„evaluarea riscului: procesul de comparare a rezultatelor analizei riscului cu criteriile de risc, pentru a determina dacă riscul și/sau semnificația lui sunt acceptabile sau tolerabile”ISO/IEC · ISO/IEC 27005:2022 — Information security, cybersecurity and privacy protection — Guidance on managing information security risks · 2022 · ISO/IEC 27005:2022, 3.2.6 «risk evaluation» — definiție preluată din ISO Guide 73:2009, 3.7.1, modificată («significance» a înlocuit «magnitude»)
Criteriile se scriu înaintea riscurilor, altfel pragul se mută după rezultat.
Clauza 6.1.2 din ISO/IEC 27001:2022 cere un proces, nu un tabel. Litera a) cere criterii scrise: criteriile de acceptare a riscului și criteriile pentru efectuarea evaluărilor. Litera b) e cea care desparte metoda serioasă de improvizație — evaluările repetate trebuie să producă rezultate consecvente, valide și comparabile. Apoi vin identificarea riscurilor pentru pierderea confidențialității, integrității și disponibilității, împreună cu numirea proprietarilor de risc; analiza, adică estimarea consecințelor și a probabilității realiste și determinarea nivelurilor; și evaluarea, adică prima comparație cu criteriile de la litera a) și prioritizarea pentru tratare. Ghidul detaliat stă în ISO/IEC 27005:2022, ediția a patra, care pune față în față două căi de identificare: abordarea pe evenimente, care pornește de la scenarii și de la obiectivele afectate, și abordarea clasică pe active, care pornește de la inventar, amenințări și vulnerabilități. Prima e mai rapidă și mai apropiată de business, a doua e mai completă și mai lentă.
Consecvența nu e doar un test de competență, ci ceea ce face evaluarea verificabilă. Dacă rezultatul depinde de cine scrie tabelul, nimeni nu poate verifica nimic. Cu criterii și metodă fixate dinainte, același proces poate fi reluat peste un an și diferențele înseamnă ceva: s-a schimbat situația, nu doar analistul. Gândește-te la un magazin online care evaluează riscul de indisponibilitate a plăților. Dacă metoda e aceeași, o creștere a nivelului de risc față de anul trecut e un semnal real, nu o schimbare de dispoziție. Dar cum se construiește o metodă care să dea aceleași rezultate în mâinile unor oameni diferiti?
Răspunsul la întrebarea din urmă stă în alegerea punctului de plecare. ISO/IEC 27005:2022 pune față în față două căi de identificare a riscurilor. Abordarea pe evenimente pornește de la scenarii și de la obiectivele afectate. Abordarea pe active pornește de la un inventar, apoi leagă amenințări și vulnerabilități de fiecare element. Prima e mai rapidă și mai apropiată de modul în care conducerea gândește. A doua e mai lentă, dar acoperă colțuri pe care scenariul le poate sări. Alege una, scrie-o în metodă, și doi analiști vor merge pe același drum. Un restaurant cu comenzi online poate porni de la evenimentul „sistemul de comenzi cade în weekendul de vârf”. Sau poate porni de la active: serverul, aplicația, datele clienților, fiecare cu propriile amenințări. Aceeași alegere, scrisă negru pe alb, e ceea ce face rezultatul repetabil. Dar odată identificate riscurile, cine decide ce e acceptabil și cine poartă răspunderea?
De ce contează Dacă doi analiști ai aceleiași organizații ies cu clasamente diferite pe aceleași riscuri, litera b) a clauzei 6.1.2 este deja picată.