TL;DR: Nemalé množství českých organizací spadajících mezi povinné subjekty dle zákona o kybernetické bezpečnosti používá při analýze rizik doslovně převzatou metodiku z vyhlášky č. 409/2025 Sb., včetně tabulek poskytujících vzorové rozsahy dopadových a dalších hodnot. S takovým použitím zmiňované metodiky je však spojeno několik principiálních problémů.
Tento článek s pomocí Monte Carlo simulací a několika statistických mechanismů, které jsou v následujícím textu (snad laicky pochopitelně) popsané, prakticky demonstruje, za jakých podmínek dává vzorová metodika při použití výchozích tabulek smysluplný výsledek, a kdy výstupy z této metodiky degenerují na šum. Což je bohužel něco, k čemu dochází v nemalém procentu případů, a analýzy rizik založené na nezměněných tabulkách tak v některých případech nemohou dávat zcela správné výsledky, bez ohledu na validitu vstupů nebo délku času, který by byl věnován jejich zpracování.
Důvodů omezené použitelnosti neupravených tabulek – a do jisté míry i celého metodického aparátu – je několik:
- vzorová „pevná“ okna výpadků v tabulce pro hodnocení dostupnosti a pevná frekvenční pásma v tabulce pro hodnocení hrozeb neodpovídají prostředí velké množiny organizací,
- násobení pořadových čísel, které vyhláška nabízí jako výchozí mechanismus pro výpočet rizika, je principiálně nesprávná operace, která může pořadí rizik i zcela převrátit oproti realitě, a
- výsledek celé analýzy navíc závisí na převodu „rizikového skóre“ v rozsahu 1-64 na 4 úrovně rizik dle jejich akceptovatelnosti, přičemž vyhláška vůbec nestanoví, jak něco takového provést.
Pro povinné (a samozřejmě i další) organizace je tak přinejmenším nerozumné snažit se tabulky, resp. celou metodiku pro analýzu rizik z vyhlášky, aplikovat ve svých prostředích bez zvážení potřeby provedení změn. V závěru článku je proto obsažen mj. návod (a skript), s pomocí něhož může jakákoli organizace tabulky překalibrovat pro své vlastní prostředí, a také ukázka jednoduššího – a matematicky validního – dvoufaktorového přístupu k analýze, jehož použití vyhláška explicitně umožňuje a který tak může být pro řadu organizací smysluplnou náhradou vzorového metodického aparátu z vyhlášky.
Úvod
Předem se omlouvám za délku tohoto článku. Jde celkem o téměř 60 normostran textu, ale neděste se – článek nemusíte číst celý, abyste z něj získali to podstatné.
Délka je daná tím, že pro skutečně demonstrativní, polopatickou a nezpochybnitelnou ukázku slabin metodiky z vyhlášky jsem považoval za nezbytné nejprve představit, jak vlastně analýzy rizik fungují. Následně bylo představit několik (pro běžného smrtelníka komplexně vyhlížejících) statistických postupů a nástrojů, které jsem cítil potřebu popsat tak, aby si je mohl projít, pochopit a sám zhodnotit i člověk bez odborného statistického vzdělání. Teprve následně bylo na místě detailně diskutovat slabiny metodického aparátu z vyhlášky. Vše výše uvedené bohužel znamenalo potřebu značného prostoru… A i tak bylo místy nezbytné problematiku drobně zjednodušovat.
Protože je mi jasné, že článek budou číst i specialisté, jimž jsou použité statistické mechanismy i problematika analýz rizik dobře známy, hned za úvodními odstavci najdete rozcestník, díky němuž je možné nepotřebné detaily přeskočit.
Než se však k tomuto rozcestníku dostaneme, je nezbytné zdůraznit jednu myšlenku, na níž vše stojí, a jíž pokládám za axiomatickou, a to, že jakýkoli prakticky použitelný mechanismus pro vyhodnocování rizik musí poskytovat konzistentní a realistické výsledky. To znamená, že riziku, u něhož je pravděpodobná ztráta vysoká, vždy přiřadí vyšší hodnocení než riziku spojenému s výrazně nižší pravděpodobnou ztrátou. Pokud výše uvedené nějaký mechanismus nedokáže zajistit, je z principu přinejlepším jen částečně funkční, a tedy pro praktické použití potenciálně nevhodný.
Jak ale ověřit, zda je nějaký postup pro analýzu rizik funkční, aniž bychom jej dlouhodobě testovali v praxi? Odpověď je jednoduchá – s pomocí syntetických, ale prokazatelně realistických dat.
Současný akademický výzkum a odborná literatura ukazují, že velikosti ztrát spojené s realizací kybernetických rizik, relativně dobře odpovídají tzv. log-normálnímu rozdělení (to je detailněji popsáno zde) a lze tedy předpokládat, že každá prakticky použitelná metodika pro analýzu rizik by měla umět korektně pracovat se syntetickými daty, která tomuto rozdělení odpovídají. I kdybychom však aktuálním odborné literatuře z nějakého důvodu nevěřili, určitě se shodneme na tom, že každou prakticky použitelnou metodiku by mělo jít ověřit na syntetických datech, která odpovídají nějakému předpokládanému rozdělení výše ztrát. Přesně toho v článku využijeme a syntetická data, s nimiž budeme pracovat, budou generovaná na základě různých rozdělení… Nicméně jak ukážeme, většina závěrů vůbec nezávisí na tom, jaké konkrétní rozdělení pro generování dat zvolíme.
