Jak przeprowadzać ocenę ryzyka zgodności przy użyciu ISMS Copilot

Przegląd

Dowiesz się, jak używać ISMS Copilot do przeprowadzania kompleksowych ocen ryzyka bezpieczeństwa informacji zgodnych z ISO 27001, SOC 2 i innymi frameworkami zgodności, od definiowania metodologii, przez identyfikację ryzyk, ocenę wpływu, po tworzenie planów postępowania z ryzykiem.

Dla kogo jest ten przewodnik

Ten przewodnik jest przeznaczony dla:

• Specjalistów ds. bezpieczeństwa przeprowadzających coroczne oceny ryzyka
• Oficerów ds. zgodności zarządzających programami oceny ryzyka
• Organizacji przygotowujących się do audytów ISO 27001 lub SOC 2
• Menedżerów ryzyka wdrażających formalne procesy oceny ryzyka
• Konsultantów przeprowadzających oceny ryzyka dla klientów

Wymagania wstępne

Przed rozpoczęciem upewnij się, że masz:

• Konto w ISMS Copilot (dostępna darmowa wersja próbna)
• Zrozumienie zasobów informacyjnych i przepływów danych w Twojej organizacji
• Dostęp do dokumentacji architektury systemów
• Dostępność interesariuszy na warsztaty ryzyka i walidację

Zanim zaczniesz

Podstawy oceny ryzyka

Ocena ryzyka a zarządzanie ryzykiem

Wyjaśnij terminologię:

• Ocena ryzyka: Proces identyfikacji, analizy i oceny ryzyk
• Postępowanie z ryzykiem: Wybór i wdrożenie środków modyfikujących ryzyka
• Zarządzanie ryzykiem: Kompletny proces obejmujący ocenę, postępowanie, monitorowanie i przegląd

Kluczowe pojęcia związane z ryzykiem

Zrozum podstawowe elementy:

• Zasób: Wszystko, co ma wartość dla organizacji (dane, systemy, ludzie, reputacja)
• Zagrożenie: Potencjalna przyczyna niepożądanego incydentu (ransomware, zagrożenie wewnętrzne, klęska żywiołowa)
• Podatność: Słabość, którą może wykorzystać zagrożenie (niezałatane oprogramowanie, słabe hasła)
• Prawdopodobieństwo: Prawdopodobieństwo, że zagrożenie wykorzysta podatność
• Wpływ: Konsekwencja, jeśli ryzyko się zmaterializuje (strata finansowa, kara regulacyjna, uszczerbek na reputacji)
• Ryzyko: Połączenie prawdopodobieństwa i wpływu (często obliczane jako Ryzyko = Prawdopodobieństwo × Wpływ)
• Właściciel ryzyka: Osoba odpowiedzialna za zarządzanie określonym ryzykiem

Wymagania frameworków

Różne frameworki mają specyficzne wymagania dotyczące oceny ryzyka:

Krok 1: Skonfiguruj przestrzeń roboczą oceny ryzyka

Utwórz dedykowaną przestrzeń roboczą

1. Zaloguj się do ISMS Copilot
2. Utwórz nową przestrzeń roboczą: "Ocena Ryzyka [Rok] - [Twoja Organizacja]"
3. Dodaj niestandardowe instrukcje:

Risk assessment context:

Organization: [Company name]
Industry: [SaaS, healthcare, fintech, manufacturing, etc.]
Size: [employees, revenue, locations]
Compliance framework: [ISO 27001, SOC 2, NIST, GDPR, multiple]

Information assets:
- Customer data: [types and sensitivity]
- Systems: [critical applications and infrastructure]
- Intellectual property: [products, algorithms, trade secrets]
- Operations: [key business processes]

Risk appetite:
- Regulatory tolerance: [zero tolerance for compliance violations]
- Financial: [maximum acceptable loss per incident]
- Reputation: [brand protection priorities]
- Operational: [acceptable downtime/disruption]

Assessment approach:
- Method: [asset-based, scenario-based, hybrid]
- Risk calculation: [qualitative, quantitative, semi-quantitative]
- Review frequency: [annual, quarterly for high risks]

Preferences:
- Provide practical, framework-aligned guidance
- Reference specific ISO 27001 clauses or SOC 2 criteria
- Suggest realistic threat scenarios for our industry
- Help prioritize based on actual risk, not just compliance boxes

Krok 2: Zdefiniuj metodologię oceny ryzyka

Udokumentuj podejście do identyfikacji ryzyka

Poproś ISMS Copilot o pomoc w stworzeniu metodologii:

"Utwórz dokument metodologii oceny ryzyka dla zgodności z ISO 27001. Uwzględnij: cel i zakres metodologii, sposób identyfikacji zasobów informacyjnych, sposób identyfikacji zagrożeń i podatności (katalogi zagrożeń, bazy podatności, incydenty historyczne), sposób przypisywania właścicieli ryzyka oraz podejście do konsultacji z interesariuszami."

