Dwa działy tej samej firmy oceniają ryzyko ataku ransomware na system sprzedaży. Dział IT stawia prawdopodobieństwo na 4, skutek na 5 i dostaje 20 punktów, czyli czerwone pole. Dział finansów, który korzysta z tej samej macierzy 5×5, stawia 2 i 4, więc ryzyko ląduje w żółtej strefie. Na posiedzeniu zarządu nikt nie potrafi powiedzieć, która ocena jest prawdziwa, bo obie są poprawne według reguł, których nikt nie spisał.
Macierz ryzyka jest najprostszym narzędziem oceny ryzyka w cyberbezpieczeństwie i właśnie dlatego łatwo ją zepsuć. Kolorowa tabela wygląda na metodę, ale bez opisanych skal, horyzontu czasu i zasady łączenia prawdopodobieństwa ze skutkiem każdy oceniający buduje własną macierz w głowie. Dobrze zbudowana daje wyniki, które dwie osoby odtworzą niezależnie od siebie.
Czym jest macierz ryzyka i do czego służy?
Macierz ryzyka to tabela, która łączy poziom prawdopodobieństwa zdarzenia z poziomem jego skutku i przypisuje tej parze poziom ryzyka. Służy do porównania wielu scenariuszy na jednej skali i do ustalenia, którymi zająć się najpierw. Nie zastępuje identyfikacji zagrożeń ani decyzji o postępowaniu z ryzykiem, tylko porządkuje wyniki oceny ryzyka.
Miejsce macierzy dobrze opisuje NIST Cybersecurity Framework 2.0 z 26 lutego 2024 r. W kategorii ID.RA podkategoria ID.RA-04 mówi o identyfikowaniu i zapisywaniu potencjalnych skutków i prawdopodobieństwa, a ID.RA-05 o wykorzystaniu zagrożeń, podatności, prawdopodobieństwa i skutków do zrozumienia ryzyka inherentnego i ustalenia priorytetów reakcji. Macierz jest narzędziem tego drugiego kroku.
Szerszy obraz procesu, od inwentaryzacji aktywów po raport, opisuje przewodnik czym jest analiza ryzyka IT, a metodyki ISO 27005, NIST RMF i FAIR porównuje tekst o ocenie ryzyka cyberbezpieczeństwa, w którym jest też podstawowy przykład macierzy 5×5. Sama macierz wymaga jednak kilku osobnych decyzji: o skalach, o sposobie łączenia ocen i o progach.
Dlaczego ta sama macierz 5×5 daje różne wyniki?
Ta sama macierz daje różne wyniki, bo jej poziomy nie mają definicji, a każdy oceniający uzupełnia je własnym doświadczeniem. Słowo „prawdopodobne” znaczy dla administratora co innego niż dla dyrektora finansowego.
NIST SP 800-30 Rev. 1 z września 2012 r. opisuje to wprost: jeśli każda wartość skali jakościowej nie jest jasno zdefiniowana albo zilustrowana przykładami, różni eksperci mogą dojść do znacząco różnych wyników. Ten sam dokument wskazuje dwa środki zaradcze: uzasadnienie przy każdej przypisanej wartości oraz tabele lub inne dobrze zdefiniowane funkcje łączenia wartości.
W praktyce oznacza to trzy dokumenty, a nie jeden. Pierwszy to definicje poziomów prawdopodobieństwa, drugi to definicje poziomów skutku, trzeci to zasada, która z pary tych ocen robi poziom ryzyka. Dopiero komplet pozwala odtworzyć ocenę po roku, po zmianie zespołu albo przed audytorem.
Ocena ryzyka w szczególnych środowiskach dokłada własne kryteria skutku. Dlaczego ocena podatności nie jest oceną ryzyka procesu produkcyjnego, wyjaśnia tekst o ocenie ryzyka w OT.
Jak zdefiniować skalę prawdopodobieństwa?
Skalę prawdopodobieństwa definiuje się przez częstość albo opis szansy w ustalonym horyzoncie czasu, na przykład w ciągu najbliższych 12 miesięcy. Bez horyzontu ocena „wysokie” nie znaczy nic, bo prawie każde zdarzenie jest prawdopodobne w ciągu dekady.