Pro úplnost považuji za vhodné ještě zdůraznit, že byť se v rámci článku zaměříme na principiálně chybnou povahu metodiky pro analýzu rizik popsanou ve vyhlášce, cílem článku rozhodně není stavět členy odborné komunity, kteří tuto metodiku využívají, do role cargo kultistů, kteří slepě aplikují koncepty, o nichž se domnívají, že „nějak přeci musí fungovat, když jsou ve vyhlášce“, ačkoli jejich principům vlastně nerozumí. A byť jsem relativně kritický vůči řadě aspektů fungování Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB), mým záměrem není ani osočovat tuto organizaci z hlouposti nebo záměrného šíření nesmyslných doporučení. Spíše se v tomto směru domnívám, že – jak v době psaní tohoto textu uvedl na síti LinkedIn k jinému tématu kolega Švéda, který ve jmenované organizaci působí – v NÚKIBU to „mysleli dobře, ale dopadlo to jako vždycky.“
Cílem tohoto článku je v každém případě pouze prakticky, statisticky ukázat, že provádět analýzy rizik přesně podle vzorového popisu uvedeného ve vyhlášce je pro značné procento organizací principiálně nesprávné a potenciálně nebezpečné, a že by před touto skutečností neměl nikdo v bezpečnostní komunitě strkat hlavu do písku – ani povinné organizace, a to jak na úrovni vedení, tak na úrovni bezpečnostních týmů, ani (resp. zejména) NÚKIB.
K tomu, aby byly mechanismy pro analýzu rizik z vyhlášky použitelné, by organizace:
- Měly bezpodmínečně upravit tabulky dle specifik svých prostředí – jde o něco, co vyhláška implicitně předpokládá, avšak bohužel nikde explicitně nevyžaduje (výslovně to doporučuje pouze důvodová zpráva).
- Neměly používat mechanismus násobení jednotlivých faktorů, který vyhláška nabízí a který je – jak si níže ukážeme – principiálně nesmyslný (a NÚKIB by ho tak rozhodně neměl propagovat). Namísto něj by organizace měla v případě použití kvalitativního přístupu využívat svépomocí vytvořená mapování jednotlivých rizik na rizika akceptovatelná a neakceptovatelná, a to s pomocí kalibrace tabulek na specifika svého prostředí a svůj rizikový apetit.
Rozcestník
Jak již bylo řečeno, článek jsem se snažil členit tak, aby v něm každý snadno našel „to své“. Doporučil bych vám tedy pokračovat na odkazu níže, který je pro vás jako první relevantní:
Co je vlastně analýza rizik a proč na ní záleží
Analýza rizik je v obecné úrovni mechanismus, s pomocí něhož může organizace systematickým způsobem stanovit, co všechno se jí (případně nějakému systému) může v nějaké oblasti stát, jak je to pravděpodobné a jak velkou škodu by jí to způsobilo. Na základě toho se může následně rozhodnout, kterým aspektům bezpečnosti se bude do jaké míry věnovat.
V kontextu kybernetické bezpečnosti jde o naprosto klíčový mechanismus – právě z analýzy rizik totiž zpravidla organizace odvozují, která bezpečnostní opatření má smysl zavádět, kam směřovat dostupné lidské a finanční zdroje a která rizika je možné vědomě akceptovat. Je-li analýza rizik vadná, je tedy principiálně vadný i celý zbytek řízení bezpečnosti, který se o ni opírá, neb peníze i úsilí lidí pak míří jinam, než kam by optimálně měly.
Proto stojí bezpochyby za to věnovat pozornost tomu, zda jakýkoli metodický postup pro analýzu rizik dává smysluplné výsledky (resp. zda je vůbec dávat může).
Analýza rizik dle vyhlášky 409/2025
Prováděcí vyhláška k zákonu o kybernetické bezpečnosti pro vyšší režim povinností (oficiálně „vyhláška č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností„) obsahuje v přílohách 1, 3 a 4 metodické podklady pro hodnocení aktiv a zpracování analýzy rizik v povinných organizacích.
Samotný proces, který vyhláška v § 7 a 8 a ve zmíněných přílohách předepisuje, je v obecné úrovni v zásadě „klasický“ a odpovídá mj. předchozí české regulaci (k tomuto faktu se ještě vrátíme). Organizace dle tohoto metodického postupu:
- nejprve identifikuje a ohodnotí svá primární a podpůrná aktiva z pohledu důvěrnosti, integrity a dostupnosti, např. s pomocí čtyřúrovňových stupnic z přílohy 1,
- následně k aktivům přiřadí relevantní hrozby a zranitelnosti, přičemž musí zvážit alespoň kategorie uvedené v příloze 3, a tyto hrozby a zranitelnosti ohodnotí např. s pomocí stupnic z přílohy 4, a
- nakonec pro reálně možné kombinace aktivum–hrozba–zranitelnost určí míru rizika (opět např. s pomocí stupnice z přílohy 4), kterou porovná se stanovenou hranicí akceptovatelnosti.
