„Riscul este o măsură a gradului în care o entitate este amenințată de o circumstanță sau de un eveniment potențial și este de regulă o funcție de: (i) impactul advers care ar apărea dacă circumstanța sau evenimentul se produce; și (ii) probabilitatea de apariție.”National Institute of Standards and Technology (NIST) · Guide for Conducting Risk Assessments (NIST SP 800-30 Rev. 1) · 2012 · NIST SP 800-30 Rev. 1, «Guide for Conducting Risk Assessments» (septembrie 2012), secțiunea 2.3 «Key Risk Concepts»
Proprietarul unui risc e cineva care poate aloca buget și opri o activitate, nu cineva care ține un registru.
Definiția din ghidul NIST de evaluare a riscurilor (SP 800-30 Rev. 1, 2012) e utilă tocmai pentru că e plictisitoare: riscul e o măsură a cât de expusă e o entitate la o circumstanță sau la un eveniment, funcție de impactul advers și de probabilitatea de apariție. ISO 31000:2018 spune același lucru altfel — efectul incertitudinii asupra obiectivelor — și adaugă ce lipsește din prima formulare: riscul se raportează la obiective, nu la active. Trei termeni se confundă constant. Apetitul de risc e cât risc caută organizația ca să-și atingă obiectivele; e o decizie a conducerii, nu a echipei de securitate. Toleranța e abaterea acceptată în jurul apetitului, exprimată ca praguri concrete care declanșează o reacție. Proprietarul riscului e persoana cu autoritatea și responsabilitatea de a-l trata, adică cineva care poate aloca buget și poate opri o activitate. În ISO/IEC 27001:2022, clauza 6.1.3 cere aprobarea proprietarilor pentru planul de tratare și acceptarea riscurilor reziduale.
Pasul pe care cardul nu îl face încă e acesta: fără obiective scrise, riscul nu poate fi măsurat, pentru că nu ai la ce să-l raportezi. NIST dă formula, ISO dă ancora — efectul incertitudinii asupra obiectivelor. Practic, întrebi întâi ce vrea organizația să realizeze, apoi ce ar putea împiedica asta. Un magazin online vrea livrare în 24 de ore; atunci o pană de la curier e un risc, iar o defecțiune la un server de test nu e decât un eveniment fără miză. Aceeași defecțiune devine risc doar dacă lovesc un obiectiv. De aici decurge restul: apetitul, toleranța și proprietarul au sens doar raportate la acel obiectiv. Dar cum alege organizația cât risc e dispusă să suporte pentru obiectivul ei?
Pasajul 2: Răspunsul la întrebarea din urmă e apetitul de risc, și e o decizie a conducerii, nu a echipei de securitate. Consiliul spune, de fapt, cât de mult poate eșuează organizația în drum spre obiectiv. Apoi toleranța traduce apetitul în praguri concrete: dacă livrările întârziesc peste opt ore, cineva e obligat să reacționeze. Fără prag, apetitul rămâne un slogan frumos pe un poster. Iar pragurile fără un nume care să reacționeze rămân doar cifre pe hârtie. Cine ar trebui să semneze acel nume?
De ce contează Auditorul nu întreabă ce riscuri ai, ci cine le deține și cine a acceptat riscul rezidual; fără nume, clauza 6.1.3 nu e îndeplinită.