NIST SP 800-30 Rev. 1 zaleca, żeby oceny prawdopodobieństwa i skutku wiązać z określonym okresem. Dla zdarzeń niecelowych, takich jak awaria lub błąd, dokument podaje w tabeli G-3 przykładowe progi częstości:
| Poziom | Opis według NIST SP 800-30 (tabela G-3) | Jak zapisać w polityce firmy |
|---|---|---|
| Bardzo wysoki | częściej niż 100 razy w roku | zdarzenie widoczne w logach co tydzień |
| Wysoki | od 10 do 100 razy w roku | zdarzenie co miesiąc lub częściej |
| Średni | od 1 do 10 razy w roku | zdarzenie kilka razy w roku |
| Niski | rzadziej niż raz w roku, ale częściej niż raz na 10 lat | zdarzenie znane z historii firmy |
| Bardzo niski | rzadziej niż raz na 10 lat | zdarzenie znane tylko z branży |
Dla działań celowych, takich jak atak, częstość bywa nieznana. NIST opisuje wtedy poziomy słownie, od „prawie pewne, że przeciwnik podejmie działanie” po „wysoce nieprawdopodobne”. Te opisy warto przełożyć na fakty, które oceniający może sprawdzić: czy podobne ataki dotknęły firmy z branży, czy podatność jest wystawiona do internetu, czy istnieje publiczny exploit.
Pomaga też rozbicie oceny na dwa kroki, które NIST łączy w tabeli G-5. Pierwszy krok to szansa, że zdarzenie w ogóle wystąpi, drugi to szansa, że po wystąpieniu wyrządzi szkodę. Kampania phishingowa, po której przechwycone hasło nie wystarcza do zalogowania, bo konto chroni uwierzytelnianie wieloskładnikowe, ma wysoki pierwszy krok i niski drugi.
Jak zdefiniować skalę skutku, żeby nie mierzyć tylko pieniędzy?
Skalę skutku definiuje się w kilku wymiarach naraz, a ocenę bierze z najwyższego z nich. Strata finansowa jest jednym wymiarem, obok przestoju procesów, wycieku danych osobowych, konsekwencji regulacyjnych i szkód dla klientów.
NIST SP 800-30 Rev. 1 w tabeli H-3 opisuje skutki dla działalności organizacji, jej aktywów, osób, innych organizacji i państwa. Poziom wysoki oznacza tam na przykład poważną degradację zdolności do realizacji podstawowych funkcji albo dużą stratę finansową, a poziom średni istotne obniżenie skuteczności tych funkcji przy zachowaniu ich realizacji.
Dla danych osobowych perspektywa jest inna. RODO w motywie 76 wymaga, żeby prawdopodobieństwo i powagę ryzyka naruszenia praw lub wolności osoby, której dane dotyczą, określać przez odniesienie do charakteru, zakresu, kontekstu i celów przetwarzania. Skutek mierzy się tu dla osoby, nie dla firmy, więc wyciek tysiąca rekordów z danymi zdrowotnymi może być skutkiem krytycznym przy niewielkiej stracie finansowej.
Praktyczna forma to tabela, w której każdy wymiar ma własne kolumny z progami, a wiersze odpowiadają poziomom skutku. Oceniający zaznacza poziom w każdym wymiarze i bierze najwyższy. Taki zapis nie pozwala ukryć wycieku danych za niską kwotą ani długiego przestoju za brakiem kar.
Jak połączyć prawdopodobieństwo i skutek w poziom ryzyka?
Prawdopodobieństwo i skutek łączy się zapisaną regułą: tabelą, wzorem albo zestawem warunków, a nie zwyczajem. Mnożenie dwóch ocen jest najprostszą regułą, ale nie jedyną i nie zawsze najlepszą.
Problem z mnożeniem wynika z natury skal porządkowych. Liczby od 1 do 5 oznaczają kolejność, nie równe odstępy, a iloczyn 4 powstaje zarówno z pary 1 i 4, jak i 2 i 2. Zdarzenie bardzo rzadkie o poważnym skutku i zdarzenie częste o umiarkowanym skutku lądują w tym samym polu, choć wymagają zupełnie innej reakcji.