Byť – jak jsme již naznačili – metodické podklady a tabulky obsažené ve vyhlášce vykazují významné nedostatky, je nutno přiznat, že vyhláška explicitně nevyžaduje jejich použití. Namísto metodiky uvedené ve vyhlášce je možné využít metodiku jinou, nebo jednotlivé vzorové vstupy a tabulky modifikovat. Příloha 1 v odst. 2 výslovně uvádí, že povinná osoba „může hodnotící úrovně aktiv ve stupnici přizpůsobit svým bezpečnostním potřebám“ a může používat i odlišný počet úrovní, než jsou 4, které jsou užívané ve všech vzorových tabulkách.
Problémem však je, že „může přizpůsobit“ nutně neznamená „musí přizpůsobit“ a že jednotlivé tabulky nejsou explicitně označeny jako vzorové, ale s drobnými výjimkami působí jako přímo použitelné (a z vlastní zkušenosti mohu potvrdit, že jsou v praxi i přímo užívány). Např. tabulka č. 1 přílohy 4 může snadno působit dojmem de facto standardu říkajícího, že hrozba realizovaná „v rozpětí od 1 měsíce do 1 roku“ je z definice „Vysoká“…
Tabulka č. 1 z přílohy č. 4 vyhlášky 409/2025 Sb.
V zájmu úplnosti je na místě uvést, že důvodová zpráva k vyhlášce je v tomto ohledu podstatně explicitnější než vyhláška samotná, a u přílohy 4 výslovně uvádí, že poskytovatel má při stanovení metodiky pro hodnocení rizik zvážit vhodnost nastavení jednotlivých úrovní a v případě potřeby kritéria upravit podle vlastních potřeb.
Regulátor si tedy je zjevně vědom toho, že minimálně pro některé organizace zřejmě nebude dávat metodika bez úpravy jednotlivých úrovní smysluplné výsledky. Je pak s podivem, že požadavek, který je pro smysluplnost celé analýzy rizik takto zásadní, je uveden pouze v důvodové zprávě, a nikoli ve vyhlášce samotné. Důvodová zpráva je totiž z principu pouze informativní dokument a ne každý adresát regulace ji čte. A byť profesionálové v oblasti kybernetické bezpečnosti, kteří analýzy rizik dle vyhlášky zpracovávají, by o existenci důvodové zprávy a jejím obsahu bezpochyby měli vědět, její obsah není právně závazný a ani ti, kteří tento dokument otevřou, se jeho doporučeními nemusí řídit.
Zcela stranou ponechme fakt, že v důvodové zprávě je rovněž řečeno, že jednotlivé úrovně v tabulkách „byly stanoveny na základě nejlepší praxe“ – smysluplnost tohoto tvrzení si konec konců budete moci po přečtení zbytku článku vyhodnotit sami… Pro teď se pojďme vrátit zpět k metodice.
Přestože vyhláška dle výše uvedeného de facto implicitně počítá s tím, že každá organizace popsaný vzorový metodický postup a dílčí tabulky přehodnotí a v případě potřeby uzpůsobí specifikům svého prostředí, ani důvodová zpráva nikde neuvádí jak zjistit, zda jsou úpravy potřeba, ani jak je provést…
Jak úpravy vhodně provést není snadné zodpovědět (resp. jde o komplexnější problematiku na kterou se podíváme níže), avšak že určité úpravy jsou vhodné, neřkuli nutné, by mělo být zřejmé již z následující prosté úvahy – pro určitou instituci bude nepřijatelný výpadek aktiva podporujícího regulovanou službu už v délce 1 minuty, zatímco pro jinou může být přijatelný i výpadek 24 hodin. Stejně tak vidina ztráty 100 000 Kč ročně v důsledku kybernetických rizik může být pro jednu organizaci absolutně nepřijatelná, zatímco pro jinou zcela akceptovatelná. Takto rozdílné organizace tedy z principu nemohou efektivně využívat stejné tabulky. A tedy ani ty uvedené ve vyhlášce.
Výše zmíněná absence explicitního požadavku na přepracování tabulek však vede k tomu, že spousta organizací slepě přejímá celý metodický mechanismus bez jakýchkoli úprav. Tedy nejen, že tyto organizace nijak nedoplňují katalog hrozeb (což by s pomocí vhodné metodiky pro modelování hrozeb bezpochyby udělat měly), ale přejímají v podstatě beze změn i tabulky pro hodnocení hrozeb, aktiv a všechny další vstupy. To vede k tomu, že u řady organizací nemohou dávat výstupy z analýz rizik principiálně smysl – nejde přitom o domněnku, jde o fakt, který lze relativně snadno statisticky dokázat…
Než se dostaneme k důkazům toho, že mimo velmi úzce omezené případy nedává plošné přejímání tabulek a metodiky z vyhlášky valný smysl, podíváme se prakticky na vlastní princip fungování metodiky obsažené ve vyhlášce.