Zdefiniuj kryteria oceny ryzyka

Utwórz skale prawdopodobieństwa i wpływu:

"Zdefiniuj 5-stopniowe skale prawdopodobieństwa i wpływu dla oceny ryzyka bezpieczeństwa informacji w [opis firmy]. Dla prawdopodobieństwa: zdefiniuj poziomy 1-5 z zakresami prawdopodobieństwa i kryteriami opisowymi. Dla wpływu: zdefiniuj poziomy 1-5, biorąc pod uwagę straty finansowe, zakłócenia operacyjne, kary regulacyjne i szkody dla reputacji. Podaj przykłady dla każdego poziomu specyficzne dla [branży]."

Przykładowy wynik, którego można się spodziewać:

Utwórz macierz obliczania ryzyka

Zdefiniuj sposób obliczania wyników ryzyka:

"Utwórz macierz ryzyka 5×5 pokazującą wyniki ryzyka jako iloczyn prawdopodobieństwa i wpływu. Oznacz kolorami poziomy ryzyka: Niskie (zielony, wyniki 1-6), Średnie (żółty, wyniki 8-12), Wysokie (pomarańczowy, wyniki 15-16), Krytyczne (czerwony, wyniki 20-25). To określi priorytety postępowania z ryzykiem."

Ustal kryteria akceptacji ryzyka

Zdefiniuj apetyt na ryzyko w Twojej organizacji:

"Zdefiniuj kryteria akceptacji ryzyka dla naszej metodologii oceny ryzyka. Dla poziomów ryzyka (Niskie, Średnie, Wysokie, Krytyczne), określ: które można zaakceptować bez zmian, które wymagają planów postępowania, które wymagają akceptacji zarządu, a które są nieakceptowalne. Weź pod uwagę nasze [wymagania regulacyjne, branżę, oczekiwania klientów]."

Krok 3: Identyfikuj i inwentaryzuj zasoby informacyjne

Utwórz inwentarz zasobów

Rozpocznij od kompleksowej listy zasobów:

"Utwórz szablon inwentarza zasobów informacyjnych do oceny ryzyka, zawierający kolumny: ID Zasobu, Nazwa Zasobu, Kategoria Zasobu (dane, system, usługa, ludzie, obiekt), Opis, Właściciel, Opiekun, Użytkownicy, Klasyfikacja (publiczne, wewnętrzne, poufne, ograniczone), Lokalizacja, Zależności i Krytyczność Biznesowa. Podaj przykładowe wpisy dla [typu firmy]."

Kategoryzuj zasoby

Organizuj zasoby logicznie:

"Dla naszej [platformy SaaS / systemu opieki zdrowotnej / aplikacji fintech], skategoryzuj zasoby informacyjne na: dane klientów/klientów, dane pracowników, własność intelektualną, systemy biznesowe (CRM, finanse, HR), infrastrukturę (serwery, sieć, chmura), zasoby fizyczne i usługi stron trzecich. Dla każdej kategorii podaj typowe przykłady istotne dla naszej działalności."

Klasyfikuj zasoby według krytyczności

Nie wszystkie zasoby mają jednakowe znaczenie:

"Zdefiniuj kryteria klasyfikacji zasobów na podstawie: wymagań dotyczących poufności (od publicznych do wysoce ograniczonych), wymagań dotyczących integralności (krytyczność dokładności danych), wymagań dotyczących dostępności (akceptowalny czas przestoju) oraz krytyczności biznesowej (wpływ w przypadku naruszenia lub niedostępności). Utwórz schemat klasyfikacji z 3-4 poziomami i przykładami dla każdego."

Prześlij istniejące dokumenty

Wykorzystaj to, co już masz:

1. Prześlij diagramy architektury systemów, diagramy przepływu danych lub inwentarze zasobów (PDF, DOCX)
2. Poproś: "Przejrzyj tę architekturę systemu i wyodrębnij zasoby informacyjne do oceny ryzyka. Zidentyfikuj: magazyny danych, aplikacje, komponenty infrastruktury, integracje zewnętrzne oraz krytyczne procesy biznesowe. Utwórz wstępny inwentarz zasobów na podstawie tej dokumentacji."

