Większość organizacji, które trafiają do nas po incydencie bezpieczeństwa, łączy jedna cecha — nigdy nie przeprowadziły formalnej oceny ryzyka cyberbezpieczeństwa. Inwestowały w firewalle, kupowały licencje antywirusowe, a nawet zatrudniały specjalistów IT. Ale nikt nie zadał fundamentalnego pytania: jakie ryzyka faktycznie akceptujemy i czy świadomie podjęliśmy tę decyzję?
Cybersecurity Risk Assessment (CRA) to nie kolejna formalna procedura wymagana przez regulatora. To fundament, na którym buduje się każdy skuteczny program bezpieczeństwa. Bez CRA organizacja działa na oślep — reaguje na incydenty zamiast im zapobiegać, wydaje budżet na rozwiązania, które nie adresują rzeczywistych zagrożeń, i nie jest w stanie udowodnić ani sobie, ani audytorom, że podejmowane decyzje mają racjonalne uzasadnienie.
W tym przewodniku przeprowadzimy Cię przez cały proces — od wyboru metodologii, przez modelowanie zagrożeń i scoring ryzyka, po budowę roadmapy bezpieczeństwa, którą można przedstawić zarządowi.
Czym jest ocena ryzyka cyberbezpieczeństwa i dlaczego każda organizacja jej potrzebuje
Ocena ryzyka cyberbezpieczeństwa to systematyczny proces identyfikacji, analizy i ewaluacji zagrożeń cybernetycznych, na które narażona jest organizacja. Jej celem nie jest stwierdzenie, czy organizacja „jest bezpieczna” — bo żadna organizacja nie jest w pełni bezpieczna. Celem jest zrozumienie, jakie ryzyka istnieją, jakie jest ich prawdopodobieństwo i potencjalny wpływ, oraz jakie działania należy podjąć.
Zmiana paradygmatu: od „Czy jesteśmy bezpieczni?” do „Jakie ryzyka akceptujemy?”
To fundamentalna zmiana myślenia, która odróżnia dojrzałe organizacje od tych, które traktują cyberbezpieczeństwo jako koszt operacyjny. Pytanie „Czy jesteśmy bezpieczni?” nie ma dobrej odpowiedzi — bo absolutne bezpieczeństwo nie istnieje. Pytanie „Jakie ryzyka akceptujemy?” jest konkretne, mierzalne i pozwala na świadome podejmowanie decyzji.
Organizacja, która przeszła przez formalny proces CRA, potrafi powiedzieć: „Wiemy, że ryzyko ataku ransomware na nasze systemy produkcyjne jest wysokie. Wdrożyliśmy segmentację sieci i immutable backup, co obniżyło ryzyko rezydualne do poziomu akceptowalnego. Ryzyko ataku na systemy deweloperskie jest średnie i zaakceptowaliśmy je ze względu na niski wpływ biznesowy.”
Taka deklaracja to coś zupełnie innego niż „mamy firewalla i antywirusa, więc chyba jest OK”.
Statystyki, które powinny zmotywować do działania
Dane z raportów branżowych jasno pokazują wartość formalnego zarządzania ryzykiem cybernetycznym:
- Organizacje z formalnym cyber risk management redukują straty finansowe o 48% (McKinsey Digital Risk Report)
- Średni koszt naruszenia danych w 2025 roku wyniósł 4,88 mln USD globalnie, a w UE 4,35 mln EUR (IBM Cost of a Data Breach Report)
- 68% naruszeń bezpieczeństwa wynika z błędów ludzkich lub problemów konfiguracyjnych — ryzyk, które CRA pozwala zidentyfikować i zaadresować
- Czas wykrycia naruszenia wynosi średnio 194 dni — organizacje z formalnym CRA wykrywają incydenty o 42 dni szybciej
Metodologie oceny ryzyka: ISO 27005, NIST RMF, FAIR
Wybór metodologii to pierwsza decyzja, którą należy podjąć. Nie istnieje „najlepsza” metodologia — istnieje ta, która najlepiej pasuje do kontekstu organizacji.
