Ocena ryzyka jest gotowa. Arkusz ma czterdzieści pozycji, każda z oceną prawdopodobieństwa i skutku, a w kolumnie „działanie” przy wszystkich stoi to samo: wdrożyć zabezpieczenie. Budżet wystarczy na dziesięć. Po pół roku audytor pyta, kto zdecydował, że pozostałe trzydzieści mogą poczekać, i nikt nie potrafi wskazać tej decyzji.
Tak wygląda mitygacja wybrana odruchowo. W cyberbezpieczeństwie postępowanie z ryzykiem to wybór spośród czterech możliwości, a ograniczanie ryzyka jest tylko jedną z nich. Wybór między nimi to decyzja zarządcza, a nie techniczna, więc musi zostać zapisany tak, żeby obronił się przed zarządem i regulatorem.
Czym jest mitygacja ryzyka i czym różni się od oceny ryzyka?
Mitygacja ryzyka to wybór i wdrożenie zabezpieczeń, które zmniejszają ryzyko do poziomu akceptowalnego dla organizacji. NIST definiuje ją jako priorytetyzację, ocenę i wdrożenie odpowiednich zabezpieczeń ograniczających ryzyko, zalecanych w procesie zarządzania ryzykiem. Definicja zakłada, że zabezpieczenia wynikają z procesu zarządzania ryzykiem, czyli przychodzą po ocenie, a nie zamiast niej.
Ocena ryzyka odpowiada na pytanie, jak duże jest ryzyko — jakie aktywa są zagrożone, przez co i z jakim skutkiem. Metody tej oceny, od inwentaryzacji aktywów po skalę punktową, opisuje artykuł ocena ryzyka cyberbezpieczeństwa, a ogólne etapy — tekst o tym, czym jest analiza ryzyka IT. Postępowanie z ryzykiem odpowiada na kolejne pytanie: co z tym zrobimy.
Obie czynności są częściami jednego cyklu, który słownik opisuje jako zarządzanie ryzykiem. W praktyce często się je myli, bo ten sam arkusz zawiera ocenę i plan działań. Różnica ma jednak znaczenie dla odpowiedzialności: ocenę może przygotować zespół bezpieczeństwa, ale decyzję o tym, które ryzyko firma przyjmuje, podejmuje osoba z odpowiednim mandatem.
Jakie są cztery sposoby postępowania z ryzykiem?
Cztery sposoby postępowania z ryzykiem to akceptacja, unikanie, mitygacja oraz przeniesienie lub podzielenie się ryzykiem. NIST definiuje reagowanie na ryzyko właśnie jako akceptowanie, unikanie, ograniczanie, dzielenie się albo przenoszenie ryzyka. Publikacja NIST SP 800-39 z 2011 r. wymienia pięć odpowiedzi i ich kombinację; dzielenie się i przeniesienie zwykle łączy się w jedną grupę, stąd cztery sposoby.
Obie te odpowiedzi łączy podobny mechanizm: część albo całość konsekwencji trafia do innej organizacji. Polskie nazwy bywają różne — „redukcja” zamiast „mitygacji”, „transfer” zamiast „przeniesienia” — ale treść decyzji jest ta sama.
Najważniejsza obserwacja z NIST SP 800-39 dotyczy kolejności. Dokument opisuje mitygację jako odpowiedź na tę część ryzyka, której nie da się zaakceptować, uniknąć, podzielić ani przenieść. Mitygacja nie jest więc domyślną odpowiedzią, tylko tym, co zostaje, gdy pozostałe opcje nie wystarczają lub nie mają sensu.
Ta sama publikacja opisuje też łączenie odpowiedzi w czasie. Przykład NIST: w sytuacji awaryjnej organizacja przez ograniczony czas akceptuje ryzyko niefiltrowanego połączenia z zewnętrznym dostawcą usług komunikacyjnych, potem go unika, odcinając połączenie. W krótkim terminie ogranicza ryzyko: szuka złośliwego oprogramowania i śladów nieuprawnionego dostępu z okresu niefiltrowanego połączenia. W długim wdraża zabezpieczenia, dzięki którym takie połączenia są obsługiwane bezpieczniej. Decyzja o ryzyku rzadko jest jednorazowa.