Krok 4: Identyfikuj zagrożenia i podatności

Identyfikuj istotne zagrożenia

Użyj AI do generowania scenariuszy zagrożeń:

"Dla organizacji z branży [branża], zidentyfikuj zagrożenia związane z bezpieczeństwem informacji w kategoriach: zagrożenia cybernetyczne (ransomware, phishing, DDoS, wycieki danych, zagrożenia wewnętrzne), zagrożenia fizyczne (pożar, powódź, kradzież, nieautoryzowany dostęp), zagrożenia środowiskowe (awaria zasilania, awaria klimatyzacji), zagrożenia ludzkie (błędy, zaniedbania, złośliwi pracownicy) oraz zagrożenia ze strony stron trzecich (naruszenie bezpieczeństwa u dostawcy, awaria dostawcy usług chmurowych). Uporządkuj według istotności dla naszej branży."

Analiza zagrożeń specyficznych dla zasobów

Dla każdego krytycznego zasobu zidentyfikuj odpowiednie zagrożenia:

"Dla naszej bazy danych klientów zawierającej [typy danych], zidentyfikuj konkretne zagrożenia: scenariusze nieautoryzowanego dostępu, metody eksfiltracji danych, ryzyka korupcji danych, zagrożenia dla dostępności (usunięcie, szyfrowanie, awaria systemu) oraz scenariusze zagrożeń wewnętrznych. Dla każdego zagrożenia opisz: wektor ataku, typ aktora zagrożenia oraz typową motywację."

Identyfikuj podatności

Mapuj podatności do zagrożeń:

"Dla naszego środowiska [opisz infrastrukturę, stos technologiczny], zidentyfikuj typowe podatności: podatności techniczne (niezałatane systemy, błędne konfiguracje, słabe szyfrowanie), podatności procesowe (brak procedur, niewystarczające przeglądy), podatności fizyczne (słabości w dostępie do obiektów) oraz podatności ludzkie (niewystarczające szkolenia, podatność na inżynierię społeczną). Odnoś się do baz CVE i OWASP Top 10, gdzie to stosowne."

Rozważ zagrożenia specyficzne dla branży

Uzyskaj kontekstowo świadome informacje o zagrożeniach:

"Jakie są najbardziej znaczące zagrożenia związane z bezpieczeństwem informacji dla organizacji z branży [opieka zdrowotna / usługi finansowe / SaaS / produkcja] w latach 2024-2025? Dla każdego zagrożenia podaj: dane dotyczące rozpowszechnienia, typowe wzorce ataków, przykłady incydentów w świecie rzeczywistym oraz powody, dla których ta branża jest celem. Uporządkuj według prawdopodobieństwa i wpływu."

Krok 5: Oceń istniejące środki kontroli

Inwentaryzuj obecne środki kontroli

Dokumentuj istniejące zabezpieczenia:

"Obecnie mamy następujące środki kontroli bezpieczeństwa: [lista polityk, środków technicznych, narzędzi, procedur]. Skategoryzuj je według: środków prewencyjnych (zapobiegających incydentom), detekcyjnych (identyfikujących incydenty), korekcyjnych (przywracających normalne działanie) oraz odstraszających (odstraszających aktorów zagrożeń). Oceń ich skuteczność."

Oceń skuteczność środków kontroli

Środki kontroli na papierze nie równają się działającym środkom:

"Dla każdego środka kontroli [przeglądy dostępu, szyfrowanie, kopie zapasowe, szkolenia z zakresu świadomości bezpieczeństwa], zdefiniuj kryteria oceny skuteczności: Czy jest wdrożony zgodnie z projektem? Czy działa spójnie? Czy istnieją dowody na jego działanie? Czy odpowiednio adresuje ryzyko? Utwórz skalę oceny skuteczności (Niewdrożony, Częściowo Skuteczny, W Dużej Mierze Skuteczny, W Pełni Skuteczny)."

Zidentyfikuj luki w środkach kontroli

Znajdź miejsca, w których brakuje ochrony:

"Dla tych zidentyfikowanych zagrożeń [lista kluczowych zagrożeń], przyporządkuj je do naszych istniejących środków kontroli [lista środków kontroli]. Zidentyfikuj: zagrożenia bez środków kontroli (niezłagodzone), zagrożenia z niewystarczającymi środkami kontroli (częściowo złagodzone) oraz zagrożenia z wieloma nakładającymi się środkami kontroli (obrona w głąb). Wskaż luki w środkach kontroli wymagające nowych środków."

