Technologické riziko vo väčšej firme málokedy rieši iba jeden útvar. Na jeho riadení sa podieľa IT, bezpečnosť, risk management, vlastníci procesov a služieb aj vedenie spoločnosti.

IT prevádzkuje technológie, bezpečnosť stanovuje požiadavky a vyhodnocuje hrozby, risk management vedie riziká a kontrolné funkcie overujú dodržiavanie pravidiel. Takéto rozdelenie je potrebné, ale samo osebe neurčuje, kto technologické riziko vlastní.

Vlastníctvo rizika by malo nasledovať vlastníctvo rozhodnutia a jeho dôsledkov. Ak obchodná jednotka potrebuje systém, pretože prostredníctvom neho poskytuje službu zákazníkom, riziko spojené s dostupnosťou tejto služby nie je iba problémom IT. IT môže zabezpečiť infraštruktúru, redundanciu, zálohovanie a obnovu. Nemôže však samo rozhodnúť, aký výpadok je pre firmu prijateľný alebo koľko má firma investovať do jeho obmedzenia.

To je biznisové rozhodnutie.

Technologické riziko nevzniká iba v technológii

Výpadok systému môže spôsobiť porucha databázy, chyba aplikácie, zlyhanie dodávateľa alebo kybernetický útok. Následkom môže byť zastavenie výroby, nemožnosť obsluhovať zákazníkov, porušenie zmluvných záväzkov alebo finančná strata.

Technická príčina a vlastníctvo rizika preto nie sú to isté.

Rovnako to platí pri kybernetickej bezpečnosti. CISO môže identifikovať nedostatočné zabezpečenie systému, vyhodnotiť pravdepodobnosť incidentu a navrhnúť opatrenia. Odstránenie rizika však môže vyžadovať investíciu, odstávku služby alebo zmenu obchodného procesu. O takomto zásahu už bezpečnostná funkcia nemôže rozhodovať sama.

CISO môže povedať, že systém predstavuje vysoké riziko. Nemal by však za vedenie firmy rozhodovať, či je toto riziko vzhľadom na náklady, možné dôsledky a potreby organizácie prijateľné.

Kto teda riziko vlastní

Vlastníkom technologického rizika by mal byť človek, ktorý má právomoc rozhodnúť o činnosti, z ktorej riziko vzniká, a zároveň nesie zodpovednosť za jej výsledok.

Pri kritickej obchodnej službe to môže byť vlastník služby alebo príslušný člen vedenia. Pri internom procese vlastník procesu. Pri technologickej platforme môže časť rizík skutočne patriť CIO alebo IT.

Neexistuje univerzálne pravidlo, podľa ktorého technologické riziká patria CIO a kybernetické riziká CISO.

Dôležité je oddeliť jednotlivé úlohy.

IT technologické riziká riadi a realizuje opatrenia. Bezpečnostná funkcia identifikuje a vyhodnocuje bezpečnostné riziká a stanovuje primerané požiadavky. Risk management zabezpečuje metodiku, evidenciu a eskaláciu. Audit nezávisle overuje, či systém riadenia funguje.

Vlastník rizika rozhoduje o spôsobe jeho ďalšieho riadenia v rozsahu právomocí, ktoré mu organizácia pridelila.

Vlastník rizika nerozhoduje bez obmedzení

Určením vlastníka rizika sa otázka zodpovednosti nekončí. Organizácia musí zároveň vedieť, akú úroveň rizika je ochotná pri dosahovaní svojich cieľov podstúpiť.

Na to slúži risk appetite.

Risk appetite by nemal zostať všeobecným vyhlásením v politike riadenia rizík. Musí byť použiteľný pri reálnom rozhodovaní.

Firma môže napríklad tolerovať krátkodobú nedostupnosť interného systému, ale mať veľmi nízku toleranciu voči výpadku služby poskytovanej zákazníkom. Môže akceptovať určité prevádzkové riziko pri staršej technológii, ale nie riziko straty citlivých údajov alebo porušenia regulačných povinností.

Takto nastavený risk appetite dáva vlastníkom rizík rámec, v ktorom môžu rozhodovať.

Ak riziko zostáva v rámci stanovenej tolerancie, môže o jeho akceptácii rozhodnúť príslušný vlastník v rozsahu svojho mandátu. Ak stanovenú toleranciu prekračuje, vlastník ho musí eskalovať na vyššiu úroveň riadenia. Pri významnom riziku môže rozhodnutie patriť členovi predstavenstva, celému vedeniu alebo inému orgánu podľa governance organizácie.

CISO môže vlastniť proces riadenia kybernetických rizík bez toho, aby mal oprávnenie akceptovať každý možný dopad kybernetického incidentu. CIO môže zodpovedať za technologické prostredie bez toho, aby mohol sám rozhodnúť, že firma prijme vysoké riziko nedostupnosti kritickej obchodnej služby.