NIST SP 800-30 Rev. 1 nie narzuca algorytmu łączenia ocen półilościowych i zaznacza, że reguły łączenia odzwierciedlają tolerancję ryzyka organizacji. Przykładowa tabela I-2 z tego dokumentu jest asymetryczna. Bardzo wysokie prawdopodobieństwo przy bardzo niskim skutku daje tam ryzyko bardzo niskie, a niskie prawdopodobieństwo przy bardzo wysokim skutku daje ryzyko średnie. Skutek waży więcej niż częstość.
Taką asymetrię warto zapisać świadomie. Jeśli firma nie akceptuje żadnego scenariusza o skutku krytycznym, reguła może brzmieć: każdy skutek krytyczny daje co najmniej ryzyko wysokie, niezależnie od prawdopodobieństwa. Tabela pozwala zapisać taką zasadę wprost, a iloczyn ją rozmywa.
Najważniejsze:
- Każdy poziom skali potrzebuje definicji i horyzontu czasu, inaczej oceniający budują własne skale.
- Skutek ocenia się w kilku wymiarach i bierze najwyższy z nich.
- Regułę łączenia prawdopodobieństwa i skutku trzeba zapisać, a tabela wyraża ją lepiej niż iloczyn.
Ile poziomów powinna mieć skala?
Skala powinna mieć tyle poziomów, ile oceniający potrafią rozróżnić na podstawie definicji. Pięć poziomów daje wrażenie precyzji, ale jeśli opisy sąsiednich poziomów się zlewają, ocena i tak zależy od nastroju oceniającego.
NIST SP 800-30 Rev. 1 zwraca uwagę, że zakres wartości w ocenach jakościowych jest zwykle mały, co utrudnia ustalanie względnych priorytetów w zbiorze ryzyk. Jako alternatywę dokument opisuje skale półilościowe z przedziałami, na przykład 0–15, 16–35, 36–70, 71–85 i 86–100, które łatwo przełożyć na słowa, a jednocześnie pozwalają porównać ryzyka w obrębie jednego przedziału.
Skala czterostopniowa ma jedną zaletę: nie ma środka, w który ucieka niezdecydowany oceniający. Przy kilkuset scenariuszach, na przykład w dużej grupie kapitałowej, przydaje się skala 0–100 z opisanymi przedziałami. Ten sam dokument dopuszcza różne skale dla systemów o różnym znaczeniu.
Gdzie wyznaczyć progi kolorów i kto je ustala?
Progi kolorów ustala zarząd albo osoba, która odpowiada za akceptację ryzyka, bo to decyzja o tym, ile ryzyka firma przyjmuje bez dalszych działań. Zespół bezpieczeństwa przygotowuje propozycję, ale nie powinien sam decydować, gdzie kończy się zielone pole.
Wymagania regulacyjne wskazują ten sam kierunek. Stan prawny na 19 września 2026 r. Art. 20 ust. 1 dyrektywy NIS2 zobowiązuje państwa członkowskie do zapewnienia, by organy zarządzające podmiotów kluczowych i ważnych zatwierdzały środki zarządzania ryzykiem w cyberbezpieczeństwie i nadzorowały ich wdrażanie. W Polsce dyrektywę wdraża ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym nowelizacją z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), obowiązującą od 3 kwietnia 2026 r. W sektorze finansowym rozporządzenie DORA w art. 5 ust. 2 lit. d przypisuje organowi zarządzającemu określenie odpowiedniego poziomu tolerancji ryzyka związanego z ICT. NIST CSF 2.0 w podkategorii GV.RM-02 wymaga ustalenia, komunikowania i utrzymywania deklaracji apetytu na ryzyko i tolerancji ryzyka.
Próg zapisany w polityce powinien od razu mówić, co się dzieje z ryzykiem w danej strefie. Czerwone pole bez przypisanej decyzji, terminu i właściciela jest tylko kolorem.