Krok 6: Oceń prawdopodobieństwo i wpływ

Oceń prawdopodobieństwo z uwzględnieniem istniejących środków kontroli

Weź pod uwagę obecne zabezpieczenia przy ocenie prawdopodobieństwa:

"Dla zagrożenia [atak ransomware na systemy produkcyjne], oceń prawdopodobieństwo, biorąc pod uwagę nasze istniejące środki kontroli: ochrona punktów końcowych, filtrowanie poczty, MFA, kopie zapasowe, szkolenia z zakresu świadomości bezpieczeństwa, segmentacja sieci. Korzystając z naszej skali prawdopodobieństwa 1-5, jaka ocena jest odpowiednia? Podaj uzasadnienie odnoszące się do skuteczności środków kontroli."

Oceń scenariusze wpływu

Skwantyfikuj potencjalne konsekwencje:

"Jeśli [baza danych klientów zawierająca dane osobowe] zostałaby naruszona przez [nieautoryzowany dostęp], oceń wpływ w różnych wymiarach: Finansowy (koszty reakcji na naruszenie, kary regulacyjne, utracone przychody), Operacyjny (przestój systemu, przekierowanie zasobów), Regulacyjny (kary GDPR, nadzór regulacyjny) oraz Reputacyjny (zaufanie klientów, szkody dla marki, relacje medialne). Korzystając z naszej skali wpływu 1-5, podaj oceny z uzasadnieniem."

Rozważ wiele scenariuszy

Wpływ ryzyka różni się w zależności od scenariusza:

"Dla naszego [systemu kopii zapasowych], oceń wpływ różnych scenariuszy: 1) Awaria kopii zapasowych podczas normalnej pracy (odkryta podczas testów), 2) Awaria kopii zapasowych i konieczność odzyskania danych po ataku ransomware, 3) Kompromitacja kopii zapasowych przez atakującego. Dla każdego scenariusza oceń poziom wpływu i wyjaśnij, dlaczego się różnią, mimo że dotyczą tego samego zasobu."

Krok 7: Oblicz i priorytetyzuj ryzyka

Oblicz wyniki ryzyka

Stosuj swoją metodologię konsekwentnie:

"Korzystając z naszej macierzy ryzyka (Prawdopodobieństwo × Wpływ), oblicz wyniki ryzyka dla tych scenariuszy: [lista 5-10 zidentyfikowanych ryzyk z ich ocenami prawdopodobieństwa i wpływu]. Dla każdego podaj: obliczenie ryzyka, poziom ryzyka (Niskie/Średnie/Wysokie/Krytyczne) oraz ranking priorytetów. Pokaż swoje obliczenia."

Utwórz rejestr ryzyka

Dokumentuj wszystkie ocenione ryzyka:

"Utwórz szablon rejestru ryzyka zawierający kolumny: ID Ryzyka, Opis Ryzyka, Powiązane Zasoby, Zagrożenie, Podatność, Istniejące Środki Kontroli, Prawdopodobieństwo (1-5), Wpływ (1-5), Wynik Ryzyka Wewnętrznego, Skuteczność Środków Kontroli, Wynik Ryzyka Resztkowego, Poziom Ryzyka, Właściciel Ryzyka, Decyzja o Postępowaniu (Akceptuj/Złagodź/Przenieś/Unikaj), Status Postępowania. Wypełnij przykładowymi wpisami z naszej oceny."

Priorytetyzuj postępowanie

Nie wszystkie ryzyka wymagają natychmiastowego działania:

"Z naszego rejestru ryzyka, priorytetyzuj ryzyka do planowania postępowania. Weź pod uwagę: wynik ryzyka, koszt postępowania vs. koszt wpływu, wymagania regulacyjne, oczekiwania klientów, trend (rosnący lub malejący) oraz złożoność postępowania. Utwórz priorytetyzowaną listę zadań do postępowania z uzasadnieniem kolejności."

Krok 8: Opracuj plany postępowania z ryzykiem

Wybierz opcje postępowania

Dla każdego ryzyka wybierz odpowiednią reakcję:

"Dla tych wysokich i krytycznych ryzyk [lista ryzyk], zaproponuj strategię postępowania: Złagodź (wdrożenie dodatkowych środków kontroli w celu zmniejszenia prawdopodobieństwa lub wpływu), Akceptuj (udokumentuj akceptację z uzasadnieniem), Przenieś (ubezpieczenie, outsourcing) lub Unikaj (wyeliminuj czynność powodującą ryzyko). Dla złagodzenia zaproponuj konkretne środki kontroli z analizą kosztów i korzyści."

