6.1.2 Ocena ryzyka bezpieczeństwa informacji
W skrócie: serce normy. Trzeba mieć zdefiniowany, powtarzalny proces, który znajduje ryzyka dla informacji, szacuje je i ustala, którymi zająć się najpierw.
Czego wymaga norma
Organizacja musi zdefiniować i stosować proces oceny ryzyka, który:
- ustala kryteria ryzyka — w tym kryteria akceptacji ryzyka i kryteria przeprowadzania ocen;
- daje spójne, wiarygodne i porównywalne wyniki przy powtarzaniu oceny;
- identyfikuje ryzyka związane z utratą poufności, integralności i dostępności informacji w zakresie SZBI oraz wskazuje właścicieli tych ryzyk;
- analizuje ryzyka — ocenia możliwe skutki, realistyczne prawdopodobieństwo i ustala poziom ryzyka;
- ewaluuje ryzyka — porównuje wyniki analizy z kryteriami i ustala priorytety postępowania.
Organizacja musi zachować udokumentowaną informację o procesie oceny ryzyka.
W praktyce
- Norma nie narzuca metody. Od wydania 2013 nie wymaga podejścia opartego na aktywach, zagrożeniach i podatnościach — można identyfikować ryzyka przez scenariusze zdarzeń. Wytyczne do obu podejść daje ISO/IEC 27005.
- Identyfikuje się ryzyka, nie same zagrożenia. Zagrożenie („ransomware”) staje się ryzykiem dopiero razem ze skutkiem dla konkretnych informacji i prawdopodobieństwem.
- Kryteria akceptacji ustala się przed oceną, np. „ryzyka o poziomie poniżej 6 w skali 1–25 może zaakceptować właściciel ryzyka, wyższe — tylko zarząd”.
- Powtarzalność oznacza, że dwie osoby oceniające to samo ryzyko powinny dojść do podobnego wyniku. Pomagają opisane skale skutków i prawdopodobieństwa z przykładami.
Co pokazać audytorowi
- metodykę oceny ryzyka (skale, kryteria akceptacji, częstotliwość),
- rejestr ryzyk z właścicielami (to już wynik — wymaganie z 8.2).