Ještě před tím je však pro úplnost vhodné dodat, že výše zmíněný problematický metodický aparát není nový. Metodika pro hodnocení rizik obsažená ve vyhlášce 409/2025 Sb. je téměř doslovně převzatá z vyhlášky č. 82/2018 Sb. a stejný přístup, pokud jde o hodnocení rizik „minimálně v rozsahu“ tabulek z přílohy, s výčtem hrozeb a zranitelností přímo v textu předpisu, najdeme už v historicky první „kyberbezpečnostní“ vyhlášce č. 316/2014 Sb. Problém, který v tomto článku popisujeme, tak českou bezpečnostní komunitu a povinné organizace provází de facto od počátků regulace kybernetické bezpečnosti, tedy více než deset let.
Metodika pro analýzu rizik z vyhlášky pro vyšší režim
Koncepčně lze celý proces pro analýzu rizik, tak jak jej vyhláška popisuje, shrnout do následujících kroků.
- Hodnocení aktiv (§ 7 + příloha 1). Organizace nejprve určí svá primární a podpůrná aktiva a ohodnotí je. Primární aktiva se hodnotí z pohledu důvěrnosti, integrity a dostupnosti, a lze tak činit s pomocí stupnic uvedených v tabulkách č. 1 až 3 přílohy 1. Každá tabulka, resp. v ní uvedená stupnice, má čtyři úrovně (Nízká, Střední, Vysoká, Kritická) a ke každé úrovni je připojen slovní popis a příklady. Za pozornost přitom stojí, že zatímco stupnice pro důvěrnost a integritu jsou popsány čistě kvalitativně (např. „aktiva nejsou veřejně přístupná, ochrana aktiv není vyžadována žádným právním předpisem“), stupnice pro dostupnost uvádí příklady konkrétních časových oken tolerovaného výpadku – Nízká úroveň odpovídá tolerovanému výpadku „například v jednotkách týdnů“, Střední například zhruba jednomu pracovnímu dni, Vysoká „například několika hodinám“ a Kritická situaci, kdy „i krátkodobá nedostupnost (v řádu několika minut) vede k vážnému ohrožení oprávněných zájmů“. Byť je u tří ze čtyř oken explicitně uvedeno slovo „například“, tabulka může budit zdání, že výše zmíněná okna jsou pro všechny povinné organizace stejná… A právě toto zdání může být, jak uvidíme, jedním z hlavních zdrojů problémů, pokud organizace tabulku přejmou bez úprav (nad rámec vypuštění slova „například“).
- Identifikace hrozeb a zranitelností (§ 8 + příloha 3). Pro určená aktiva organizace identifikuje relevantní hrozby a zranitelnosti, přičemž musí zvážit alespoň kategorie uvedené v příloze 3 (17 zranitelností a 21 hrozeb – od nedostatečné údržby aktiv přes škodlivý kód až po zneužití cizí státní moci pro přístup k aktivům). Příloha sama uvádí, že nejde o vyčerpávající seznamy a že organizace může (čtěme „měla by“) určit další konkrétní hrozby a zranitelnosti podle svých bezpečnostních potřeb. Že dodatečnou identifikaci dalších hrozeb organizace často nedělají je samo o sobě významným problémem, ale ten v rámci tohoto článku v zájmu omezení jeho již tak značné délky pomineme (zájemcům o tuto problematiku nicméně alespoň doporučím zvážit účast na školení, které se otázce modelování hrozeb nejen pro potřeby analýzy rizik věnuje). Cílem tohoto kroku (mj.) je v každém případě po identifikaci všech relevantních hrozeb a zranitelností posoudit reálně možné kombinace aktivum–zranitelnost–hrozba, tedy identifikovat množinu uskutečnitelných realizací hrozeb, při nichž mohou tyto hrozby prostřednictvím zranitelností působit na konkrétní aktiva.
- Ohodnocení hrozeb a zranitelností (příloha 4, tabulky č. 1 a 2). Každé hrozbě má být přiřazena jedna ze čtyř úrovní podle očekávané frekvence realizace. Při použití vzorové tabulky tedy buď úroveň Nízká (méně než jednou za 5 let), Střední (jednou za 1 rok až 5 let), Vysoká (jednou za 1 měsíc až 1 rok) nebo Kritická (častěji než jednou za měsíc). Každé zranitelnosti se přiřadí jedna ze čtyř úrovní z další tabulky, která obsahuje kvalitativní popis kombinující pravděpodobnost zneužití a stav zavedených opatření (od „zranitelnost neexistuje nebo je zneužití málo pravděpodobné“ po „zneužití zranitelnosti je velmi pravděpodobné až víceméně jisté, bezpečnostní opatření nejsou realizována“).
- Výpočet rizika (příloha 4, odst. 1 až 3). Příloha 4 v odst. 1 uvádí, že „jednoznačné stanovení funkce pro určení rizika je nezbytnou součástí metodiky pro hodnocení rizik“, v odst. 2 pak, že hodnota rizika je nejčastěji vyjádřena jako funkce hodnoty aktiva, hrozby a zranitelnosti, a v odst. 3 explicitně uvádí, že lze použít vzorec Riziko = hodnota aktiva × hrozba × zranitelnost, „případně jinou funkci obdobného významu“. Vstupem do součinu jsou tedy úrovně 1–4 ze tří výše popsaných stupnic a výstupem tudíž číslo mezi 1 a 64.