ISO 27005 — dla organizacji z ekosystemem ISO
ISO 27005 to standard zarządzania ryzykiem bezpieczeństwa informacji, zaprojektowany jako naturalne uzupełnienie ISO 27001. Jeśli Twoja organizacja wdraża lub posiada certyfikat ISO 27001, ISO 27005 jest logicznym wyborem.
Kluczowe cechy:
- Pełna kompatybilność ze Statement of Applicability (SoA) wymaganym przez ISO 27001
- Podejście oparte na aktywach (asset-based) — każde ryzyko jest powiązane z konkretnym aktywem informacyjnym
- Czterostopniowy proces: kontekst → ocena ryzyka → postępowanie z ryzykiem → akceptacja ryzyka
- Elastyczność w wyborze metod scoringu (jakościowe, ilościowe lub mieszane)
Kiedy wybrać: Organizacja posiada lub planuje ISO 27001, chce zintegrowany system zarządzania, potrzebuje kompatybilności z europejskimi regulacjami.
NIST Risk Management Framework (RMF) — dla sektora publicznego i infrastruktury krytycznej
NIST RMF (Special Publication 800-37) to framework opracowany przez amerykański National Institute of Standards and Technology. Jest standardem de facto w sektorze publicznym i coraz częściej stosowanym w sektorze prywatnym, szczególnie przez firmy działające globalnie.
Kluczowe cechy:
- Siedem kroków: Prepare → Categorize → Select → Implement → Assess → Authorize → Monitor
- Silny nacisk na ciągłość — RMF to proces ciągły, nie jednorazowy projekt
- Szczegółowy katalog kontroli bezpieczeństwa (NIST SP 800-53) z ponad 1000 kontrolami
- Integracja z NIST Cybersecurity Framework (CSF 2.0) — Identify, Protect, Detect, Respond, Recover, Govern
Kiedy wybrać: Organizacja współpracuje z sektorem publicznym, potrzebuje szczegółowego katalogu kontroli, chce framework, który obejmuje cały cykl życia systemu.
FAIR (Factor Analysis of Information Risk) — dla zarządów myślących w złotówkach
FAIR to jedyna z trzech metodologii, która jest stricte ilościowa. Zamiast oceniać ryzyko jako „wysokie”, „średnie” lub „niskie”, FAIR oblicza Expected Loss — oczekiwaną stratę finansową wyrażoną w złotówkach, dolarach lub euro.
Kluczowe cechy:
- Kwantyfikacja ryzyka w wartościach pieniężnych — umożliwia porównanie z innymi ryzykami biznesowymi
- Model ontologiczny: Loss Event Frequency × Loss Magnitude = Risk
- Rozróżnienie między Primary Loss (bezpośrednie straty) i Secondary Loss (kary, utrata reputacji, koszty prawne)
- Symulacje Monte Carlo dla uwzględnienia niepewności
Kiedy wybrać: Zarząd potrzebuje argumentów finansowych, organizacja chce porównać cyber risk z innymi ryzykami biznesowymi, potrzeba uzasadnienia ROI inwestycji w bezpieczeństwo.
Porównanie metodologii
| Kryterium | ISO 27005 | NIST RMF | FAIR |
|---|---|---|---|
| Podejście | Asset-based, jakościowe/mieszane | Control-based, iteracyjne | Ilościowe, finansowe |
| Wynik | Poziom ryzyka (skala) | Risk posture + plan kontroli | Expected loss (PLN/EUR/USD) |
| Złożoność | Średnia | Wysoka | Wysoka (wymaga danych) |
| Czas wdrożenia | 2-4 tygodnie | 4-8 tygodni | 3-6 tygodni |
| Najlepszy dla | ISO 27001, MŚP, UE | Sektor publiczny, infrastruktura | CFO, zarząd, ubezpieczenia |
| Wymagane kompetencje | Analityk bezpieczeństwa | Security architect | Risk analyst + dane historyczne |
W nFlo najczęściej stosujemy podejście hybrydowe — ISO 27005 jako framework bazowy z elementami FAIR dla kluczowych ryzyk prezentowanych zarządowi. To pozwala zachować formalną zgodność z ISO 27001, jednocześnie dostarczając zarządowi język, który rozumie — pieniądze.