Najważniejsze:
- Postępowanie z ryzykiem to wybór: akceptacja, unikanie, mitygacja albo przeniesienie lub podzielenie się ryzykiem.
- Według NIST SP 800-39 mitygacja obejmuje tę część ryzyka, której nie da się zaakceptować, uniknąć ani przenieść.
- Odpowiedzi można łączyć w czasie, na przykład krótka akceptacja, a potem docelowe zabezpieczenie.
- Każda decyzja potrzebuje właściciela i daty przeglądu.
Kiedy akceptacja ryzyka jest właściwą decyzją?
Akceptacja ryzyka jest właściwą decyzją, gdy ryzyko mieści się w tolerancji organizacji. Tak brzmi definicja z NIST SP 800-39. Akceptacja nie oznacza zaniedbania, tylko świadome uznanie, że koszt dalszych działań przewyższa korzyść albo że ryzyko jest na tyle małe, że firma może je udźwignąć.
Warunkiem jest znajomość tolerancji, czyli granicy, powyżej której organizacja nie chce przyjmować ryzyka. Bez niej akceptacja staje się wymówką. Jeśli zarząd nigdy nie powiedział, jakie przestoje, utratę danych albo skutki finansowe uznaje za znośne, każdy właściciel systemu ustala tę granicę po swojemu.
NIST zauważa, że organizacje mogą akceptować ryzyko niskie, umiarkowane, a nawet wysokie, jeśli przemawiają za tym ważne potrzeby biznesowe. Decyzja o przyjęciu wysokiego ryzyka powinna jednak zapaść na odpowiednio wysokim szczeblu, a nie w zespole, który jej skutków nie poniesie.
Dobra akceptacja ma trzy elementy: uzasadnienie, osobę, która ją podpisała, i termin ponownego przeglądu. Akceptacja bez terminu zamienia się w zapomnienie — ryzyko przyjęte na czas migracji systemu potrafi przetrwać w rejestrze lata po jej zakończeniu.
Kiedy lepiej uniknąć ryzyka, niż je ograniczać?
Ryzyka lepiej uniknąć, gdy przekracza tolerancję organizacji, a skuteczne zabezpieczenia są niepraktyczne lub zbyt drogie. NIST SP 800-39 opisuje unikanie jako wyeliminowanie działań lub technologii będących źródłem ryzyka albo taką ich zmianę, by ryzyko nieakceptowalne nie powstawało.
W IT unikanie wygląda zwykle prozaicznie. Firma wyłącza usługę, z której nikt już nie korzysta, a która nadal jest dostępna z internetu. Rezygnuje z integracji, która wymagałaby otwarcia dostępu do systemu finansowego dla zewnętrznej aplikacji. Nie przechowuje danych, których nie potrzebuje — a dane, których nie ma, nie mogą wyciec.
Unikanie bywa niedoceniane, bo wymaga rezygnacji z czegoś, co ktoś w firmie uważa za potrzebne. Zespół bezpieczeństwa woli zaproponować kolejne zabezpieczenie niż zakwestionować sens działalności. Tymczasem wycofanie przestarzałego systemu często kosztuje mniej niż lata jego zabezpieczania.
Warto pamiętać, że unikanie jednego ryzyka może tworzyć inne. Wyłączenie zdalnego pulpitu (RDP) dostępnego z internetu na rzecz dostępu przez VPN usuwa bezpośrednią ekspozycję tej usługi, ale zdalna praca zaczyna zależeć od bramy VPN, którą trzeba aktualizować i chronić. To nie powód, by nie unikać, tylko powód, by nową sytuację ocenić od nowa.
Na czym polega mitygacja w praktyce?
Mitygacja w praktyce polega na wdrożeniu zabezpieczeń technicznych, organizacyjnych lub procesowych, które zmniejszają prawdopodobieństwo zdarzenia albo ograniczają jego skutki. NIST SP 800-39 nazywa ją też redukcją ryzyka i podkreśla, że środki zależą od poziomu organizacji, na którym zapada decyzja.