- Vyhodnocení rizika (příloha 4, tabulka č. 3 a odst. 6). Výsledné riziko se zařadí do jedné ze čtyř úrovní (Nízké – akceptovatelné, Střední – lze snížit méně náročnými opatřeními, Vysoké – dlouhodobě nepřípustné, Kritické – nepřípustné, nutno neprodleně řešit) a porovná se s hranicí akceptovatelnosti, kterou si organizace stanovila. Zmínku přitom zaslouží, že vyhláška nikde nestanoví, jak se má číslo 1–64 na tyto čtyři úrovně převést, a tedy kde mají/mohou ležet hranice mezi úrovněmi.
Pět výše popsaných kroků by mělo organizaci poskytovat představu o tom, jaká rizika jsou pro ni (resp. pro regulovanou službu, kterou organizace zajišťuje/poskytuje) relevantní, jak jsou významná a zda jsou akceptovatelná. Než si ukážeme, že při doslovném sledování tohoto postupu s pomocí tabulek uvedených ve vyhlášce řada organizací z principu nemůže dojít ke smysluplným výsledkům, je na místě zmínit, jaká část tohoto postupu je povinná a jaká volitelná.
Povinné je provádět hodnocení rizik (alespoň jednou ročně a při významných změnách) alespoň v rozsahu přílohy č. 4, zvážit alespoň kategorie hrozeb a zranitelností z přílohy 3 a posoudit oblasti hodnocení primárních aktiv z přílohy 1.
Volitelné – a vyhláškou výslovně připuštěné – je přizpůsobit si úrovně a jejich počet (příloha 1 odst. 2), použít „jinou funkci obdobného významu“ (příloha 4 odst. 3) a sloučit stupnice pro hodnocení hrozeb a zranitelností, pokud používaná metoda tyto dva faktory nerozlišuje (příloha 4 odst. 5). Vyhláška tedy de facto umožňuje přejít na dvoufaktorovou analýzu dopad × pravděpodobnost. Že vyhláška jiné způsoby hodnocení rizik připouští, navíc potvrzuje i § 8 odst. 3, podle nějž lze hodnocení rizik zajistit i jinak, „pokud povinná osoba zajistí stejnou nebo vyšší úroveň procesu hodnocení rizik“.
Výše uvedené možnosti úprav jsou pro zbytek článku klíčové, neb díky nim jsou návrhy smysluplnějšího přístupu k analýze rizik, které jsou popsány níže, plně v mantinelech vyhlášky.
Statistické mechanismy použité při analýze
V zájmu ověření toho, zda dává/nedává doslovné použití vstupů z vyhlášky smysl (resp. v zájmu identifikace těch situací, při nichž jejich použití bez jakékoli změny potenciálně smysl dávat může), byla provedena analýza využívající několika statistických mechanismů. A protože není žádoucí, aby byl zbytek článku srozumitelný pouze čtenářům s odborným vzděláním v oblasti statistiky, u každého použitého mechanismu nyní uvedeme krátkou „populární“ vysvětlivku.
Monte Carlo simulace a vstupní data
Začněme tím, proč se vůbec bavíme o nějakých odhadech a simulacích. Jak jsme již zmínili v úvodu, chceme-li ověřit, zda metodika z vyhlášky řadí rizika „správně“ (tedy že riziko spojené s vyšší pravděpodobnou ztrátou označí za významnější, než riziko spojené s nižší pravděpodobnou ztrátou), v ideálním světě bychom k tomu použili databázi obsahující data z desetitisíců reálných kybernetických incidentů, z nichž každý bychom využili pro namapování na konkrétní hrozbu, a u každé z nich bychom tak získali skutečnou frekvenci její realizace i rozsah způsobených škod. Následně bychom se podívali, zda metodika jednotlivé hrozby správně roztřídí dle s nimi spojeného rizika. Podobná velmi široká a zároveň veřejně přístupná databáze však reálně neexistuje. Musíme si proto pomoci jinak, a to s pomocí vygenerování syntetických dat, tedy umělé množiny rizik/realizací hrozeb, u nichž si tvar (rozdělení) frekvencí a dopadů zvolíme sami tak, aby byl realistický (nebo naopak záměrně pro tabulky co nejpříznivější – viz níže). Klíčové je, že u syntetických dat přesně známe „skutečnou“ odpověď – tedy které riziko je objektivně větší a které je objektivně menší – a můžeme tedy efektivně změřit, jak se k této odpovědi výstup z určité metodiky (pro naše potřeby té z vyhlášky) blíží.