Modelowanie zagrożeń z MITRE ATT&CK
Inwentaryzacja aktywów i identyfikacja podatności to jedno. Ale żeby ocenić ryzyko, musimy zrozumieć kto, jak i dlaczego może nas zaatakować. Tu wkracza modelowanie zagrożeń z wykorzystaniem frameworka MITRE ATT&CK.
Czym jest MITRE ATT&CK i dlaczego jest przełomowy
MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) to baza wiedzy o taktykach i technikach stosowanych przez rzeczywistych aktorów zagrożeń. W przeciwieństwie do teoretycznych modeli, ATT&CK jest oparty na obserwacjach z realnych ataków — każda technika ma przypisane grupy APT, które ją stosowały, oraz zarejestrowane kampanie.
Framework obejmuje 14 taktyk (od Initial Access po Impact), ponad 200 technik i setki sub-technik. Każda z nich ma przypisane:
- Opis techniczny sposobu realizacji
- Grupy APT, które ją stosują
- Narzędzia i oprogramowanie wykorzystywane do realizacji
- Rekomendowane metody detekcji i mitygacji
Praktyczne modelowanie zagrożeń — krok po kroku
Krok 1: Identyfikacja profilu threat actor. Na podstawie branży, lokalizacji i danych threat intelligence określamy, jakie grupy APT są dla nas istotne. Np. sektor finansowy w Polsce powinien uwzględniać grupy takie jak FIN7, Lazarus Group (Korea Północna) i grupy powiązane z rosyjskim GRU.
Krok 2: Mapowanie technik na aktywa. Dla każdego krytycznego systemu określamy, które techniki ATT&CK są realistyczne. Np. dla systemu ERP eksponowanego przez VPN:
- T1133 (External Remote Services) — wektor wejścia przez VPN
- T1078 (Valid Accounts) — użycie skradzionych credentials
- T1486 (Data Encrypted for Impact) — ransomware na ERP
- T1567 (Exfiltration Over Web Service) — kradzież danych przez chmurę
Krok 3: Ocena istniejących kontroli detekcji i prewencji. Dla każdej techniki sprawdzamy, czy posiadamy:
- Kontrolę prewencyjną (czy technika jest blokowana?)
- Kontrolę detekcyjną (czy atak zostanie wykryty?)
- Kontrolę korekcyjną (czy potrafimy zareagować i naprawić skutki?)
Krok 4: Identyfikacja luk (gaps). Techniki, które nie mają ani kontroli prewencyjnej, ani detekcyjnej, stanowią najwyższe ryzyko. To te luki stają się priorytetami w planie naprawczym.
Przykład: macierz ATT&CK dla średniej firmy produkcyjnej
| Taktyka | Technika | Kontrola prewencyjna | Kontrola detekcyjna | Luka |
|---|---|---|---|---|
| Initial Access | T1566 Phishing | Email gateway + szkolenia | SIEM alerting | Niska |
| Initial Access | T1133 External Remote Services | VPN + MFA | Logi VPN w SIEM | Niska |
| Execution | T1059 Command & Scripting | AppLocker (częściowy) | EDR | Średnia |
| Persistence | T1053 Scheduled Task | Brak | Brak | Wysoka |
| Lateral Movement | T1021 Remote Services | Segmentacja (częściowa) | NDR | Średnia |
| Exfiltration | T1567 Exfiltration Over Web | DLP (brak) | Brak | Wysoka |
| Impact | T1486 Data Encrypted | Backup | Brak wczesnej detekcji | Wysoka |
Scoring ryzyka: macierz prawdopodobieństwa i wpływu
Po zidentyfikowaniu zagrożeń i ocenie kontroli przechodzimy do scoringu — ilościowej lub jakościowej oceny poziomu ryzyka.