Ten sam dokument podaje przykłady z trzech poziomów: wspólne zabezpieczenia na poziomie całej organizacji, zmiany procesów biznesowych na poziomie procesów oraz nowe lub wzmocnione zabezpieczenia na poziomie systemów. Dla czytelnika z IT oznacza to, że mitygacja to nie tylko narzędzie. Procedura potwierdzania zmiany numeru konta u kontrahenta też jest mitygacją, i to często tańszą niż kolejny filtr.
Zabezpieczenia warto dobierać według tego, na co działają. Część zapobiega zdarzeniu, na przykład uwierzytelnianie wieloskładnikowe. Część skraca czas wykrycia, na przykład monitorowanie logów. Część ogranicza skutki, na przykład kopie zapasowe odizolowane od sieci produkcyjnej. Plan oparty wyłącznie na zapobieganiu zostawia firmę bez odpowiedzi na zdarzenie, któremu nie udało się zapobiec.
Mitygacja ma też koszt, który nie kończy się na zakupie. Zabezpieczenie trzeba utrzymywać, aktualizować i sprawdzać, czy nadal działa. Kontrola, której nikt nie testuje, w rejestrze ryzyka wygląda tak samo jak działająca — różnicę widać dopiero po incydencie.
Czy ubezpieczenie cyber i outsourcing przenoszą ryzyko?
Ubezpieczenie przenosi skutki finansowe ryzyka (w granicach sumy, udziału własnego i wyłączeń), a outsourcing dzieli odpowiedzialność za obsługę ryzyka. Żadne z nich nie usuwa samego ryzyka. NIST SP 800-39 wprost zaznacza, że przeniesienie ryzyka nie zmniejsza ani prawdopodobieństwa szkodliwego zdarzenia, ani jego skutków. Polisa może pokryć część kosztów incydentu, ale nie sprawi, że do incydentu nie dojdzie.
NIST rozróżnia dwa warianty. Przeniesienie ryzyka przesuwa całą odpowiedzialność, na przykład finansową, na inną organizację — typowym przykładem jest ubezpieczenie. W praktyce polisa ma limity, więc część skutków i tak zostaje w firmie. Dzielenie się ryzykiem przesuwa tylko jego część, zwykle na organizację lepiej przygotowaną do jego obsługi. Outsourcing usług bezpieczeństwa to częściej dzielenie się niż przeniesienie.
W praktyce przy ubezpieczeniu cyber warto zadać trzy pytania. Co polisa wyklucza i jakich zabezpieczeń wymaga jako warunku wypłaty? Kto zapłaci za przestój, którego nie da się wycenić w umowie? Co z obowiązkami wobec regulatora i klientów, których żadna polisa nie przejmie? O doborze polisy więcej piszemy w artykule o ubezpieczeniu od cyberataków.
Przy outsourcingu podobnie: umowa może przenieść na dostawcę obowiązek reagowania, ale odpowiedzialność wobec osób, których dane dotyczą, i wobec nadzoru pozostaje przy firmie. Przeniesienie bez kontroli nad dostawcą to tylko przesunięcie ryzyka w miejsce, którego nie widać.
Co zrobić z ryzykiem rezydualnym?
Ryzyko rezydualne, czyli to, które zostaje po wdrożeniu zabezpieczeń, trzeba świadomie zaakceptować albo poddać kolejnej decyzji. Żadne zabezpieczenie nie sprowadza ryzyka do zera, więc każda mitygacja kończy się w praktyce akceptacją tego, co zostało.
Najczęstszy błąd to zamknięcie pozycji w rejestrze w chwili wdrożenia zabezpieczenia. Ryzyko zostaje oznaczone jako „obsłużone”, choć nikt nie ocenił, ile go zostało. Po roku nie wiadomo, czy zabezpieczenie działa i czy ryzyko rezydualne nadal mieści się w tolerancji.