Zaprojektuj środki łagodzące

Określ konkretne działania:

"Dla ryzyka [nieautoryzowany dostęp do baz danych produkcyjnych], obecne środki kontroli to [lista istniejących środków kontroli], ryzyko resztkowe jest Wysokie (wynik 15). Zaprojektuj plan łagodzenia, w tym: dodatkowe środki kontroli do wdrożenia (techniczne i proceduralne), harmonogram wdrożenia, wymagania dotyczące zasobów, odpowiedzialna osoba, oczekiwane zmniejszenie ryzyka (docelowy poziom ryzyka resztkowego) oraz szacowany koszt wdrożenia."

Utwórz harmonogram postępowania

Uporządkuj inicjatywy dotyczące postępowania z ryzykiem:

"Na podstawie naszych planów postępowania z ryzykiem, utwórz harmonogram wdrożenia na następne 12 miesięcy. Uporządkuj według: Szybkie wygrane (0-3 miesiące, niski wysiłek/wysoki wpływ), Inicjatywy strategiczne (3-6 miesięcy, znacząca inwestycja), Projekty długoterminowe (6-12 miesięcy, złożone lub kosztowne). Dla każdej inicjatywy określ: adresowane ryzyka, środki kontroli do wdrożenia, zależności, potrzeby zasobowe oraz kryteria sukcesu."

Krok 9: Mapuj ryzyka do kontroli zgodności

Mapowanie kontroli ISO 27001

Powiąż ryzyka z kontrolami Załącznika A:

"Dla tych zidentyfikowanych ryzyk [prześlij lub wymień ryzyka], przyporządkuj je do kontroli Załącznika A ISO 27001:2022, które by je złagodziły. Utwórz mapowanie pokazujące: ID Ryzyka, Opis Ryzyka, Odpowiednie Kontrole (np. A.8.2, A.8.23), Cel Kontroli oraz sposób, w jaki kontrola zmniejsza prawdopodobieństwo lub wpływ. To wesprze naszą Deklarację Stosowalności."

Dostosowanie do kryteriów SOC 2

Powiąż ryzyka z Kryteriami Usług Zaufania:

"Mapuj wyniki naszej oceny ryzyka do Wspólnych Kryteriów SOC 2. Dla każdej kategorii ryzyka [ryzyka kontroli dostępu, ryzyka zarządzania zmianami, ryzyka dostępności itp.], zidentyfikuj: odpowiednie cele kontroli Wspólnych Kryteriów (CC1-CC9), konkretne kontrole adresujące ryzyko oraz jakie dowody demonstrują łagodzenie ryzyka. To wesprze nasz opis systemu SOC 2."

Uzasadnij wybór kontroli

Demonstruj podejście oparte na ryzyku:

"Dla naszej Deklaracji Stosowalności udokumentuj, dlaczego wybraliśmy te kontrolę ISO 27001 [lista kontroli]. Dla każdej kontroli odnieś się do: które zidentyfikowane ryzyka adresuje (ID Ryzyka), wyniki ryzyka przed wdrożeniem kontroli, oczekiwane zmniejszenie ryzyka oraz dlaczego ta kontrola jest odpowiednia dla naszego kontekstu. To udowodni, że wybór kontroli jest napędzany ryzykiem, a nie jest arbitralny."

Krok 10: Dokumentuj i komunikuj wyniki

Utwórz podsumowanie dla zarządu

Zgłoś wyniki kierownictwu:

"Utwórz podsumowanie oceny ryzyka dla zarządu, zawierające: zakres i metodologię oceny, całkowitą liczbę zidentyfikowanych ryzyk według poziomu (Krytyczne: X, Wysokie: Y, Średnie: Z, Niskie: W), 10 najważniejszych ryzyk wymagających natychmiastowej uwagi, kluczowe tematy lub wzorce ryzyka, rekomendowane inwestycje w postępowanie, ryzyko resztkowe po planowanych działaniach oraz porównanie z poprzednimi ocenami (jeśli dotyczy). Cel: 2-stronicowe podsumowanie dla zarządu."