Macierz Likelihood × Impact
To najpowszechniej stosowana metoda oceny ryzyka w cyberbezpieczeństwie. Każde ryzyko oceniamy w dwóch wymiarach:
Prawdopodobieństwo (Likelihood) — na skali 1-5:
- Bardzo niskie — raz na 10+ lat, wymaga zaawansowanych zdolności państwowych
- Niskie — raz na 3-10 lat, wymaga dedykowanych zasobów atakującego
- Średnie — raz na 1-3 lata, dostępne narzędzia i techniki
- Wysokie — raz na kwartał-rok, typowy scenariusz ataku
- Bardzo wysokie — kilka razy w roku, automatyczne ataki, powszechne exploit
Wpływ (Impact) — na skali 1-5:
- Minimalny — brak przestoju, brak strat finansowych
- Niski — przestój do 4h, straty do 50 000 PLN
- Średni — przestój 4-24h, straty 50 000-500 000 PLN
- Wysoki — przestój 1-7 dni, straty 500 000-5 mln PLN
- Krytyczny — przestój powyżej 7 dni, straty powyżej 5 mln PLN, kary regulacyjne
Risk Score = Likelihood × Impact
Heat mapa ryzyka
Wynik scoringu prezentujemy na mapie ciepła (heat map), która jest intuicyjnym narzędziem komunikacyjnym — szczególnie przydatnym w rozmowach z zarządem.
| Impact 1 | Impact 2 | Impact 3 | Impact 4 | Impact 5 | |
|---|---|---|---|---|---|
| Likelihood 5 | 5 (Średnie) | 10 (Wysokie) | 15 (Krytyczne) | 20 (Krytyczne) | 25 (Krytyczne) |
| Likelihood 4 | 4 (Niskie) | 8 (Średnie) | 12 (Wysokie) | 16 (Krytyczne) | 20 (Krytyczne) |
| Likelihood 3 | 3 (Niskie) | 6 (Średnie) | 9 (Średnie) | 12 (Wysokie) | 15 (Krytyczne) |
| Likelihood 2 | 2 (Niskie) | 4 (Niskie) | 6 (Średnie) | 8 (Średnie) | 10 (Wysokie) |
| Likelihood 1 | 1 (Niskie) | 2 (Niskie) | 3 (Niskie) | 4 (Niskie) | 5 (Średnie) |
Strefy decyzyjne:
- Krytyczne (15-25): Natychmiastowe działanie wymagane — eskalacja do zarządu
- Wysokie (10-14): Plan mitygacji w ciągu 30 dni
- Średnie (5-9): Planowanie w ramach roadmapy bezpieczeństwa
- Niskie (1-4): Monitoring i akceptacja z udokumentowanym uzasadnieniem
Inwentaryzacja aktywów i identyfikacja aktywów krytycznych
Nie można zarządzać ryzykiem czegoś, czego się nie wie, że istnieje. Inwentaryzacja aktywów to fundament CRA — a jednocześnie krok, który wiele organizacji pomija lub realizuje powierzchownie.