Jakie błędy psują macierz ryzyka?
Macierz psuje przede wszystkim ocenianie bez definicji, ale są też błędy subtelniejsze, które przechodzą przez przegląd, bo wyglądają na metodę.
- Ocenianie aktywów zamiast scenariuszy. „Serwer pocztowy: ryzyko 15” nie mówi, przed czym chronić serwer. Oceniać trzeba zdarzenie: kto, czym, z jakim skutkiem.
- Mieszanie ryzyka inherentnego i rezydualnego. Jeśli część zespołu ocenia przed zabezpieczeniami, a część po nich, ranking traci sens. Obie oceny powinny stać w rejestrze obok siebie.
- Podwójne liczenie zabezpieczeń. Uwierzytelnianie wieloskładnikowe obniża prawdopodobieństwo przejęcia konta, ale nie powinno obniżać jednocześnie skutku tego samego scenariusza.
- Ucieczka do środka skali. Gdy definicje są niejasne, oceny skupiają się na poziomie 3 i macierz przestaje różnicować ryzyka.
- Ocena bez daty. Ocena prawdopodobieństwa z ubiegłego roku nie uwzględnia nowych podatności i zmian w infrastrukturze.
Badacze ryzyka opisują też ograniczenia samej formy. Louis Anthony Cox Jr. w artykule „What’s Wrong with Risk Matrices?” (Risk Analysis, 2008) pokazał, że macierz może przypisać tę samą ocenę ryzykom bardzo różnym ilościowo, a w niektórych układach wyżej ocenić ryzyko mniejsze. To argument za opisanymi skalami i świadomie zaprojektowaną tabelą, nie za porzuceniem macierzy.
Kiedy macierz przestaje wystarczać?
Macierz przestaje wystarczać, gdy zarząd porównuje inwestycje w pieniądzach i pyta, ile ryzyka zdejmie konkretny wydatek. Kolory pokazują kolejność, ale nie pozwalają policzyć zwrotu z zabezpieczenia.
NIST SP 800-30 Rev. 1 opisuje oceny ilościowe jako te, które najlepiej wspierają analizę kosztów i korzyści alternatywnych reakcji na ryzyko. Ten sam dokument przestrzega, że korzyści z rygoru ilościowego mogą być mniejsze niż koszt czasu ekspertów i narzędzi, a precyzja liczb jest pozorna, gdy schowano w nich subiektywne założenia.
Rozsądny układ łączy oba podejścia. Macierz porządkuje cały rejestr i wskazuje kilka scenariuszy o najwyższym poziomie, a analiza ilościowa wchodzi tylko tam, gdzie decyzja dotyczy dużego budżetu albo wyboru między rozwiązaniami. Szersze ramy procesu, w które to się wpisuje, opisuje przewodnik po zarządzaniu ryzykiem.
Jak zbudować macierz ryzyka krok po kroku?
Macierz buduje się od definicji, a nie od kolorów: najpierw horyzont i skale, potem reguła łączenia, na końcu progi i decyzje przypisane strefom. Poniższa tabela zbiera decyzje, które trzeba podjąć i udokumentować.
| Krok | Decyzja do podjęcia | Kto decyduje | Dowód w dokumentacji | Błąd do uniknięcia |
|---|---|---|---|---|
| Horyzont czasu | w jakim okresie oceniamy prawdopodobieństwo i skutek | właściciel metodyki | zapis w polityce zarządzania ryzykiem | ocena „kiedykolwiek” |
| Skala prawdopodobieństwa | liczba poziomów, progi częstości, opisy dla ataków | zespół bezpieczeństwa | tabela definicji z przykładami | poziomy opisane jednym słowem |
| Skala skutku | wymiary i progi w każdym wymiarze | właściciele procesów i IOD | tabela wymiarów skutku | tylko kwota strat |
| Reguła łączenia | tabela, wzór albo warunki minimalne | właściciel metodyki | zapisana tabela poziomów ryzyka | domyślny iloczyn bez uzasadnienia |
| Progi i strefy | co oznacza każdy poziom ryzyka | zarząd | uchwała albo zatwierdzona polityka | kolory bez przypisanych decyzji |
| Kalibracja | czy dwie osoby oceniają tak samo | zespół oceniający | ocena próbnych scenariuszy | uruchomienie bez testu |
| Przegląd | kiedy zmieniać skale, a kiedy oceny | właściciel metodyki | harmonogram i wyzwalacze przeglądu | ocena bez daty |
Kalibracja to krok, który łatwo pominąć. Wystarczy, że dwie osoby niezależnie ocenią pięć tych samych scenariuszy. Rozbieżność o więcej niż jeden poziom wskazuje definicję do poprawy, zanim macierz trafi do całej organizacji.