Dobra praktyka to ponowna ocena po wdrożeniu i osobny podpis pod ryzykiem rezydualnym. Jeśli zostaje ono powyżej tolerancji, wraca na stół z pełną listą opcji: kolejne zabezpieczenie, przeniesienie części skutków albo rezygnacja z działalności, która je generuje.
Ryzyko rezydualne trzeba też obserwować w czasie. Zmieniają się zagrożenia, systemy i ludzie. Wskaźniki, które pokazują, czy zabezpieczenie nadal działa — odsetek kont z włączonym drugim składnikiem, wynik testu odtworzenia kopii — są lepszym sygnałem niż coroczna aktualizacja arkusza.
Czego w postępowaniu z ryzykiem wymagają RODO i NIS2?
RODO i NIS2 wymagają, by środki bezpieczeństwa odpowiadały ryzyku i by organizacja potrafiła to wykazać. Według stanu na 13 listopada 2026 r. art. 32 ust. 1 RODO zobowiązuje administratora i podmiot przetwarzający do wdrożenia odpowiednich środków technicznych i organizacyjnych, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku.
Art. 32 ust. 2 RODO dodaje, że oceniając stopień bezpieczeństwa, uwzględnia się w szczególności ryzyko przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia danych lub dostępu do nich. Przepis podaje przykłady środków (pseudonimizacja, szyfrowanie, zdolność przywracania dostępności, regularne testowanie), ale ich dobór uzależnia od ryzyka.
Dyrektywa NIS2 w art. 21 ust. 1 zobowiązuje państwa członkowskie do zapewnienia, by podmioty kluczowe i ważne wprowadzały odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne, dające poziom bezpieczeństwa odpowiedni do ryzyka, z uwzględnieniem m.in. kosztów wdrożenia. Art. 21 ust. 2 wymienia wśród obowiązkowych elementów politykę analizy ryzyka oraz polityki i procedury oceny skuteczności środków zarządzania ryzykiem.
Ten ostatni punkt łączy się wprost z ryzykiem rezydualnym: NIS2 oczekuje nie tylko decyzji, ale też sprawdzania, czy wybrane środki działają. Proces zarządzania ryzykiem opisują też normy ISO 31000:2018 (wytyczne dotyczące zarządzania ryzykiem) i ISO/IEC 27005:2022 (wytyczne dotyczące zarządzania ryzykiem bezpieczeństwa informacji).
Jak wybrać właściwy sposób postępowania z ryzykiem?
Właściwy sposób postępowania z ryzykiem wybiera się, porównując ryzyko z tolerancją organizacji, a dopiero potem koszt i wykonalność każdej opcji. Poniższa macierz nie zastępuje oceny ryzyka — zakłada, że ocena już istnieje — tylko porządkuje decyzję i wskazuje, jaki ślad powinien po niej zostać.
| Sytuacja po ocenie ryzyka | Pierwsza opcja do rozważenia | Warunek, który musi być spełniony | Typowa pułapka | Dowód dla audytora |
|---|---|---|---|---|
| Ryzyko mieści się w tolerancji | akceptacja | tolerancja zatwierdzona przez zarząd | akceptacja bez terminu przeglądu | podpisana akceptacja z uzasadnieniem i datą |
| Ryzyko ponad tolerancją, działalność zbędna lub przestarzała | unikanie | właściciel biznesowy zgadza się na wycofanie | wycofanie bez sprawdzenia zależności | decyzja o wycofaniu i potwierdzenie wyłączenia |
| Ryzyko ponad tolerancją, działalność konieczna | mitygacja | zabezpieczenie realnie obniża prawdopodobieństwo lub skutek | wdrożenie bez ponownej oceny | plan wdrożenia i wynik ponownej oceny |
| Skutki finansowe przekraczają możliwości firmy | przeniesienie (np. ubezpieczenie) | znane wyłączenia i warunki polisy | uznanie polisy za zabezpieczenie | polisa, warunki i lista spełnionych wymagań |
| Brak kompetencji lub zasobów do obsługi ryzyka | podzielenie się (np. usługa zewnętrzna) | umowa z mierzalnym zakresem i nadzorem | przekonanie, że odpowiedzialność przeszła na dostawcę | umowa, raporty dostawcy, przeglądy |
| Ryzyko pilne, docelowe rozwiązanie wymaga czasu | kombinacja w czasie | każdy etap ma właściciela i termin | tymczasowa akceptacja bez końca | plan etapów z datami i statusem |
| Po wdrożeniu zostaje ryzyko rezydualne | akceptacja rezydualna albo kolejna decyzja | ponowna ocena po wdrożeniu | zamknięcie pozycji w chwili wdrożenia | ocena rezydualna i osobny podpis |
Macierz najlepiej działa jako kolumna w istniejącym rejestrze ryzyka, a nie osobny dokument. Każda pozycja dostaje wtedy nie tylko ocenę, ale też wybraną opcję, właściciela, datę przeglądu i dowód.