Při využití malého počtu synteticky generovaných dat by samozřejmě mohlo porovnání dopadnout nekorektně jen z důvodu náhodné výjimky, která by se v praxi zřejmě nikdy neprojevila, a přístup k analýze rizik bychom tak potenciálně mohli označit za chybný omylem. Syntetických dat tedy potřebujeme velké množství. Z výše uvedeného důvodu byla pro ověření přístupu z vyhlášky využita tzv. Monte Carlo simulace – výpočetní postup, který místo jediného odhadu (vstupu) vygeneruje jejich velké množství, u každého spočítá výsledek, a teprve z celé množiny výsledků dělá závěry. Název tohoto přístupu odkazuje na kasina v Monte Carlu – stejně jako u rulety totiž výsledek jednoho „hodu“ statisticky nic neznamená, ale výsledky desetitisíců hodů už mají velmi dobře využitelné statistické vlastnosti. V kvantitativním řízení kybernetických rizik je Monte Carlo simulace standardní metodou, jak spojit nejistotu ve frekvenci a dopadu událostí do smysluplného rozdělení ztrát (Monte Carlo simulace využívá mj. metodika FAIR nebo pánové Hubbard a Seiersen ve známé knize How to Measure Anything in Cybersecurity Risk).
Pro potřeby naší analýzy bylo s pomocí jednoduchého skriptu vygenerováno celkem 40 000 hypotetických rizik. Tato množina představuje umělý „vzorek světa“, který je dostatečně velký na to, aby z něj získané statistiky byly stabilní a přitom výpočetně zvládnutelné. Každému prvku této množiny byly přiřazeny (resp. náhodně vylosovány z příslušného rozdělení – viz následující kapitola) tři spojité veličiny, které dohromady plně popisují riziko spojené s realizací určité hrozby, tedy vše, co potřebujeme pro výpočet skutečné očekávané ztráty i pro ohodnocení s pomocí tabulek. Těmito veličinami byly:
- roční frekvence hrozby λ – kolikrát za rok reálně (na pomyslné aktivum) působí relevantní hrozba (0,1 = jednou za deset let, 12 = každý měsíc). Tato veličina byla generována pravděpodobnostními rozděleními popsanými níže.
- podmíněná pravděpodobnost úspěšného zneužití p – pravděpodobnost, že pokud se hrozba realizuje, dojde díky existující zranitelnosti k jejímu úspěšnému naplnění. Pravděpodobnost byla reprezentovaná číslem mezi 0 a 1 a generována byla rovnoměrně z tohoto intervalu.
- dopad L – ztráta v korunách, kterou úspěšná realizace hrozby způsobí. Tato veličina byla opět generována rozděleními popsanými níže.
Na tomto místě může bystrý čtenář namítnout, že vygenerovaná rizika jsou jen hypotetická, takže s nimi nejsou spojeny žádné konkrétní hrozby. To je pravda – ale pro naše potřeby to nevadí. Nezajímá nás totiž, jaká konkrétní hrozba na jaké aktivum působí, nýbrž jakou ztrátu by mohla způsobit jakákoli hrozba dané frekvence, pravděpodobnosti a dopadu. Trojice (λ, p, L) tedy reprezentuje libovolný reálný scénář kombinující dopad na aktivum, hrozbu a zranitelnost, a právě tuto trojici jak vyhláška, tak jakákoli rozumná metodika potřebuje převést na „míru rizika“. Tím, že si výše zmíněnou trojici opakovaně „vylosujeme“, získáme tisíce takových scénářů pokrývajících celé spektrum možných situací, k nimž může realisticky docházet.
Podstatné je, že z tří výše uvedených veličin lze pro každé riziko zahrnuté do syntetických dat spočítat referenční „skutečné“ riziko, tedy očekávanou roční ztrátu ALE (Annual Loss Expectancy), získanou jako součin frekvence, pravděpodobnosti a dopadu (tedy ALE = λ × p × L). Považovat ALE za reálné riziko je samozřejmě citelné zjednodušení celé situace, ale pro konceptuální ověření validity metodiky je tento přístup plně vyhovující.
Proč je ale tato hodnota smysluplným etalonem, i když jde o „neexistující“ aktiva a hrozby? Protože ALE má jasný a všeobecně přijímaný význam – je to průměrná částka, o kterou organizace v dlouhodobém horizontu kvůli danému riziku ročně přijde. Jde o číslo, které plyne přímo a jednoznačně z definice frekvence, pravděpodobnosti a dopadu, tedy z týchž tří veličin, které do hodnocení vstupují i ve vyhlášce. Je však důležité si uvědomit, proč tento součin (na rozdíl od součinu z vyhlášky) dává smysl – všechny tři činitele jsou skutečná čísla a nikoli zástupné hodnoty na nejasně definovaných škálách. Výsledné ALE má tak jednotku „koruny za rok“ a jde o tzv. poměrovou veličinu, u níž jsou násobení a dělení matematicky korektní operace (to u hodnot z tabulek ve vyhlášce neplatí a k tomuto bodu se proto vrátíme později). Hodnota nám tedy slouží jako smysluplný objektivní opěrný bod, díky němuž víme, jaká je „doopravdy“ úroveň rizika u každého simulovaného vstupu, a můžeme měřit, jak dobře (či špatně) ho aproximuje výstup tabulek z vyhlášky.
