PODROČJE: UPRAVLJANJE TVEGANJ – LEKCIJA 33/100
»Visoko tveganje« ne pomeni vedno, da ga je treba odpraviti takoj.
To je lahko za novega CISO težko sprejeti.
Ko je nekaj ocenjeno kot visoko tveganje, je prvi odziv pogosto hitro ukrepanje.
In včasih je to pravilno.
Toda pri upravljanju tveganj ni pomembna samo stopnja tveganja.
Pomemben je tudi kontekst.
Visoko tveganje na nekritičnem sistemu morda ni prva prioriteta.
Srednje tveganje, povezano s kritičnim poslovnim procesom, pa lahko zahteva takojšnjo pozornost.
Visoko tveganje z učinkovitimi nadomestnimi varnostnimi kontrolami je lahko manj nujno, kot se zdi na prvi pogled.
Visoko tveganje brez jasno določenega lastnika pa je lahko nevarnejše, kot kaže njegova ocena.
Tveganje, ki ga je težko izkoristiti, lahko zahteva drugačen odziv kot tveganje, ki se že aktivno izkorišča.
Zato morajo ocene tveganj pomagati pri sprejemanju odločitev, ne pa odločitev nadomestiti.
Novi CISO mora biti previden pri oznakah:
- kritično,
- visoko,
- srednje,
- nizko.
Te oznake so uporabne le, če organizacija razume, kaj dejansko pomenijo.
Boljše vprašanje ni samo:
»Kakšna je ocena tveganja?«
Boljše vprašanje je:
»Kakšno odločitev zahteva to tveganje?«
Ali ga bomo:
- zmanjšali,
- sprejeli,
- prenesli,
- se mu izognili,
- ga spremljali,
- ga eskalirali?
Dober CISO ne sledi slepo najvišji številčni oceni.
Dober CISO razume, katera tveganja so v dejanskem poslovnem kontekstu najpomembnejša.