Kategorie aktywów
Kompletna inwentaryzacja obejmuje nie tylko serwery i laptopy, ale cały ekosystem informacyjny:
Aktywa informacyjne:
- Dane klientów, dane osobowe (RODO)
- Własność intelektualna, tajemnice handlowe
- Dane finansowe, raporty strategiczne
- Dokumentacja techniczna, kod źródłowy
Aktywa technologiczne:
- Serwery (fizyczne i wirtualne), usługi cloud
- Urządzenia sieciowe (routery, switche, firewalle)
- Stacje robocze, urządzenia mobilne
- Aplikacje biznesowe, systemy ERP/CRM
- Infrastruktura OT/ICS (jeśli dotyczy)
Aktywa procesowe:
- Procesy biznesowe krytyczne (np. przetwarzanie płatności)
- Łańcuch dostaw ICT
- Umowy SLA z dostawcami
Aktywa ludzkie:
- Pracownicy z dostępem uprzywilejowanym
- Administratorzy systemów
- Dostawcy zewnętrzni z dostępem zdalnym
Klasyfikacja krytyczności aktywów
Każde aktywo klasyfikujemy pod względem krytyczności na podstawie trzech wymiarów CIA (Confidentiality, Integrity, Availability):
| Poziom | Poufność (C) | Integralność (I) | Dostępność (A) |
|---|---|---|---|
| 5 — Krytyczny | Dane ściśle tajne, kary > 1 mln PLN | Zmiana powoduje katastrofę | RTO < 1h, RPO < 15 min |
| 4 — Wysoki | Dane osobowe, finansowe | Zmiana powoduje istotne straty | RTO < 4h, RPO < 1h |
| 3 — Średni | Dane wewnętrzne | Zmiana wymaga korekty | RTO < 24h, RPO < 4h |
| 2 — Niski | Dane publiczne wewnętrzne | Zmiana jest zauważalna | RTO < 72h, RPO < 24h |
| 1 — Minimalny | Dane ogólnodostępne | Zmiana bez skutków | Brak wymagań SLA |
Krytyczność aktywa = max(C, I, A)
Aktywa o krytyczności 4-5 wymagają dedykowanej analizy ryzyka. Aktywa o krytyczności 1-2 mogą być oceniane grupowo.
Ocena istniejących kontroli z maturity scoring
Sama identyfikacja zagrożeń nie wystarcza — musimy wiedzieć, jak skuteczne są nasze obecne zabezpieczenia. Do tego służy ocena dojrzałości kontroli bezpieczeństwa.
Model dojrzałości kontroli (Capability Maturity Model)
Każdą kontrolę bezpieczeństwa oceniamy na skali 1-5:
| Poziom | Nazwa | Opis | Przykład (kontrola: zarządzanie podatnościami) |
|---|---|---|---|
| 1 | Initial | Ad hoc, brak procesu | Skanowanie podatności wykonywane „kiedy ktoś się przypomni” |
| 2 | Repeatable | Podstawowy proces, dokumentacja częściowa | Kwartalne skanowanie, ale bez SLA na naprawę |
| 3 | Defined | Formalny proces, udokumentowany | Miesięczne skanowanie, SLA na krytyczne: 72h |
| 4 | Managed | Mierzony, KPI, ciągłe doskonalenie | Tygodniowe skanowanie, automatyczne tikety, dashboard |
| 5 | Optimized | Zautomatyzowany, zintegrowany, predykcyjny | Ciągłe skanowanie, auto-patching, integracja z CI/CD |
Przykładowa ocena dojrzałości kontroli
| Domena kontroli | Obecny poziom | Wymagany poziom (NIS2) | Luka |
|---|---|---|---|
| Zarządzanie dostępem | 2 | 3 | -1 |
| Zarządzanie podatnościami | 2 | 4 | -2 |
| Zarządzanie incydentami | 1 | 4 | -3 |
| Backup i odtwarzanie | 3 | 4 | -1 |
| Szyfrowanie danych | 3 | 3 | 0 |
| Monitoring bezpieczeństwa (SOC) | 1 | 3 | -2 |
| Szkolenia i świadomość | 2 | 3 | -1 |
| Bezpieczeństwo łańcucha dostaw | 1 | 3 | -2 |
Luki o wartości -2 lub większej wymagają priorytetowego adresowania w roadmapie bezpieczeństwa.
Opcje postępowania z ryzykiem
Po zidentyfikowaniu i ocenieniu ryzyk organizacja musi zdecydować, co z nimi zrobić. Standard ISO 27005 definiuje cztery opcje postępowania z ryzykiem:
1. Mitygacja (Mitigate) — zmniejsz ryzyko
Najpowszechniejsza opcja. Wdrażamy kontrole bezpieczeństwa, które zmniejszają prawdopodobieństwo lub wpływ zdarzenia.
Przykład: Ryzyko kompromitacji kont administracyjnych (Risk Score: 20)
- Kontrola: Wdrożenie MFA dla wszystkich kont admin
- Koszt: ~5 000 PLN
- Efekt: Redukcja Likelihood z 5 na 2 → nowy Risk Score: 8
- Redukcja ryzyka: ~15% całkowitego ryzyka organizacji
2. Transfer (Transfer) — przenieś ryzyko
Przeniesienie finansowych konsekwencji ryzyka na inny podmiot, najczęściej ubezpieczyciela.
