Riziká a ich manažment v kybernetickom priestore a v podnikovej IT infraštruktúre

Poškodenie dobrého mena spoločnosti, únik informácií, neschopnosť prilákať a udržať personál, predbehnutie konkurenciou, nespôsobilosť dodávateľov, finančné riziká, to sú len niektoré z rizík, s ktorými sa organizácie v súčasnom premenlivom podnikateľom prostredí stretávajú. Tak ako sa mení prostredie, v ktorom organizácie pôsobia, musia sa meniť a vyvíjať aj metódy ich riadenia. Nová norma ISO 31000:2018 prináša jasnejší, kratší a komplexnejší návod a odporúčania pre jednotné riadenie rizík - od ich identifikácie až po uzatvorenie. Môže pomôcť organizáciám zlepšiť vykonávané procesy a posilniť činnosti rozhodovania manažmentu organizácie. V čom je norma nová, aké benefity prináša, ako ich aplikovať v IT priestore ? Dozviete sa viac v mojom príspevku v rámci konferencie.

V rámci prezentácie bude prezentovaný prístup, ako efektívne vyberať služby do cloudovej architektúry. Akým spôsobom si znížiť náklady s overovaním služby. V rámci prezentácie bude prezentovaný aj model ako je vytváraný katalógu služieb vládneho cloudu.

Jestvuje všeobecné presvedčenie, že ak vložíte žabu do studenej vody a tú postupne privediete do varu, žaba sa dobrovoľne uvarí. V skutočnosti je to nezmysel, pretože žaba z tej vody vyskočí, ihneď, ako zistí, že je voda príliš horúca. Na príklade varenej žaby by sa dala parafrázovať aj reakcia organizácií na riziká v oblasti kybernetickej bezpečnosti. Rok za rokom prichádza kontinuálne tá istá informácia: riziko stúpa - chráňte sa pred útokmi. Organizácie by radi vyskočili z nepríjemne horúcej vody, lenže - ako…?

Čísla a grafy problém nevyriešia, bezpečnostných profesionálov je nedostatok a náklady na bezpečnostné opatrenia nemôžu stúpať donekonečna. Strategicky nepremyslená, a takticky nenaplánovaná implementácia technických opatrení zvyčajne nemáva privysokú a už vôbec nie trvalo udržateľnú účinnosť. Rovnako tak ani nekonečné audity, „papierová“ bezpečnosť a rôzne certifikácie typicky príliš neprispejú reálnemu zvýšeniu schopnosti organizácie reagovať na bezpečnostné hrozby. Jestvuje však cesta von z horúcej vody. Kybernetická odolnosť („Cyber Resiliency“) je program, ktorý môže zaručiť schopnosť organizácie pokračovať v štandardných procesoch aj po incidente, iba s minimálnym prerušením kybernetickými útokmi. Kybernetická odolnosť je širším pojmom v kontexte, ktorý zahŕňa riadenie rizík, informačnú bezpečnosť a riadenie kontinuity činností.

Veľká časť súčasných prístupov k riadeniu rizík trpí na nadmernú snahu presne vypočítať výšku rizika. V tejto snahe sa dostáva do principiálneho problému spočívajúceho v spôsobe ako ľudský mozog pracuje. Učíme sa lineárne kým realita funguje fraktálovo. Preceňujeme význam toho čo očakávame a podceňujeme význam toho o čom nevieme …. Výsledkom je jav mimoriadneho neočakávaného prekvapenia s ďalekosiahlymi dôsledkami nazvaný „black swan“ - čierna labuť.

Na Slovensku máme vyše 700 zákon a 2300 podzákonných predpisov, k tomu vyše 9000 právnych aktov EÚ. Z novších spomeňme GDPR, PSD2, Zákon o kybernetickej bezpečnosti, pripravanú smernicu o ePrivacy. Od januára 2018 vyšlo viac než 20 nariadení EÚ s priamym právnym účinkom. Mnohé z týchto právnych aktov prinášajú aj významné sankcie - napr. GDPR, kde idú sankcie až do 20 mil. euro alebo 4 % celosvetového obratu. Riadenie rizík (ne) zabezpečenia súladu s legislatívou sa stáva významnou súčasťou riadenia operačného rizika. Príspevok prináša viacero pohľadov a námetov, ako k riadeniu tejto skupiny rizík pristupovať.

Na organizácie v súčasnosti vplýva množstvo hrozieb, a to nielen klasických podvodov a krádeží. Útočníci sú vysoko organizovaní a sústreďujú svoju pozornosť na narušenie služieb, zničenie citlivých údajov, či krádež systémov za výkupné. Súčasťou rovnice riadenia podniku sú teda aj riziká informačnej bezpečnosti a ich riadenie. Súčasťou moderného riadenia rizík je aj ich pravidelné posudzovanie - s krokmi identifikácia, ohodnotenie, a ošetrenie. Prezentácia bude/je prehľadom existujúcich metodík a rámcov pre posúdenie rizík informačnej bezpečnosti.

Poradiť niekomu v dnešnej dobe nepoužívať sociálne siete, nie je asi veľmi reálne. Značná časť našich „digitálnych životov“ sa odohráva práve v tomto prostredí. Prevažná časť užívateľov si riziká z toho plynúce vôbec nepripúšťa, alebo bagatelizuje. Problém však začína pri nedostatku informácií - užívatelia jednoducho riziká nepoznajú a ak aj o nich niekedy počuli, nedokážu si domyslieť dôsledky. Sociálne siete úplne zmenili komunikačnú kultúru a to, čo akceptujeme ako normu vo virtuálnom priestore, je v reálnom svete ďaleko za hranicou slušnosti a etiky. Zoznámte sa s kráľovnou všetkých hrozieb - sociálnym inžinierstvom, jeho potenciálnou obeťou sme všetci.