Najważniejsze:
- Najpierw porównaj ryzyko z tolerancją, dopiero potem koszt opcji.
- Polisa i umowa z dostawcą to przeniesienie odpowiedzialności, nie zabezpieczenie.
- Każda decyzja, także akceptacja, zostawia dowód: podpis, uzasadnienie i datę przeglądu.
Jak nFlo może pomóc w postępowaniu z ryzykiem?
W obszarze „Ład, ryzyko i zgodność” nFlo pomaga przejść od oceny ryzyka do decyzji, które da się obronić przed zarządem i audytorem. W ramach usługi ISO/IEC 27005 porządkujemy proces zarządzania ryzykiem bezpieczeństwa informacji, od identyfikacji aktywów po postępowanie z ryzykiem i formalną akceptację ryzyka rezydualnego.
Usługa przeglądy, audyty i doradztwo w obszarze analizy ryzyka kończy się rejestrem ryzyk z oceną prawdopodobieństwa i wpływu finansowego oraz planem postępowania z ryzykiem z analizą kosztów i korzyści. Dzięki temu każda decyzja, od akceptacji po przeniesienie, ma uzasadnienie, które można przedstawić zarządowi.
Jeśli chcesz sprawdzić, czy decyzje o ryzyku w Twojej organizacji spełniają oczekiwania RODO i NIS2, skontaktuj się z nami.
Co jeszcze warto wiedzieć o mitygacji ryzyka?
Czym różni się mitygacja ryzyka od zarządzania ryzykiem?
Zarządzanie ryzykiem to cały cykl: identyfikacja, analiza, ocena, postępowanie i monitorowanie. Mitygacja jest jedną z decyzji na etapie postępowania z ryzykiem, obok akceptacji, unikania oraz przeniesienia lub podzielenia się ryzykiem.
Czy ubezpieczenie cyber zastępuje zabezpieczenia?
Nie. NIST SP 800-39 wskazuje, że przeniesienie ryzyka nie zmniejsza ani prawdopodobieństwa zdarzenia, ani jego skutków. Polisa może pokryć część strat finansowych, ale nie przywraca systemów, nie chroni danych i nie zdejmuje z firmy obowiązków wobec regulatora.
Kto może zaakceptować ryzyko w firmie?
Osoba z uprawnieniem do decyzji na danym poziomie ryzyka, zwykle właściciel ryzyka. Zgodnie z art. 20 dyrektywy NIS2 organy zarządzające podmiotów kluczowych i ważnych mają zatwierdzać środki zarządzania ryzykiem i nadzorować ich wdrażanie, dlatego akceptacja ryzyka wysokiego powinna trafiać na ten poziom.
Jak często wracać do decyzji o postępowaniu z ryzykiem?
Przy każdej istotnej zmianie środowiska, po incydencie i cyklicznie, w rytmie przeglądów ryzyka. Szczególnie dotyczy to akceptacji przyjętych na określony czas i ryzyka rezydualnego po wdrożeniu zabezpieczeń.
Czy każde ryzyko trzeba mitygować?
Nie. Ryzyko mieszczące się w tolerancji organizacji można świadomie zaakceptować, a działalność generującą ryzyko nieakceptowalne czasem lepiej wycofać. Mitygacja ma sens tam, gdzie ryzyka nie da się zaakceptować, uniknąć ani przenieść.