Vygenerovaná rizika byla proto vedle určení ALE rovněž namapována na tabulky uvedené ve vyhlášce. Mapování probíhalo takto: dopadu L byla přiřazena úroveň hodnoty aktiva 1–4 (rozdělením rozsahu dopadů na čtyři pásma po řádech), frekvenci λ úroveň hrozby 1–4 podle frekvenčních pásem z tabulky č. 1 přílohy 4 (prahy 0,2, 1 a 12 událostí za rok) a pravděpodobnosti p úroveň zranitelnosti 1–4. Pro úplnost doplním, že osa dostupnosti, u níž se tolerovaný výpadek mapuje na úrovně podle oken z tabulky č. 3 přílohy 1, a kterou jsme již několikrát zmiňovali jako problematickou, mezi tyto tři losované veličiny nepatří – budeme se ji věnovat samostatně v kapitole o pevných oknech výpadku, kde budeme tolerovaný výpadek generovat zvlášť.
Tam, kde vyhláška nestanoví přesné hranice (typicky pro pravděpodobnost zneužití) a tabulky obsahují jen kvalitativní popis, byla zvolena rozumná modelová interpretace – tedy převod kvalitativního popisu na konkrétní číselné rozsahy tak, aby co nejvěrněji odpovídal slovní definici ve vyhlášce. U pravděpodobnosti zneužití p (na škále 0–1) byly tedy hranice mezi úrovněmi položeny do hodnot 0,10, 0,40 a 0,70, takže slovní popisy z vyhlášky byly namapovány následovně: „zranitelnost neexistuje nebo je její zneužití málo pravděpodobné“ → úroveň Nízká (p < 0,10), „zneužití je méně pravděpodobné“ → úroveň Střední (0,10 ≤ p < 0,40), „zneužití je pravděpodobné“ → úroveň Vysoká (0,40 ≤ p < 0,70) a „zneužití je velmi pravděpodobné až víceméně jisté“ → úroveň Kritická (p ≥ 0,70). Bylo by možné namítnout, že toto mapování je náhodné nebo naopak záměrně zvolené a proto omezuje validitu celého numerického důkazu, jak ale uvidíme níže, závěry analýzy jsou dané strukturou posuzované metodiky, nikoli výše zmíněnými rozsahy, a nezmění je ani volba zcela jiných hranic (což ostatně samostatně doložíme).
S pomocí výše uvedeného mapování byla pro každé riziko „vypočítána“ vyhláškou stanoveným způsobem (hodnota aktiva × hrozba × zranitelnost) i výše rizika dle vyhlášky, která byla následně porovnána s referenční ALE.
Shrnuto a podtrženo, pro každé ze 40 000 simulovaných rizik byla k dispozici jeho objektivní výše daná průměrnou roční ztrátou, která s ním byla spojená, a jeho hodnocení provedené podle metodiky z vyhlášky. K dispozici tedy byly dva vstupy nezbytné pro zhodnocení toho, zda metodický mechanismus z vyhlášky správně rizika seřadí (tedy zda rizika spojená s vyššími průměrnými ztrátami vyhodnotí jako významnější, než rizika spojená s nízkými ztrátami). Než se však dostaneme k tomu, jak v tomto testu metodický přístup z vyhlášky uspěl, je na místě podívat se hlouběji na jednotlivá pravděpodobnostní rozdělení použitá při tvorbě vstupních dat.
Jak byla vytvořena vstupní data aneb čtyři použitá rozdělení
Obecně lze říci, že pravděpodobnostní rozdělení je v podstatě předpis, který říká, jaké hodnoty určitá veličina nabývá a jak často. Aby výsledky nezávisely na jedné konkrétní (a – jak by mohl pozorný čtenář namítnout – potenciálně účelové) volbě rozložení použité při generování syntetických dat, byly hodnoty frekvencí λ a dopadů L generovány celkem čtyřmi různými způsoby, resp. čtyřmi pravděpodobnostními rozděleními.
Pravděpodobnost zneužití p byla, jak je uvedeno výše, ve všech případech pro jednoduchost generována rovnoměrně z intervalu 0–1.
Pro generování dat byla použita tato čtyři pravděpodobnostní rozdělení:
- Normální (Gaussovo) rozdělení je ona známá symetrická zvonová křivka. Hodnoty se v ní koncentrují kolem průměru a směrem k oběma okrajům jich stejnoměrně ubývá. Jde o rozdělení, které většina lidí intuitivně používá („typická ztráta je milion, plus minus pět set tisíc“), což je důvod, proč bylo do analýzy zařazeno. Jak si nicméně ukážeme, pro simulaci možných rizik a ztrát souvisejících s kybernetickými incidenty toto rozdělení vhodné není. Napovědět nám to může už následující prostá úvaha – je-li normální rozdělení symetrické a neomezené i směrem dolů (což je), pak formálně připouští i záporné ztráty. Tzv. „chvosty“ (pravděpodobnosti extrémních hodnot) tohoto rozdělení navíc klesají extrémně rychle – událost vzdálená pět směrodatných odchylek od průměru je v normálním světě prakticky nemožná. Ztráty způsobené kybernetickými bezpečnostními incidenty se takto ale reálně nechovají – konec konců, v extrémních případech mohou být i významně vzdálenější od průměru než oněch zmiňovaných pět směrodatných odchylek (vzpomeňme např. na odhadovanou škodu $300 milionů u společnosti Maersk po incidentu s pseudo-ransomwarem NotPetya).