Opracuj szczegółowy raport o ryzyku

Szczegółowe wyniki dla praktyków:

"Utwórz kompleksowy raport z oceny ryzyka, zawierający: podsumowanie dla zarządu, dokumentację metodologii, inwentarz zasobów, analizę zagrożeń i podatności, wyniki oceny ryzyka, pełny rejestr ryzyka, wizualizację mapy cieplnej ryzyka, rekomendacje dotyczące postępowania z szacunkowymi kosztami, harmonogram wdrożenia oraz załączniki (skale prawdopodobieństwa/wpływu, katalog kontroli). Sformatuj do przedłożenia w audycie ISO 27001."

Przedstaw interesariuszom

Komunikuj się z różnymi odbiorcami:

"Utwórz trzy wersje komunikacji dotyczącej oceny ryzyka: 1) Prezentacja dla kadry zarządzającej (5 slajdów: kluczowe ustalenia, najważniejsze ryzyka, wniosek budżetowy), 2) Briefing dla zespołu technicznego (szczegóły wdrożenia kontroli, odpowiedzialności), 3) Raport dla komitetu ds. ryzyka rady nadzorczej (zarządzanie, zgodność z apetytem na ryzyko, wymagania nadzoru). Dostosuj przekaz i poziom szczegółowości dla każdej grupy odbiorców."

Krok 11: Zaplanuj monitorowanie i przegląd

Ustal monitorowanie ryzyka

Ryzyka zmieniają się w czasie:

"Zaprojektuj program monitorowania ryzyka, w tym: które wskaźniki ryzyka śledzić (dane wywiadowcze o zagrożeniach, częstotliwość incydentów, awarie kontroli, wyniki skanowania podatności), częstotliwość monitorowania (ciągłe, miesięczne, kwartalne), wyzwalacze do ponownej oceny (nowe zagrożenia, poważne zmiany, istotne incydenty), harmonogram raportowania do zarządu oraz przypisanie odpowiedzialności."

Zaplanuj okresowe przeglądy

Utrzymuj ocenę ryzyka na bieżąco:

"Utwórz kalendarz przeglądów ryzyka: coroczna kompleksowa ponowna ocena (wymóg ISO 27001), kwartalne przeglądy wysokich i krytycznych ryzyk, comiesięczne aktualizacje wywiadu o zagrożeniach, doraźne przeglądy wyzwalane przez [poważne zmiany systemów, nowe regulacje, istotne incydenty, działalność M&A]. Udokumentuj procedury przeglądu i produkty końcowe dla każdego typu przeglądu."

Śledź postępy w postępowaniu z ryzykiem

Upewnij się, że plany stają się rzeczywistością:

"Zaprojektuj mechanizm śledzenia postępowania z ryzykiem, w tym: status planu postępowania (Nie rozpoczęto, W trakcie, Zakończono), kamienie milowe i terminy, blokady lub problemy, zużycie budżetu, osiągnięte zmniejszenie wyniku ryzyka oraz oczekiwane daty zakończenia. Utwórz format dashboardu do comiesięcznych przeglądów zarządczych."

Częste błędy w ocenie ryzyka

Następne kroki po ocenie ryzyka

Ukończyłeś ocenę ryzyka zgodności:

• ✓ Metodologia ryzyka udokumentowana i zatwierdzona
• ✓ Zasoby informacyjne zidentyfikowane i sklasyfikowane
• ✓ Zagrożenia i podatności skatalogowane
• ✓ Istniejące środki kontroli ocenione
• ✓ Ryzyka ocenione pod kątem prawdopodobieństwa i wpływu
• ✓ Rejestr ryzyka utworzony i uporządkowany według priorytetów
• ✓ Plany postępowania opracowane
• ✓ Wyniki udokumentowane i zakomunikowane
• ✓ Procesy monitorowania i przeglądu ustanowione

Kontynuuj wdrażanie:

• Wykorzystaj plany postępowania z ryzykiem do kierowania wdrażaniem środków kontroli
• Zaktualizuj Deklarację Stosowalności z uzasadnieniami ryzyka
• Rozpocznij gromadzenie dowodów monitorowania i postępowania z ryzykiem
• Zaplanuj kwartalne przeglądy ryzyka dla wysokich i krytycznych ryzyk

Uzyskanie pomocy

• Prześlij dokumentację: Dowiedz się, jak przesyłać diagramy systemów i dokumentację w celu identyfikacji zasobów
• Weryfikuj scenariusze ryzyka: Zrozum, jak zapobiegać halucynacjom AI podczas walidacji danych wywiadowczych o zagrożeniach
• Najlepsze praktyki: Przejrzyj jak odpowiedzialnie korzystać z ISMS Copilot dla jakości oceny ryzyka