Usmernenie pre akceptáciu rizika – vzor smernice

Vzor

Usmernenie pre akceptáciu rizika

Poznámka autora: text podfarbený sivou farbou je potrebné doplniť alebo upraviť zo strany organizácie.

Cieľom vzoru je dať osnovu, pričom je nevyhnutné, aby si každá organizácia dokumentáciu odborne prispôsobila na svoje potreby. 

Čl. 1

Úvodné informácie

1. Organizácia deklaruje, že definovala úrovne dopadov rizika a úrovne akceptovateľného rizika a úrovne zostatkového rizika na základe spracovanej analýzy rizík (uviesť link na analýzu rizík).
2. Organizácia deklaruje, že minulé výsledky skenov zraniteľností sa minimálne na ročnej báze porovnávajú s aktuálnymi skenmi, aby sa overilo, že zraniteľnosti boli riešené buď prostredníctvom záplat, zavedením bezpečnostných opatrení, alebo akceptáciou rizika a zdokumentovaním rizika.
3. Organizácia deklaruje, že oblasť akceptácie rizika je pravidelne preverovaná, aby sa určilo, či nie sú k dispozícii novšie opatrenia na ošetrenie v minulosti akceptovanej zraniteľnosti.

Čl. 2

Základné pojmy

1. Pokrytie rizika (Risk Treatment) – ošetrenie rizika takým spôsobom, že jeho (zostatková) hodnota nepresahuje akceptovateľnú úroveň.
2. Vyhodnotenie rizika (Risk Evaluation) – proces porovnávania výsledkov analýzy rizík s kritériami rizika, ktorého cieľom je rozhodnutie, či je riziko a/alebo jeho hodnota akceptovateľná alebo tolerovateľná.
3. Akceptovateľné riziko (Acceptable Risk) – úroveň zostatkového rizika, ktorú je organizácia schopná alebo ochotná tolerovať.
4. Akceptácia rizika – rozhodnutie prijať následky potenciálnej realizácie rizika.
5. Obídenie rizika – rozhodnutie zmeniť prostredie, v ktorom sa riziko vyskytuje tak, aby toto riziko neprichádzalo do úvahy.
6. Prenesenie rizika – rozhodnutie preniesť následky realizácie rizika mimo organizáciu.
7. Redukcia rizika – rozhodnutie pomocou vhodných opatrení dosiahnuť zníženie následkov realizácie rizika alebo zníženie pravdepodobnosti jeho realizácie.
8. Scenár rizika kybernetickej a informačnej bezpečnosti – akýkoľvek súhrn udalostí, ktoré môžu nastať s určitou pravdepodobnosťou a spôsobiť negatívny dopad, ktorým je poškodenie informačných technológií alebo iných aktív organizácie. Preskúmaním a identifikáciou rizika a prijatím vhodných bezpečnostných opatrení sa pravdepodobnosť naplnenia scenára rizika minimalizuje.

Čl. 3

Riadenie rizík v organizácii