenia i rząd wielkości ryzyka dla jednej czynności. Analiza ryzyka organizacji obejmuje wszystkie czynności z rejestru, scenariusze dobrane do jej rzeczywistych aktywów i podatności oraz udokumentowaną decyzję administratora danych.
Czy nazwa czynności i odpowiedzi trafiają na serwer?
Nie. Formularz działa w całości w przeglądarce: niczego nie wysyła i niczego nie zapisuje, a odświeżenie strony kasuje wszystko. Nie wymaga rejestracji ani adresu e-mail.
Dlaczego nie da się pobrać raportu w PDF?
Bo podgląd nie jest analizą organizacji, a dokument z podpisem kierownika jednostki powinien opisywać jej rzeczywiste ryzyko. Raport PDF — pojedynczy i zbiorczy, z rozdziałem metodycznym — powstaje w aplikacji SZODO.
Skąd formularz bierze podstawione oceny?
To typowe wartości dla małej i średniej organizacji, dobrane z praktyki inspektora ochrony danych. Są punktem wyjścia — jeżeli u Was dane zdarzenie jest częstsze albo skutek poważniejszy, zmień ocenę jednym kliknięciem.