Najważniejsze:
- Kolejność budowy: horyzont, skale, reguła łączenia, progi, kalibracja.
- Progi zatwierdza zarząd, bo wyznaczają ryzyko przyjmowane bez działań.
- Próbna ocena kilku scenariuszy przez dwie osoby wykrywa nieprecyzyjne definicje.
Jak nFlo może pomóc w budowie macierzy ryzyka?
W obszarze „Ład, ryzyko i zgodność” nFlo buduje macierze ryzyka w ramach usługi ISO/IEC 27005 – zarządzanie ryzykiem bezpieczeństwa informacji: skale prawdopodobieństwa i skutku dopasowuje do kontekstu organizacji, a progi akceptacji ryzyka ustala wspólnie z zarządem. Wynikiem jest macierz powiązana z rejestrem ryzyk i planem postępowania z ryzykiem.
Gdy firma potrzebuje oceny całego obszaru, usługa przeglądy i doradztwo w obszarze analizy ryzyka obejmuje metodyki ISO 27005, NIST RMF i FAIR, a FAIR stosujemy wtedy, gdy zarząd oczekuje wyrażenia ryzyka w pieniądzach zamiast kolorów. Jeśli chcesz sprawdzić, czy Twoja macierz daje powtarzalne wyniki, skontaktuj się z nami.
Co jeszcze warto wiedzieć o macierzy ryzyka?
Czy można mnożyć prawdopodobieństwo przez skutek?
Można, ale wynik bywa mylący. Na skali porządkowej 1–5 odległości między poziomami nie są równe, a iloczyn 4 powstaje zarówno z pary 1 i 4, jak i 2 i 2. NIST SP 800-30 Rev. 1 nie narzuca żadnego algorytmu łączenia i podaje przykładową tabelę, w której skutek waży więcej niż prawdopodobieństwo.
Ile poziomów powinna mieć skala w macierzy ryzyka?
Tyle, ile oceniający potrafią rozróżnić na podstawie definicji. NIST zauważa, że wąski zakres skali jakościowej utrudnia ustalanie priorytetów, dlatego przy wielu ryzykach przydaje się skala półilościowa, na przykład 0–100 z opisanymi przedziałami.
Czym różni się ryzyko inherentne od rezydualnego na macierzy?
Ryzyko inherentne ocenia się przed uwzględnieniem planowanych zabezpieczeń, rezydualne po ich wdrożeniu. Obie oceny powinny stać w rejestrze obok siebie, żeby było widać, ile ryzyka zdjęło dane zabezpieczenie.
Czy RODO albo NIS2 wymagają macierzy ryzyka?
Stan prawny na 19 września 2026 r. Ani RODO, ani dyrektywa NIS2 nie wymieniają macierzy ryzyka. RODO każe jednak uwzględniać ryzyko o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, a NIS2 zobowiązuje państwa członkowskie do zapewnienia, by organy zarządzające zatwierdzały środki zarządzania ryzykiem; w Polsce robi to ustawa o krajowym systemie cyberbezpieczeństwa.
Jak często aktualizować macierz ryzyka?
Same skale i progi zmienia się rzadko, najlepiej przy przeglądzie metodyki, a oceny poszczególnych ryzyk przy każdej istotnej zmianie. NIST SP 800-30 opisuje utrzymanie oceny jako stałe monitorowanie czynników ryzyka, takich jak zagrożenia, podatności i możliwości atakujących.
