„Analiza ryzyka” to jedno z tych pojęć, które brzmią jak gruby segregator i drogi audyt. A w gruncie rzeczy to uporządkowana odpowiedź na trzy pytania: co cennego mamy, co może temu zagrozić i co z tym robimy. Tyle. Reszta to forma.
To również dokument, którego wprost oczekuje NIS2 i polska ustawa o KSC — i jeden z pierwszych punktów naszej checklisty NIS2. Pokażemy schemat, który mała firma jest w stanie wypełnić samodzielnie.
Krok 1: Spisz, co masz (inwentaryzacja zasobów)
Nie ocenisz ryzyka dla czegoś, o czym zapomniałeś. Zacznij od listy zasobów:
- Dane — bazy klientów, dokumenty finansowe, dane osobowe, dokumentacja projektowa.
- Systemy — serwery, hosty Proxmox, maszyny wirtualne, aplikacje, poczta, strona.
- Ludzie i dostawcy — kto ma dostęp, z jakimi systemami zewnętrznymi się integrujesz.
Przy każdym zasobie dopisz, jak bardzo jest krytyczny: czy firma działa bez niego godzinę, dzień, czy wcale.
Krok 2: Określ zagrożenia i podatności
Dla każdego ważnego zasobu zadaj pytanie „co może pójść nie tak?”. Najczęstsze kategorie:
- Awaria sprzętu lub dysku
- Ransomware / złośliwe oprogramowanie
- Błąd ludzki (skasowanie, błędna konfiguracja)
- Utrata dostępu (kradzież, pożar, zalanie)
- Atak na konto (przejęcie hasła, phishing)
- Niedostępność dostawcy zewnętrznego
Krok 3: Oceń prawdopodobieństwo i skutek
Tu pojawia się prosta, skuteczna metoda: macierz ryzyka. Każde zagrożenie oceniasz w dwóch wymiarach, w skali 1–3 (albo 1–5):
- Prawdopodobieństwo — jak realne jest, że wystąpi.
- Skutek — jak bardzo zaboli, jeśli wystąpi.
Mnożysz obie wartości i dostajesz poziom ryzyka. To pozwala uszeregować zagrożenia od „zajmijmy się tym natychmiast” po „akceptujemy”. Najprostsza wersja to kolory: czerwone (działaj teraz), żółte (zaplanuj), zielone (monitoruj).
Przykład wiersza w tabeli
Zasób: serwer plików · Zagrożenie: ransomware · Prawdopodobieństwo: 3 · Skutek: 3 · Ryzyko: 9 (czerwone) · Działanie: kopie 3-2-1 z kopią niezmienialną + segmentacja sieci + szkolenie z phishingu.
Krok 4: Zaplanuj postępowanie z ryzykiem
Dla każdego istotnego ryzyka wybierasz strategię:
- Ograniczenie — wdrażasz zabezpieczenie (kopie, 2FA, monitoring, segmentacja).
- Przeniesienie — np. ubezpieczenie cyber, umowa z dostawcą.
- Akceptacja — świadomie godzisz się na małe ryzyko i to dokumentujesz.
- Unikanie — rezygnujesz z ryzykownej czynności/technologii.
Konkretne działania techniczne często znasz już z naszego cyklu: monitoring dostępności (Uptime Kuma), kopie zapasowe według reguły 3-2-1 czy segmentacja sieci na VLAN-y.
Krok 5: Przypisz właściciela i termin
Analiza ryzyka bez przypisanej odpowiedzialności to martwy dokument. Każde działanie powinno mieć właściciela (kto?) i termin (do kiedy?). To zamienia tabelę w plan.
Krok 6: Przeglądaj cyklicznie
Ryzyko nie jest stałe. Nowy system, nowy dostawca, nowy typ ataku — to zmienia obraz. Ustal rytm przeglądu (np. raz na pół roku i po każdym istotnym incydencie). NIS2 traktuje zarządzanie ryzykiem jako proces ciągły, a nie jednorazowy projekt.
Szkielet szablonu, od którego zaczniesz
Twoja tabela analizy ryzyka potrzebuje tylko tych kolumn:
- ✅ Zasób
- ✅ Zagrożenie / podatność
- ✅ Prawdopodobieństwo (1–3)
- ✅ Skutek (1–3)
- ✅ Poziom ryzyka (iloczyn)
- ✅ Działanie / zabezpieczenie
- ✅ Właściciel i termin
Co dalej w tym cyklu
W kolejnych wpisach z wątku zgodności pokażemy różnice między NIS2 a RODO (żeby nie robić podwójnej roboty) oraz bezpieczeństwo łańcucha dostaw — czyli jak włączyć dostawców do swojej analizy ryzyka. Dla podmiotów publicznych przyda się też nasz przewodnik po dokumentacji NIS2.
Chcesz gotowy szablon analizy ryzyka dopasowany do Twojej firmy — albo wsparcie w jego wypełnieniu? Napisz do nas. Przeprowadzimy Cię przez proces tak, żeby dokument był użyteczny, a nie tylko „na półkę dla kontroli”.