Postup v šiestich krokoch
- Zoznam aktív. Čo je pre firmu dôležité: systémy, údaje, výrobné linky, budovy, ľudia, dodávatelia.
- Hrozby. Čo im môže uškodiť: vírus, ktorý zašifruje dáta, výpadok elektriny, chyba zamestnanca, útok cez dodávateľa.
- Analýza. Aké pravdepodobné to je a aký by to malo dopad.
- Hodnotenie. Ktoré riziká sú neprijateľné a treba ich znížiť.
- Opatrenia. Čo urobíte, kto a dokedy. Riziká, ktoré prijmete, vedenie schváli.
- Revízia. Aspoň raz ročne a pri každej väčšej zmene.
Analýza dopadov na prevádzku (BIA)
Analýza dopadov odpovedá na otázku: čo sa stane, keď systém nepôjde? Vyhláška Národného bezpečnostného úradu č. 227/2025 Z. z. vyžaduje, aby jej súčasťou bolo určenie:
- cieľovej doby obnovy: za aký čas musí systém znova fungovať (po anglicky RTO),
- cieľového bodu obnovy: o koľko údajov môžete najviac prísť, napríklad o posledné 4 hodiny práce (RPO).
Z toho potom vyplýva, ako často zálohovať a aký plán obnovy potrebujete.
Metodika Národného bezpečnostného úradu
Úrad zverejňuje na svojom webe bezpečnostnú metodiku s úrovňami rizika. Ak používate vlastnú metodiku, treba ju na úrovne z metodiky úradu namapovať, aby sa výsledky dali porovnať.
Najčastejšie chyby
- analýza počíta len s kanceláriou, nie s výrobou a technológiami,
- sto strán tabuliek, ktorým vedenie nerozumie a nikto ich neotvorí,
- chýba rozhodnutie vedenia, ktoré riziká firma prijíma,
- analýza sa neaktualizuje, aj keď sa firma zmenila,
- skopírovaná šablóna bez väzby na skutočný stav.
