Ve zkratce:
- Ve vyšším režimu hodnotíte rizika aspoň jednou ročně a při každé významné změně.
- Riziko lze počítat jako hodnota aktiva × hrozba × zranitelnost, každé na stupnici 1 až 4.
- Výstupem jsou tři dokumenty: zpráva o hodnocení rizik, prohlášení o aplikovatelnosti a plán zvládání rizik.
Postup v pěti krocích
- Metodika: určete, jak budete rizika hodnotit a od jaké hodnoty riziko neakceptujete (§ 8 odst. 1 písm. a).
- Aktiva: sepište primární aktiva (služby, informace) a technická aktiva, na kterých stojí, a ohodnoťte je podle důvěrnosti, integrity a dostupnosti na stupnici nízká až kritická (§ 7, příloha 1).
- Hrozby a zranitelnosti: ke každému aktivu přiřaďte relevantní hrozby a zranitelnosti. Zvážit musíte aspoň kategorie z přílohy 3 (níže).
- Hodnocení: spočítejte riziko a porovnejte ho s hranicí akceptovatelnosti.
- Zvládání: pro rizika nad hranicí zvolte metodu a zapište ji do plánu zvládání rizik s odpovědnou osobou, zdroji a termínem.
Stupnice hrozeb
| Úroveň | Jak často může nastat |
|---|---|
| 1 Nízká | ne častěji než jednou za 5 let |
| 2 Střední | jednou za 1 až 5 let |
| 3 Vysoká | jednou za měsíc až rok |
| 4 Kritická | častěji než jednou za měsíc |
Zranitelnost se hodnotí podle toho, jak dobře opatření dokáží zneužití odhalit: od nízké (opatření včas detekují pokusy) po kritickou (opatření chybí nebo jsou neúčinná a jsou známé úspěšné útoky). Riziko pak vychází nízké (akceptovatelné), střední, vysoké (dlouhodobě nepřípustné) nebo kritické (nutno řešit hned). Přesné popisy jsou v příloze 4 vyhlášky.
Šablona s výpočtem
Hodnoty upravte podle sebe, riziko se přepočítá. Hranici akceptovatelnosti si určíte v metodice, tady počítáme s tím, že riziko od 18 (z nejvýš 64) řešíte. Řádky jsou ilustrace.
| Aktivum | Hrozba | Zranitelnost | Aktivum | Hrozba | Zranit. | Riziko | Zvládání |
|---|---|---|---|---|---|---|---|
| Firemní web a e-shop | Škodlivý kód, útok na dostupnost (DDoS) | Nedostatečná ochrana perimetru | 27 | redukce: WAF a ochrana proti DDoS, aktualizace | |||
| Účetní systém | Zneužití identity | Nevhodné nastavení přístupových oprávnění | 18 | redukce: vícefaktorové přihlášení, přezkoumání práv | |||
| Souborový server | Škodlivý kód (ransomware) | Nedostatečné zálohování | 36 | redukce: zálohy mimo síť, test obnovy | |||
| Hosting webu u dodavatele | Nedodržení smluvního závazku dodavatelem | Umístění aktiva mimo fyzickou kontrolu | 12 | přenesení: smlouva podle přílohy 5, SLA | |||
| Pracovní notebooky | Ztráta nebo odcizení aktiva | Nedostatečná ochrana aktiv | 12 | redukce: šifrování disků; zbytek akceptace |
Text v buňkách jde přepsat. Tabulku si zkopírujte do tabulkového editoru, stránka nic neukládá.
Hrozby a zranitelnosti z přílohy 3
Vyhláška jmenuje 17 kategorií zranitelností a 21 kategorií hrozeb, které musíte zvážit, pokud jsou pro aktivum relevantní. Nejčastější u firemních systémů:
- Zranitelnosti: nedostatečná údržba a zastaralost aktiv, slabá ochrana perimetru, nízké povědomí lidí, nedostatečné zálohování, špatně nastavená oprávnění, slabá detekce událostí, nedostatek odborníků, aktivum mimo vaši fyzickou kontrolu nebo v cizí zemi, zranitelnosti z testů.
- Hrozby: zneužití oprávnění, selhání hardwaru nebo softwaru, zneužití identity, škodlivý kód, narušení fyzické bezpečnosti, výpadek elektřiny nebo konektivity, ztráta nebo odcizení aktiva, nedodržení závazku dodavatelem, chyby lidí.
Úplný seznam je v příloze 3 vyhlášky 409/2025 Sb.
Metody zvládání rizik
- Akceptace: riziko vědomě přijmete, typicky když je nízké nebo opatření dražší než škoda.
- Redukce: zavedete opatření, která sníží hrozbu nebo zranitelnost.
- Eliminace: odstraníte příčinu, například vyřadíte nepodporovaný systém.
- Vyhnutí se riziku: přestanete činnost, která riziko způsobuje.
- Přenesení nebo sdílení: riziko převezme dodavatel nebo pojištění. Odpovědnost podle zákona vám ale zůstává.
U webu je typickou redukcí služba ochrany před webem. WEDOS NIS2 Standard snižuje hrozbu DDoS a útoků na aplikaci a zároveň ukládá logy, které vyšší režim musí držet 18 měsíců. Ceny a tarify jsou na stránce WEDOS Protection: ceník.