Przykład: Ryzyko naruszenia danych osobowych (potencjalna kara RODO)
- Kontrola: Polisa cyber insurance z limitem 5 mln PLN
- Koszt: ~30 000-60 000 PLN rocznie
- Efekt: Finansowy wpływ przeniesiony na ubezpieczyciela
- Uwaga: Transfer nie eliminuje ryzyka reputacyjnego ani operacyjnego
3. Unikanie (Avoid) — wyeliminuj ryzyko
Rezygnacja z działalności lub systemu, który generuje ryzyko.
Przykład: Stary serwer FTP eksponowany do internetu
- Decyzja: Migracja na SFTP w chmurze, wyłączenie starego serwera
- Koszt: ~15 000 PLN (migracja)
- Efekt: Ryzyko wyeliminowane — wektor ataku nie istnieje
4. Akceptacja (Accept) — zaakceptuj ryzyko
Świadoma decyzja o zaakceptowaniu ryzyka, ponieważ koszt mitygacji przekracza potencjalne straty lub ryzyko jest na akceptowalnym poziomie.
Przykład: Ryzyko ataku na wewnętrzną wiki (Risk Score: 3)
- Decyzja: Akceptacja ryzyka z udokumentowanym uzasadnieniem
- Warunek: Podpisanie przez właściciela ryzyka (risk owner)
- Kluczowe: Akceptacja MUSI być udokumentowana i zatwierdzona przez osobę z odpowiednim poziomem uprawnień
Macierz decyzyjna postępowania z ryzykiem
| Risk Score | Opcja preferowana | Wymagana akceptacja |
|---|---|---|
| 15-25 (Krytyczne) | Mitygacja natychmiastowa lub unikanie | Zarząd / CEO |
| 10-14 (Wysokie) | Mitygacja planowana lub transfer | CISO / CTO |
| 5-9 (Średnie) | Mitygacja w roadmapie lub akceptacja | Manager IT |
| 1-4 (Niskie) | Akceptacja lub monitoring | Właściciel aktywa |
Quick wins — natychmiastowa redukcja ryzyka
Jednym z najważniejszych produktów CRA jest lista quick wins — działań o niskim koszcie i dużym wpływie na redukcję ryzyka. Oto typowe quick wins, które rekomendujemy klientom nFlo:
1. MFA dla kont administracyjnych
- Koszt: ~5 000 PLN (konfiguracja + licencje)
- Czas wdrożenia: 1-2 tygodnie
- Redukcja ryzyka: ~15%
- Uzasadnienie: 80% naruszeń związanych z przejęciem kont mogło być zapobiegnięte przez MFA
2. Weryfikacja i testy backupów
- Koszt: ~2 000 PLN (czas pracy)
- Czas wdrożenia: 1-3 dni
- Redukcja ryzyka: ~10%
- Uzasadnienie: 30% organizacji, które doświadczyły ransomware, odkryło, że ich backupy nie działają
3. Przegląd kont uprzywilejowanych
- Koszt: ~3 000 PLN (czas pracy + narzędzia)
- Czas wdrożenia: 1 tydzień
- Redukcja ryzyka: ~10%
- Uzasadnienie: Średnia organizacja ma 3-4x więcej kont admin niż potrzebuje
4. Segmentacja sieci dla systemów krytycznych
- Koszt: ~8 000-15 000 PLN
- Czas wdrożenia: 2-4 tygodnie
- Redukcja ryzyka: ~12%
- Uzasadnienie: Segmentacja ogranicza lateral movement — najczęstszą technikę eskalacji ataków
5. Aktualizacja polityki haseł + wymuszenie silnych haseł
- Koszt: minimalny (konfiguracja AD/IAM)
- Czas wdrożenia: 1-3 dni
- Redukcja ryzyka: ~8%
- Uzasadnienie: Słabe hasła to wciąż nr 1 wektor wejścia w atakach brute-force
Łączna redukcja ryzyka z 5 quick wins: ok. 55% — przy łącznym koszcie poniżej 35 000 PLN.