Risk appetite preto nie je iba údaj o tom, koľko rizika je firma ochotná znášať. Spolu s risk tolerance a nastavenými rozhodovacími právomocami určuje, kto môže rozhodnúť a kedy musí vlastník riziko eskalovať.

Akceptácia rizika nie je podpis pod formulárom

Formálne procesy riadenia rizík často končia akceptáciou. Organizácia má zistenie, navrhnuté opatrenie, odhad nákladov a osobu, ktorá podpíše výnimku alebo akceptáciu rizika.

Samotný podpis však ešte neznamená, že organizácia riziko skutočne riadi.

Človek, ktorý riziko akceptuje, musí rozumieť jeho možnému dopadu a musí mať právomoc tento dopad v mene organizácie prijať.

Vedúci IT prevádzky môže veľmi dobre rozumieť tomu, prečo je starý systém rizikový. Nemusí však mať mandát akceptovať možnosť, že jeho výpadok na dva dni zastaví obchodnú činnosť spoločnosti.

Rozhodnutie musí urobiť človek s právomocou zodpovedajúcou možnému dopadu.

Ak organizácia stanovila risk appetite, tolerancie a rozhodovacie právomoci, nemusí pri každom riziku nanovo určovať spôsob eskalácie. Je vopred zrejmé, kto môže rozhodnúť a ktoré riziká už patria vyššej úrovni riadenia.

IT nemá samo určovať, koľko rizika firma unesie

IT prirodzene robí množstvo rozhodnutí bez účasti vedenia. Vyberá technické riešenia, plánuje kapacity, nastavuje monitoring, rieši životný cyklus infraštruktúry a vykonáva stovky ďalších prevádzkových rozhodnutí.

IT môže tieto rozhodnutia robiť samostatne dovtedy, kým zostávajú v rámci schválených právomocí a tolerovanej úrovne rizika.

Predĺženie používania nepodporovaného systému o ďalší rok môže byť technicky realizovateľné. Firma tým však môže zvýšiť riziko výpadku alebo bezpečnostného incidentu.

Zrušením druhej lokality môže firma znížiť náklady a súčasne obmedziť svoju schopnosť obnoviť kritické služby po závažnom incidente.

Aj rozhodnutie neimplementovať odporúčané bezpečnostné opatrenie môže mať ekonomické opodstatnenie. Urobiť ho však musí niekto, kto má oprávnenie akceptovať zostávajúce riziko.

Úlohou IT a security je pripraviť takéto rozhodnutia tak, aby im rozumel aj človek bez detailnej technickej znalosti.

Management nepotrebuje rozhodovať medzi dvoma typmi firewallu. Potrebuje vedieť, akému scenáru firma čelí, aký môže mať dopad, aké možnosti má k dispozícii, koľko jednotlivé možnosti stoja a aké riziko po ich realizácii zostane.

Zodpovednosť musí byť dohľadateľná

Jedným zo znakov fungujúceho IT governance je schopnosť spätne vysvetliť významné rozhodnutia.

Prečo firma prevádzkuje systém po skončení podpory? Prečo nebola realizovaná odporúčaná redundancia? Prečo bolo bezpečnostné riziko akceptované? Kto poznal jeho dopad? Kto mal právomoc rozhodnúť a na základe akých informácií rozhodol?

Ak organizácia začne odpovede na tieto otázky hľadať až po incidente, jej governance pravdepodobne nefungoval dostatočne.

Nie každé rozhodnutie potrebuje rozsiahlu dokumentáciu. Pri významnom technologickom riziku však musí byť možné identifikovať jeho vlastníka, hodnotenie, prijaté rozhodnutie a dôvody, ktoré k nemu viedli.

Decision log, risk register alebo formálna akceptácia rizika nie sú administratíva pre audit. Sú pamäťou organizácie.

CIO a CISO majú dostať riziko k správnemu rozhodnutiu

Silný CIO ani CISO nie je človek, ktorý na seba preberie všetky technologické riziká firmy.

Ich úlohou je zabezpečiť, aby organizácia riziká identifikovala, správne vyhodnotila, zrozumiteľne komunikovala a eskalovala na úroveň s príslušnou rozhodovacou právomocou.

Časť rizík zostane v IT. Iné patria vlastníkom služieb a procesov. Významné riziká sa dostanú až k vedeniu spoločnosti.

Takto nastavené vlastníctvo mení aj diskusiu medzi IT a biznisom. IT nežiada peniaze na technický projekt bez kontextu, ale predkladá možnosti, ich náklady a dôsledky. Biznis nemusí rozhodovať o technických detailoch. Rozhoduje o úrovni rizika, ktorú je firma ochotná niesť.

Technologické riziko je technologické podľa svojho pôvodu. Jeho dôsledky sú však často obchodné, finančné, prevádzkové alebo regulačné.

Podľa týchto dôsledkov musí byť nastavená aj zodpovednosť za rozhodnutie.