Skończyły się czasy kiedy cyberbezpieczeństwo można było traktować jako problem działu IT. Odkąd obowiązuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca unijną dyrektywę NIS2, czyli od 3 kwietnia 2026 r., zarządzanie ryzykiem cyberbezpieczeństwa z konieczności trafiło pod kuratelę kierownictwa. Choćby dlatego, że ustawa przewiduje osobistą odpowiedzialność. Dla tysięcy polskich firm i organizacji oznacza to, że cyberodporność przestała być modnym hasłem ze slajdu, a stała się obowiązkiem obłożonym konkretnymi sankcjami.
Czym jest cyber risk management?
Zarządzanie ryzykiem bezpieczeństwa (ang. cyber risk management) jest to ciągły proces identyfikacji, analizy, oceny i ograniczania ryzyka związanego z cyberzagrożeniami. Jego celem jest ochrona organizacji przed incydentami, utratą danych i przestojami, a szerzej, utrzymanie ciągłości działania i zaufania klientów. Kluczowe jest tu słowo „ciągły”; nie chodzi tu o jednorazowy projekt z metą i odznaką na końcu, ale o proces, który odpowiada na zmieniający się krajobraz zagrożeń i zmiany w samej organizacji. Zarządzanie ryzykiem cyberbezpieczeństwa obejmuje pięć obszarów – ludzi, procesy, technologie, dane oraz dostawców, ale w świetle nowych przepisów to właśnie łańcuch dostaw wzbudza największe zainteresowanie (a nawet emocje).
Dlaczego zarządzanie ryzykiem cyberbezpieczeństwa jest dziś kluczowe?
W ciągu zaledwie pięciu lat liczba incydentów związanych z cyberbezpieczeństwem w Polsce wzrosła z około 10 tysięcy do ponad 260 tysięcy rocznie. Jednocześnie świadomość kuleje; z badań branżowych wynika, że ponad jedna trzecia specjalistów nie potrafi powiedzieć, czy ich firma w ogóle podlega NIS2. Być może dlatego wprowadzono zmiany w prawie, które mają zmotywować zarządy do działania: kary finansowe i odpowiedzialność osobistą. Kary dla podmiotów kluczowych sięgają 10 mln euro lub 2% obrotu, dla podmiotów ważnych – 7 mln euro lub 1,4%. Odpowiedzialność może spaść też bezpośrednio na kierownictwo, z karą finansową sięgającą nawet 300% wynagrodzenia i potencjalnie zakazem sprawowania funkcji kierowniczych. Cyberbezpieczeństwo stało się ryzykiem biznesowym w bardziej dostrzegalny sposób.
Z czego składa się proces zarządzania ryzykiem?
Proces zarządzania ryzykiem rozkłada się na pięć etapów: identyfikacja, analiza, ocena i priorytetyzacja, wybór strategii i wdrożenie kontroli, a na końcu monitoring i ciągłe doskonalenie; po czym cały proces rusza od nowa bo w zmieniającej się rzeczywistości stale pojawiają się nowe zagrożenia.
Identyfikacja zagrożeń i podatności
Pierwszym krokiem jest inwentaryzacja aktywów: sprzętu, oprogramowania, danych, systemów i kont. Wszakże nie sposób bronić czegoś, o czym nie wiemy. A „zapomniany” serwer czy nieaktualna aplikacja to jak otwarte drzwi dla atakującego; przypomnijmy: większość ataków ma charakter testowy – hakerzy szukają właśnie takich luk bezpieczeństwa. Mając mapę aktywów, identyfikujemy zagrożenia (phishing, ransomware, atak na łańcuch dostaw) i podatności, które mogłyby je wykorzystać.
Warto przemyśleć potencjalne scenariusze ataków. Przykład: pracownik klika w link w fałszywym mailu, napastnik przejmuje konto, porusza się po sieci i po kilku dniach szyfruje dane, żądając okupu. Każde ogniwo łańcucha – brak szkolenia, brak MFA, brak segmentacji i kopii zapasowych – to osobne ryzyko, które można ograniczyć, zanim dojdzie do incydentu.