Wymagania regulacyjne dotyczące oceny ryzyka
Ocena ryzyka cyberbezpieczeństwa nie jest opcjonalna — jest wymagana przez kluczowe regulacje:
NIS2 (Dyrektywa UE 2022/2555) — art. 21
Dyrektywa NIS2 w art. 21 ust. 2 lit. a) wymaga od podmiotów kluczowych i ważnych wdrożenia „polityk analizy ryzyka i bezpieczeństwa systemów informatycznych”. To bezpośredni wymóg przeprowadzania regularnej oceny ryzyka.
Praktyczne implikacje:
- Obowiązek udokumentowanej metodologii oceny ryzyka
- Regularne przeglądy (minimum raz w roku)
- Uwzględnienie ryzyk łańcucha dostaw ICT
- Raportowanie do organu właściwego (w Polsce — CSIRT NASK, CSIRT GOV lub sektorowy CSIRT)
DORA (Rozporządzenie UE 2022/2554) — art. 5-6
Rozporządzenie DORA nakłada na sektor finansowy jeszcze bardziej szczegółowe wymagania:
- Art. 5: Ramowe zasady zarządzania ryzykiem ICT — organ zarządzający ponosi osobistą odpowiedzialność
- Art. 6: Wymóg identyfikacji, klasyfikacji i dokumentacji wszystkich funkcji ICT, aktywów informacyjnych i ich współzależności
- Obowiązek przeprowadzania risk assessment przed każdą istotną zmianą w infrastrukturze ICT
ISO 27001:2022 — klauzula 6.1
ISO 27001 w klauzuli 6.1 wymaga:
- Ustanowienia procesu oceny ryzyka bezpieczeństwa informacji
- Określenia kryteriów akceptacji ryzyka
- Przeprowadzania powtarzalnych i porównywalnych ocen
- Identyfikacji ryzyk związanych z utratą poufności, integralności i dostępności
Kluczowe: ISO 27001 wymaga nie tylko przeprowadzenia oceny ryzyka, ale udowodnienia, że proces jest powtarzalny — ten sam assessor, stosując tę samą metodologię, powinien dojść do podobnych wyników.
Od CRA do roadmapy bezpieczeństwa
Ocena ryzyka sama w sobie nie poprawia bezpieczeństwa — robi to plan działania, który z niej wynika. Strukturyzujemy roadmapę w trzech horyzontach czasowych:
Faza 1: Quick wins (0-3 miesiące)
Działania o niskim koszcie i natychmiastowym wpływie:
- Wdrożenie MFA dla kont uprzywilejowanych
- Weryfikacja i testy procedur backupowych
- Przegląd i redukcja kont uprzywilejowanych
- Aktualizacja polityk haseł
- Segmentacja sieci dla systemów najwyższego ryzyka
- Wstępne szkolenie awareness dla zarządu
Budżet szacunkowy: 30 000-50 000 PLN Oczekiwana redukcja ryzyka: 40-55%
Faza 2: Short term (3-6 miesięcy)
Wdrożenie kluczowych kontroli i procesów:
- Wdrożenie lub rozszerzenie EDR/XDR na wszystkich endpointach
- Uruchomienie procesu zarządzania podatnościami z SLA
- Opracowanie i wdrożenie planu reagowania na incydenty
- Wdrożenie SIEM lub przekazanie logów do zewnętrznego SOC
- Testy penetracyjne dla systemów krytycznych
- Rozszerzony program szkoleń security awareness
Budżet szacunkowy: 100 000-300 000 PLN Oczekiwana redukcja ryzyka: dodatkowe 20-30%
Faza 3: Long term (6-12 miesięcy)
Budowa dojrzałego programu bezpieczeństwa:
- Wdrożenie Zero Trust Architecture dla kluczowych segmentów
- Uruchomienie programu threat intelligence
- Wdrożenie DLP (Data Loss Prevention)
- Certyfikacja ISO 27001 (jeśli planowana)
- Automatyzacja procesów security (SOAR)
- Ćwiczenia red team / blue team
- Regularne przeglądy i aktualizacja oceny ryzyka
Budżet szacunkowy: 200 000-500 000 PLN Oczekiwana redukcja ryzyka: dodatkowe 10-15%
Łączny efekt roadmapy
Po 12 miesiącach realizacji roadmapy typowa organizacja redukuje swój profil ryzyka o 70-85% w porównaniu ze stanem wyjściowym. Ryzyko rezydualne powinno mieścić się w granicach akceptowalnych określonych przez zarząd.
