Definice hrozby (Threat)
Hrozba (Threat) je událost, situace nebo činnost, která může vyvolat riziko a způsobit ztrátu, poškození nebo nedostupnost aktiva, procesu či plánu. Proti hrozbám je třeba chránit firemní aktiva a procesy – zejména v oblasti informační bezpečnosti, fyzické bezpečnosti a business continuity.
- Hrozby jsou spouštěče rizikových scénářů nebo událostí.
- Ovlivňují firemní aktiva nebo procesy a mohou být příčinou rizikové události.
- Jsou to podmínky nebo mechanismy, které mění potenciální rizika ve skutečné události.
- Hrozby mohou být úmyslné (útok, sabotáž), neúmyslné (lidská chyba) nebo náhodné (přírodní katastrofa).
Proč by se malé firmy měly zajímat o hrozby?
Malé a střední firmy jsou častým cílem kybernetických hrozeb (např. phishing, ransomware), protože obvykle nemají tak silnou ochranu jako velké podniky. Stejně tak je mohou ohrozit provozní hrozby (např. výpadky dodavatelů) nebo bezpečnostní rizika na pracovišti. I jediný incident může mít pro menší firmu vážné finanční následky.
Příklady nejčastějších hrozeb, které malé firmy nejčastěji řeší
- Kybernetické hrozby: phishing, ransomware, malware, útoky typu DDoS, sociální inženýrství.
- Provozní hrozby: selhání dodavatelů, závislost na klíčových lidech.
- Bezpečnostní rizika (hazards): pracovní úrazy, porušení předpisů OSHA.
- Externí hrozby: krádeže, vandalismus, přírodní katastrofy, změny tržních podmínek
- Compliance a regulace: nesplnění zákonných či oborových požadavků (např. HIPAA, GDPR, ISO, BOZP).
Jak se mohou malé firmy na hrozby připravit?
- pravidelně provádět analýzu rizik,
- identifikovat a dokumentovat klíčové hrozby a hazardy,
- školit zaměstnance v oblasti kybernetické bezpečnosti a bezpečnosti práce,
- mít připravený plán kontinuity podnikání,
- využívat jednoduché nástroje pro řízení rizik k evidenci a sledování hrozeb.
Hrozba (Threat) vs. Nebezpečí (Hazard)
Někdy lze hrozby a nebezpečí používat stejně, jako příčiny rizika. Je to něco, "co ohrožuje aktiva, procesy nebo lidi“. Profesionálové v oblasti řízení rizik používají přesné rozlišení:
- V oblasti kybernetické bezpečnosti, business continuity a strategického řízení se běžně používá pojem Threat.
- V oblasti bezpečnosti práce (OHS, OSHA) se ale častěji používá pojem Hazard (např. chemical hazards, fire hazards).
Hrozba
- O hrozbě mluvíme při reálném vzniku události nebo jevu, tedy při vzniku konkrétní, reálné události.
- Hrozba je je tedy například konkrétní útok (například útok DDoS) , který cílí na nějakou zranitelnost procesu nebo aktiva
- útoky, externí hrozby, úmyslné i neúmyslné události.
Nebezpečí
- Nebezpečí má nějaký trvalejší charakter a znamená spíše určité podmínky pro vznik hrozby nebo rizika (například nebezpečí zranění u nějakého stroje).
- nebezpečí v pracovním prostředí (chemické, fyzikální, ergonomické).
Proč a k čemu je důležité znát hrozby a nebezpečí
- Hrozby mohou způsobit úraz, poškození majetku, přerušení fungování (business disruption) nebo poškození životního prostředí
- Organizace zpravidla nemůže ovlivnit, to, že hrozba nebo nebezpečí nastane
- Díky tomu, že hrozbu předem identifikuje, se může organizace na hrozbu připravit a zmírnit její dopad
- Hrozba je něco, vůči čemu by měla být vaše aktiva chráněna
- Určení hrozeb je prvním krokem analýzy rizik - pomáhá určit rizika
Jak udržovat registr hrozeb v Aptienu
- Katalog hrozeb, kde vedete informace o možných hrozbách je součástí systému řízení rizik
- Hrozby jsou zdrojem rizik, takže na základě nich hodnotíte a šetříte rizika
Pro efektivní řízení rizik je nezbytné udržovat registr hrozeb. Automatizujte sledování a aktualizaci hrozeb. Zde je několik kroků k udržení komplexního a aktuálního katalogu hrozeb:
- Seznam potenciálních hrozeb: Identifikujte a uveďte všechny potenciální hrozby, které by mohly ovlivnit vaši organizaci. To zahrnuje jak vnější hrozby (např. přírodní katastrofy, kybernetické útoky), tak vnitřní hrozby (např. lidská chyba, selhání systému).
- Kategorizace hrozeb: Uspořádejte hrozby do kategorií, jako jsou fyzické, kybernetické, provozní a environmentální. To pomáhá pochopit povahu a zdroj každé hrozby.
- Detail každé hrozby: U každé hrozby uveďte podrobný popis
- Propojení s aktivy a procesy: Připojte každou hrozbu ke konkrétním aktivům nebo procesům, které by mohla ovlivnit. To pomáhá při vyhodnocování celkového rizika a upřednostňování úsilí o zmírnění.
- Odkaz na rizika: Propojte každou hrozbu s konkrétním rizikem, které se může spustit.
- Pravidelné aktualizace: Průběžně aktualizujte katalog, aby odrážel nové hrozby a změny v prostředí organizace.
Detail každé hrozby: U každé hrozby uveďte podrobný popis
- ID hrozby: Jedinečný identifikátor pro sledování.
- Popis: Stručný přehled hrozby.
- Dopad: Možné důsledky pro aktiva nebo procesy.
- Pravděpodobnost: Pravděpodobnost výskytu.
- Zmírňující opatření k hrozbě Kroky ke snížení nebo zvládnutí hrozby.