Analiza i ocena ryzyka
Oceniamy tu dwa parametry dla każdego źródła ryzyka: prawdopodobieństwo i wpływ. Najpopularniejszym narzędziem jest macierz ryzyka. Warto przyjrzeć się temu rozwiązaniu, bo nie tylko jest użyteczne, ale też przemawia skutecznie do wyobraźni decydentów. W skrócie chodzi o to, że na jednej osi oznaczamy prawdopodobieństwo zdarzenia (np. fizyczny dostęp do routera na korytarzu jest bardziej prawdopodobny niż do zamkniętej serwerowni), a na drugiej jak poważne mogą być konsekwencje (w tym przypadku serwer jest dużo ważniejszy od routera). Lokalizacja potencjalnych problemów w macierzy mówi nam, które z nich są najważniejsze, ale może też zawierać wskazówki co możemy zrobić. Jeżeli utrata jedynej kopii danych może pogrążyć firmę to koniecznie trzeba mieć kopię zapasową. Jeżeli duża rotacja pracowników podnosi ryzyko utraty kluczowych osób, to może warto zastanowić się czemu ludzie od nas odchodzą. Tak, polityka kadrowa też może być elementem cyberbezpieczeństwa.
Podejście do analizy może być jakościowe albo ilościowe. W pierwszym przypadku grupa ekspertów (tzn. ludzi, którzy znają problem i wiedzą co mówią) ocenia z grubsza prawdopodobieństwo i skalę zagrożenia dla różnych problemów (np. niskie/średnie/wysokie). W drugim przypadku ryzyko określa się numerycznie poprzez wycenę strat w złotówkach lub inne mierzalne parametry. To drugie rozwiązanie jest trudniejsze, ale przemawia skutecznie do zarządu myślącego liczbami.
Risk appetite, risk tolerance i priorytetyzacja
Warto rozróżnić dwa pojęcia: apetyt na ryzyko (risk appetite) i tolerancja ryzyka (risk tolerance), które łatwo mogą być błędnie zinterpretowane, szczególnie w polskim tłumaczeniu. Pierwsze z nich oznacza maksymalny poziom ryzyka, jaki organizacja świadomie akceptuje w imię realizacji celów. Z kolei tolerancja ryzyka to dopuszczalne odchylenie od tego poziomu ryzyka dla konkretnego procesu czy aktywa. Jeżeli więc ogólnie firma toleruje ryzyko na poziomie 1%, to jakie ryzyko jest gotowa zaakceptować przy działaniach o szczególnym potencjale; 2%? 10%? Bez tych ram, priorytetyzacja zamienia się w zgadywankę, a wydatki na bezpieczeństwo trudno uzasadnić.
Określiwszy, które ryzyka są krytyczne, możemy zdecydować, co z nimi zrobić. Tradycyjnie rozróżnia się cztery podejścia: ograniczyć, przenieść (np. na ubezpieczyciela), unikać albo świadomie zaakceptować. Ograniczenie ryzyka polega na wdrożeniu odpowiednich zabezpieczeń i procedur, które mają na celu zmniejszenie prawdopodobieństwa wystąpienia zagrożenia lub zminimalizowanie jego negatywnych skutków. W przykładach z poprzedniego podrozdziału byłoby to ograniczenie dostępu do infrastruktury, tworzenie kopii zapasowych i zadbanie o retencję pracowników. Druga opcja to przeniesienie odpowiedzialności finansowej lub operacyjnej za ryzyko na podmiot zewnętrzny, najczęściej poprzez zakup polisy ubezpieczeniowej lub outsourcing danego procesu. Warto jednak podkreślić, że w kontekście cyberbezpieczeństwa, zwłaszcza w obliczu zmian niesionych przez NIS2, outsourcing może stworzyć więcej problemów niż rozwiązać.
Strategia unikania ryzyka polega na całkowitej rezygnacji z konkretnego działania, technologii, czy realizacji jakiegoś projektu, aby w stu procentach wyeliminować powiązane z nimi zagrożenie. Świetnym bieżącym przykładem jest implementacja AI – wiele firm zainwestowało dużo w modele LLM i większość z nich nic nie zyskała, poza marginalnymi korzyściami marketingowymi. Organizacje, które tego nie zrobiły, postawiły właśnie na strategię unikania ryzyka, poświęcając potencjalne korzyści z implementacji niesprawdzonej technologii na rzecz pewności uniknięcia chybionych wydatków. Wreszcie, akceptacja polega na świadomej decyzji o pozostawieniu ryzyka na obecnym poziomie bez podejmowania dodatkowych działań, zazwyczaj wtedy, gdy koszt wdrożenia zabezpieczeń przewyższa wartość potencjalnych strat, albo wtedy, gdy potencjalne korzyści nie mogą być zignorowane. To druga strona medalu AI – gdyby korzyści były tak znaczące jak się spodziewano, ryzyko byłoby tego warte.
Kluczowe w świetle zmian w przepisach jest, żeby każdą decyzję udokumentować, co przy decyzji o akceptacji ryzyka jest nawet ważniejsze niż przy innych strategiach. Podjęcie ryzyka świadomie, w obliczu balansu kosztów i korzyści, jest czymś zupełnie innym niż wystawienie się na ryzyko przez zaniedbanie. Dokumentacja jest dowodem należytej staranności w razie kontroli.
Strategie ograniczania ryzyka
Skuteczne ograniczenie ryzyka opiera się na kontrolach technicznych i organizacyjnych, najlepiej w postaci ochrony wielopoziomowej, by przełamanie jednej nie oznaczało katastrofy. Analogia do budowy twierdzy jest tu jak najbardziej uzasadniona (polecam wycieczkę do najbliższego XIX-wiecznego zabytku sztuki militarnej). Ponadto trzeba mieć na względzie, że same narzędzia nie wystarczą – równie ważne są procesy i ludzie.
Kontrole bezpieczeństwa i governance
Angielski termin governance (ład korporacyjny) należy w tym kontekście rozumieć jako przypisanie ról, odpowiedzialności i polityk. Sercem nowego podejścia jest odpowiedzialność kierownictwa: zarząd musi zatwierdzać środki zarządzania ryzykiem, nadzorować ich wdrożenie i rozumieć, jakie ryzyka akceptuje. Nie można tego już zrzucać wyłącznie na dział IT, bo a) ryzyko związane z cyberbezpieczeństwem jest dziś zbyt duże i b) ustawa nakłada odpowiedzialność na kierownictwo.
Monitoring zagrożeń i reagowanie na incydenty
Monitoring musi być działaniem stałym, a nie prowadzonym raz do roku „pod audyt”. Krajobraz cyberzagrożeń jest zbyt zmienny na takie podejście. Konieczne jest ciągłe śledzenie zdarzeń, podatności i anomalii, tak by wykryć problem zanim zamieni się w nagłówek. Drugą stroną medalu jest reagowanie na incydenty. Organizacja powinna mieć przygotowane procedury wykrywania, izolacji, usunięcia zagrożenia i przywrócenia pełnej funkcjonalności.
Regulacje są w tym przypadku bezlitosne dla spóźnialskich. Dla incydentu poważnego ustawa o KSC przewiduje wczesne zgłoszenie w ciągu 24 godzin, pełne zgłoszenie w 72 godziny i raport końcowy w ciągu miesiąca. Zgłoszenia trafiają do właściwego CSIRT (Computer Security Incident Response Team – tak, polskie przepisy, podobnie jak całe UE, używają angielskiego skrótu) – NASK, GOV lub MON (zależnie od obszaru działalności). Bez gotowych procedur dotrzymanie tych terminów graniczy z cudem.
Zarządzanie ryzykiem dostawców i łańcucha dostaw
To pięta achillesowa wielu firm, a niestety problemy bezpieczeństwa twojego dostawcy szybko mogą stać się twoimi problemami. Szczególnie w przypadku dostawców oprogramowania i usług IT (SaaS, usługi chmurowe, obsługa techniczna), ale także w innych obszarach optymalizacja procesów współcześnie często oznacza jakiś poziom integracji systemów informatycznych. Dlatego też ocena i klasyfikacja dostawców, kwestionariusze bezpieczeństwa, klauzule umowne i ciągły monitoring zamiast zasady „zaufaj i zapomnij” są kluczowe do zapewnienia cyberbezpieczeństwa. Dyrektywa NIS2 także nakłada na instytucje obowiązek zabezpieczenia łańcucha dostaw. W efekcie nawet mniejsze firmy spoza zakresu ustawy często muszą spełnić wymogi cyberbezpieczeństwa w związku z kontraktem od większego klienta objętego NIS2.
Świadomość i kultura bezpieczeństwa
Można wydać fortunę na technologię i wciąż przegrać przez jeden nieostrożny klik. Dlatego budowanie świadomości pracowników to pełnoprawny aspekt kontroli bezpieczeństwa. Regularne szkolenia, ćwiczenia z rozpoznawania phishingu i jasne procedury reagowania potrafią obniżyć ryzyko skuteczniej niż niejeden drogi system informatyczny. Co ważne, NIS2 i ustawa o KSC kładą szczególny nacisk na edukację kadry zarządzającej: szkolenie zarządu jest dziś obowiązkowe i musi być udokumentowane.
Technologie wspierające: SIEM, SOAR, EDR, IAM, MFA
To może wyglądać jakby dziecko rozsypało klocki z literkami, ale każdy z tych skrótów oznacza wartościową technologię bezpieczeństwa. SIEM (Security Information and Event Management) to system, który w czasie rzeczywistym gromadzi, analizuje i koreluje logi oraz zdarzenia bezpieczeństwa z całej infrastruktury firmy w celu wykrywania potencjalnych anomalii i zagrożeń. SOAR (Security Orchestration, Automation, and Response) to platforma służąca do koordynacji, automatyzacji oraz szybkiego reagowania na incydenty bezpieczeństwa bez stałej ingerencji człowieka. EDR (Endpoint Detection and Response) to zaawansowane rozwiązanie monitorujące i zabezpieczające punkty końcowe – takie jak stacje robocze, laptopy i serwery – zdolne do wykrywania i natychmiastowego blokowania cyberataków na poziomie urządzenia. IAM (Identity and Access Management) to systemy zarządzania tożsamością i uprawnieniami, odpowiedzialne za to, żeby właściwi użytkownicy mieli dostęp wyłącznie do tych zasobów i danych, które są im potrzebne. MFA (Multi-Factor Authentication) to po polsku uwierzytelnianie wieloskładnikowe, czyli wymóg podania co najmniej dwóch różnych dowodów tożsamości (np. hasła i kodu z aplikacji lub SMS-a) podczas logowania. Jeśli macie wdrożyć tylko jedno rozwiązanie, to niech to będzie właśnie uwierzytelnianie wieloskładnikowe – tanie, proste i często pomijane, a blokuje ogromną część ataków za pomocą wykradzionego hasła. W skrócie:
SIEM zbiera i koreluje zdarzenia, SOAR automatyzuje reakcję, EDR chroni stacje i serwery, IAM zarządza tożsamością i dostępem, a MFA gwarantuje identyfikację użytkowników.
Zgodność: NIS2, DORA, ISO 27001 i RODO
W skrócie: NIS2 to unijne minimum, do którego Polska ustawa o KSC dokłada krajową warstwę administracyjną, m.in. instytucję dostawcy wysokiego ryzyka, obowiązkowe szkolenia zarządu i formalny wykaz podmiotów kluczowych oraz ważnych. Warto też znać minimalny katalog środków z art. 21 NIS2: analiza ryzyka, obsługa incydentów, ciągłość działania i kopie zapasowe, bezpieczeństwo łańcucha dostaw, zarządzanie podatnościami, cyberhigiena i szkolenia, kryptografia, kontrola dostępu i zarządzanie aktywami oraz MFA. DORA (Digital Operational Resilience Act), czyli unijne Rozporządzenie w sprawie operacyjnej odporności cyfrowej sektora finansowego, to kluczowy akt prawny Unii Europejskiej, który wszedł w życie na początku 2023 r., a od stycznia 2025 r. nakłada określony reżim cyberbezpieczeństwa i odporności operacyjnej na sektor finansowy. ISO/IEC 27001 to dobrowolny, certyfikowalny standard, który spina te wymagania w jeden, audytowalny system. RODO stoi nieco z boku problemu cyberbezpieczeństwa, bo jego celem jest ochrona danych osobowych, nie systemów, ale w praktyce te dwa cele często idą w parze, bo dane osobowe przechowywane są w formie cyfrowej, a jeden wyciek danych może uruchomić dwa odrębne obowiązki zgłoszeniowe naraz.
Jak zbudować skuteczny system bezpieczeństwa krok po kroku
Jednym z przykładów szkieletu, na którym można oprzeć taki system, jest NIST Cybersecurity Framework 2.0, amerykański framework powszechnie używany przez podwykonawców pracujących dla rządu federalnego. Zbudowany wokół sześciu funkcji: Govern, Identify, Protect, Detect, Respond i Recover. Nowo dodany „Govern”, co można rozumieć jako nadzór, traktuje cyberbezpieczeństwo jako ryzyko biznesowe i wynosi łańcuch dostaw do rangi osobnej kategorii. Pokrywa się to z logiką NIS2, więc framework dobrze nadaje się jako punkt odniesienia przy wdrażaniu zasad zgodności z dyrektywą.
W praktyce kolejność działań może wyglądać tak:
- Ustal, czy w ogóle podlegasz przepisom (obowiązuje samoidentyfikacja na podstawie sektora i wielkości, czyli żaden urząd powiadomienia ci nie wyśle).
- Przeprowadź analizę luk względem wymagań ustawy.
- Oprzyj decyzje i wydatki na analizie ryzyka, a nie na liście zakupów narzędzi.
- Wdróż system zarządzania bezpieczeństwem informacji, polityki i procedury reagowania.
- Wciągnij zarząd w działania i przeszkol go; zabezpiecz łańcuch dostaw.
- Przetestuj procedury symulacją; tylko tak sprawdzisz, czy działają.
- Zaplanuj cykliczny przegląd i aktualizację.
Najlepsze praktyki
Najważniejsze zasady to analiza ryzyka przed zakupami (częsty błąd polega na tym, że dział zakupów nie konsultuje się z działem IT i stawia ich przed faktem dokonanym), udokumentowane decyzje (szczególnie świadoma decyzja żeby nic nie zmieniać), przeszkolony zarząd (pamiętajmy, odpowiedzialność jest teraz osobista), zabezpieczeni dostawcy (organizacja odpowiada teraz za swój łańcuch dostaw), regularne testowanie reakcji oraz kopie zapasowe. Wszystko to powinno funkcjonować jako proces ciągły, a nie jednorazowa akcja.
Najczęstsze błędy organizacji
Oto grzechy główne cyberbezpieczeństwa: Podejście „odhaczymy i zapomnimy”; realia się zmieniają, firma się rozwija, software się aktualizuje, pojawiają się nowe zagrożenia – cyberbezpieczeństwo wymaga stałego monitorowania i aktualizacji. Mylenie wpisu do wykazu z faktycznym wdrożeniem obowiązków; rejestracja to dopiero pierwszy krok, trzeba jeszcze faktycznie wdrożyć procedury bezpieczeństwa. Kupowanie narzędzi przed zrozumieniem ryzyka, które mają adresować. Ignorowanie ryzyka w łańcuchu dostaw. I odwieczny problem, zwlekanie, mimo że realne wdrożenie zajmuje od 9 do 15 miesięcy, więc firmy ruszające „za chwilę” już są spóźnione.
Podsumowanie
Zarządzanie ryzykiem cyberbezpieczeństwa to dziś nie projekt z datą zakończenia, lecz stały, strategiczno-operacyjny element zarządzania organizacją. Punktem wyjścia jest analiza ryzyka i samoidentyfikacja pod NIS2/KSC, a odpowiedzialność spoczywa na zarządzie, nie tylko na dziale IT. Najsłabszym ogniwem bywają ludzie i dostawcy, a nie technologia. A terminy już zostały wyznaczone, więc najlepszy moment, żeby zacząć, już minął. Drugi najlepszy jest teraz.
Najważniejsze wnioski:
- Cyber risk management to proces ciągły, nie jednorazowy projekt.
- Wszystko zaczyna się od analizy ryzyka i samoidentyfikacji pod NIS2/KSC.
- Cyberbezpieczeństwo to odpowiedzialność zarządu, poparta realnymi sankcjami.
- Łańcuch dostaw i świadomość pracowników to często słabsze ogniwa niż narzędzia IT.