Jak nFlo przeprowadza ocenę ryzyka cyberbezpieczeństwa
W nFlo przeprowadziliśmy ponad 500 projektów bezpieczeństwa, z czego znaczna część obejmowała formalną ocenę ryzyka. Nasz proces obejmuje:
- Kickoff i kontekst biznesowy (1 dzień) — zrozumienie branży, regulacji, struktury organizacyjnej i celów biznesowych
- Inwentaryzacja aktywów (2-3 dni) — automatyczne skanowanie sieci + wywiady z właścicielami systemów
- Modelowanie zagrożeń (2-3 dni) — analiza MITRE ATT&CK dostosowana do profilu organizacji
- Assessment kontroli (3-5 dni) — ocena dojrzałości istniejących zabezpieczeń, wywiady, przegląd dokumentacji
- Scoring i analiza ryzyka (2-3 dni) — macierz ryzyka, heat mapa, kwantyfikacja kluczowych ryzyk
- Raport i roadmapa (2-3 dni) — raport dla zarządu, szczegółowy raport techniczny, roadmapa z budżetem
Łączny czas: 2-3 tygodnie Produkt końcowy: Raport ryzyka + roadmapa bezpieczeństwa + prezentacja dla zarządu
Podsumowanie
Ocena ryzyka cyberbezpieczeństwa to nie jednorazowy projekt — to fundament ciągłego procesu zarządzania bezpieczeństwem. Organizacje, które traktują CRA poważnie, podejmują lepsze decyzje inwestycyjne, szybciej reagują na incydenty i spełniają wymagania regulacyjne.
Kluczowe wnioski:
- Wybierz metodologię dopasowaną do kontekstu — ISO 27005 dla ISO, NIST RMF dla sektora publicznego, FAIR dla zarządów
- Modeluj zagrożenia realistycznie z MITRE ATT&CK — nie fantazjuj o atakach państwowych, jeśli jesteś MŚP
- Scoring musi być powtarzalny — macierz Likelihood × Impact z jasnymi kryteriami
- Quick wins dają natychmiastowe efekty — 5 działań za 35 000 PLN może zredukować ryzyko o 55%
- Roadmapa to produkt końcowy — CRA bez planu działania to ćwiczenie akademickie
- Regulacje wymagają CRA — NIS2, DORA i ISO 27001 nie pozostawiają wątpliwości
Nie czekaj na incydent, żeby dowiedzieć się, jakie ryzyka akceptujesz. Przeprowadź ocenę ryzyka teraz — i podejmuj decyzje na podstawie danych, a nie domysłów.
Powiązane pojęcia
Dowiedz się więcej
- Czym jest zarządzanie ryzykiem — przewodnik
- Jak przeprowadzić audyt gotowości KSC/NIS2 — przewodnik dla CISO
- Zarządzanie ryzykiem w cyberbezpieczeństwie — jak podejmować świadome decyzje
Sprawdź nasze usługi
- Audyty bezpieczeństwa — kompleksowa ocena stanu bezpieczeństwa Twojej organizacji
- Compliance NIS2 — wsparcie we wdrożeniu wymagań dyrektywy NIS2
- Przeglądy, audyty i doradztwo w obszarze analizy ryzyka — profesjonalna ocena ryzyka dostosowana do Twojej branży
Tematy powiązane
Zobacz również:
