Lühidalt
Küberriskide register seob vara või protsessi, ohu, haavatavuse, mõju, tõenäosuse, ravi, omaniku ja tähtaja. Hea register ei ole kõige suurem, vaid selline, mille põhjal saab otsustada, mida teha järgmisena ja millist riski aktsepteerida.
NIS2 nõuab riskianalüüsi ja infoturvapoliitikat. Register on üks viis seda tõendada, kuid ainult siis, kui see on ajakohane, omanikega ja seotud meetmete plaaniga. Vaata kõiki meetmeid NIS2 kontrollnimekirjast.
Mida register peab vastama
- Mis võib juhtuda? Oht ja stsenaarium, mitte ainult „küberrisk“.
- Mida see mõjutab? Teenus, andmed, protsess, inimene või maine.
- Kui tõenäoline see on? Arvesta olemasolevate meetmete ja teadaolevate nõrkustega.
- Kes vastutab? Üks omanik, mitte osakond või komitee.
- Mida teha? Väldi, vähenda, kanna või edasta; tähtaeg ja tõend.
- Mis jääb alles? Jääkrisk ja selle aktsepteerimine.
Kui register vastab ainult „jah/ei“ või kannab kõiki riske „kõrge“ tasemel, ei aita see prioriseerida. Eesmärk on aus pilt, mitte maksimaalne skoor.
Enne registrit: vara- ja protsessikaart
Ilma varade ja protsessideta muutub register lennukiks ilma kaardita. Alusta sellest, mis hoiab teenust töös: kliendiandmed, autentimine, maksed, e-post, taristu, integratsioonid ja kriitilised tarnijad. Seejärel seo iga risk konkreetse varaga.
Väikeettevõttele piisab sageli 10–20 kriitilisest varast ja protsessist. Eesmärk ei ole kataloogida kõike, vaid leida need, mille katkemine mõjutab klienti või õiguslikku kohustust.
Registri veerud
| Veerg | Mida kirjutada | Näide |
|---|---|---|
| Vara / protsess | Konkreetne süsteem või töövoog | Kliendiportaal |
| Oht | Sündmus, mis kahjustab | Admin-konto ülevõtmine |
| Haavatavus | Miks see võimalik on | MFA puudub admin-kontodel |
| Mõju / tõenäosus | Skaala ja põhjendus | 5 / 4 |
| Ravi | Konkreetne meede | MFA + varufaktorid |
| Omanik / tähtaeg | Kes ja millal | IT-juht, 31.12.2026 |
| Jääkrisk | Mis jääb pärast ravi | Keskmine, aktsepteeritud |
Laadi riskiregistri töömall (CSV) – lihtsustatud töövahend, mitte ametlik standard.
Hindamise skaala: lihtne ja järjekindel
3×3 või 5×5 skaala on tavaliselt piisav. Tähtis ei ole number ise, vaid see, et sama mõju ja tõenäosust hinnatakse kogu organisatsioonis ühtemoodi. Kirjuta iga taseme kohta näide: „mõju 5 = teenus katkeb üle 24 tunni või lekib kliendiandmeid“.
Ära kasuta täpsust, mida andmed ei toeta. „Tõenäosus 17%“ võib jätta mulje täpsusest, mida tegelikult ei ole. Kriitiline on arutelu ja otsus, mitte komakoht.
Ravi ja jääkrisk
- Väldi: eemalda teenus või õigus, mida ei vajata.
- Vähenda: MFA, varundus, segmenteerimine, parandus, koolitus.
- Kanna: aktsepteeri risk, kui mõju on väike või ravi ebaproportsionaalne.
- Edasta: kindlustus või lepingupartner, kuid vastutus ei kao.
Jääkrisk tuleb kirja panna koos aktsepteerija nime, kuupäeva ja põhjendusega. „Aktsepteeritud“ ilma omanikuta ei ole otsus.
Tõendid ja ülevaatus
- Registri versioon, muudatuste ajalugu ja kinnitaja.
- Iga kõrge riski kohta raviplaan, omanik ja tähtaeg.
- Juhatuse või juhtkonna ülevaatuse protokoll.
- Riskide seos meetmete plaani ja auditileidudega.
- Ülevaatuse kuupäev ja päästikud: intsident, uus süsteem, tarnija või oluline muudatus.
Registrit ei uuendata ainult kord aastas. Uuenda seda siis, kui muutub vara, oht, meede või vastutaja.
Levinud vead
- Register on IT-only: äriprotsessid ja tarnijad jäävad välja.
- Kõik riskid kõrged: prioriseerimine kaob.
- Omanik puudub: keegi ei vastuta tähtaja ega ravi eest.
- Ravi on „tegeleme“: konkreetne meede ja tõend puuduvad.
- Jääkrisk on arvutamata: otsus ei ole jälgitav.
- Register elab eraldi auditist: leiud ei jõua riskidesse.
30/60/90 päeva plaan
- 0–30 päeva: kaardista kriitilised varad ja protsessid; vali 10–20 riski; määra omanikud.
- 31–60 päeva: hinda mõju ja tõenäosust ühise skaalaga; kirjuta ravi ja tähtajad; kinnita juhtkonnas.
- 61–90 päeva: seo riskid meetmete plaani ja tõenditega; testi ühte kõrget riski; sea ülevaatuse kalender.
Juhatuse vaate jaoks loe NIS2 juhatuse kohustuste artiklit.
Küsimused riskiregistri kohta
Kas Excel sobib riskiregistriks?
Jah, kui on omanik, versioonihaldus, kinnitamine ja regulaarne ülevaatus. Probleem ei ole tööriist, vaid register, mida keegi ei uuenda ega kasuta otsuste tegemiseks.
Kui suur register peaks olema?
Alusta 10–20 kriitilise riskiga. Täielik loetelu kõigist võimalikest ohtudest ei ole kasulik, kui see ei ole prioriseeritud ega omanikega. Kasvata registrit siis, kui protsess ja tõendid seda toetavad.
Kas riskiskoor peab olema täpne?
Ei. Olulisem on järjekindel skaala ja põhjendus. 5×5 hindamine on tavaliselt piisav; komakohtadega täpsus võib varjata otsustamatust.
Kui tihti registrit uuendada?
Vähemalt kord kvartalis või aastas, sõltuvalt riskist, ning kohe olulise intsidendi, uue süsteemi, tarnija või organisatsioonimuudatuse järel. Kinnita ülevaatus ja muudatuse põhjus.
Allikad
- NIS2 direktiiv (EL) 2022/2555, artikkel 21.
- ENISA: risk management.
- Tehisabiline: NIS2 kontrollnimekiri.
See artikkel on selgitav, mitte õigus- ega auditinõu. Registri ülesehituse ja tõendite piisavuse kinnitab sinu riskipõhine otsus.