- Rovnoměrné (uniformní) rozdělení přiřazuje stejnou pravděpodobnost všem hodnotám v zadaném rozsahu na lineární škále. Toto rozdělení bylo zařazeno jako další intuitivní, avšak „naivní“ volba, kterou bychom potenciálně mohl mít tendenci použít, pokud bychom např. věděli jen, že „škoda vzniklá v souvislosti s rizikem může být mezi tisícem a deseti miliony korun“. Jak uvidíme, na logaritmických škálách, na nichž rizika reálně žijí, je tato volba dokonce vzdálenější realitě než normální rozdělení, protože většinu hodnot „natlačí“ do nejvyššího řádu.
- Logaritmicko-uniformní (log-uniformní) rozdělení je rozdělení, v němž je každý „řád“ stejně pravděpodobný, tedy ztráta v řádu tisíců, desetitisíců, statisíců i milionů korun má tedy stejnou šanci výskytu. V rámci analýzy nám toto rozdělení slouží jako neutrální mechanismus pro rovnoměrné pokrytí celého možného rozsahu dopadů, přičemž nezvýhodňuje žádnou část numerické škály. Zmínku zaslouží, že toto rozdělení představuje pro tabulky z vyhlášky nejpříznivější možné vstupy, neb data jsou v něm rozprostřena přesně tak, aby všechny čtyři úrovně každé stupnice mohly být využity (což, jak si ukážeme, u jiných rozdělení ani v praxi zpravidla neplatí).
- Logaritmicko-normální (log-normální) rozdělení je, odborně řečeno, rozdělení kladné veličiny, jejíž logaritmus má normální rozdělení. To znamená, že data se v tomto rozdělení koncentrují kolem mediánu, ale mají dlouhý pravý chvost, a tedy existuje zde nezanedbatelná pravděpodobnost výskytu vzácných, ale velmi velkých hodnot. Právě tomuto rozdělení podle empirických studií přibližně odpovídají skutečné kybernetické ztráty. Analýzy reálných dat o ztrátách způsobených kybernetickými bezpečnostními incidenty (viz např. zde, zde, zde, zde apod.) shodně nacházejí silně pravostranně zešikmená, tzv. „těžkochvostá“ rozdělení závažnosti/dopadů. Je samozřejmé, že výsledky z těchto výzkumů nemusí nezbytně dokonale odpovídat realitě, neb databáze z nichž čerpají nejsou kompletní a zcela jistě v nich nebudou zastoupeny (mj.) drobné incidenty v počtech, v nichž k nim reálně dochází. Stále však jde o jedno z nejrealističtějších a nejuznávanějších rozdělení, které máme k dispozici. Dokazuje to i skutečnosti, že log-normální rozdělení je standardním parametrickým modelem jak v metodice FAIR, tak u pánů Hubbarda a Seiersena. Pro úplnost je na místě dodat, že reálné chvosty bývají dle akademických studií (viz např. zde a zde) někdy dokonce ještě „těžší“ než ty odpovídající log-normálnímu rozdělení. V praxi to tedy znamená, že pro modelování ztrát způsobených kybernetickými bezpečnostními incidenty může být log-normální rozdělení vnímané jako relativně konzervativní volba.
Jak změřit, zda výstup z metodiky pro hodnocení rizik dává smysl
Jak jsme zmínili již v úvodu, jádro celého článku stojí na jediné, ale zásadní myšlence, totiž že pokud je průměrná roční finanční ztráta (ALE) dobrým vyjádřením skutečného rizika, pak by ALE měla odpovídat i jakákoli „míra“ či „úroveň“ rizika spočtená/získaná s pomocí libovolné prakticky použitelné metodiky. Jinak řečeno, seřadíme-li rizika podle průměrné s nimi spojené roční ztráty a poté je seřadíme s pomocí libovolné metodiky (v našem případě tedy té uvedené ve vyhlášce), měla by obě pořadí být přinejmenším podobná. Čím víc se budou lišit, tím méně zkoumaná metodika z principu odpovídá realitě.
Aby bylo možné objektivně změřit, jak dalece se s pomocí metodiky z vyhlášky daří dojít k hodnocení odpovídajícímu reálně možným ztrátám, byla referenční ALE pro jednotlivá rizika porovnána s mírou rizika získanou z tabulek z vyhlášky pomocí několika statistických mechanismů a dalších konceptů, které je vhodné si krátce představit:
- Kendallovo τ (tau), nebo též Kendallův koeficient pořadové korelace (resp. specificky jde o Kendallovo τ-a), je míra shody pořadí mezi dvěma „žebříčky“. V našem případě umožňuje porovnání žebříčku/pořadí rizik seřazeného podle ALE a žebříčku/pořadí seřazeného podle metodiky z vyhlášky. Obecně koeficient nabývá hodnot od −1 do +1, přičemž hodnota +1 znamená, že oba žebříčky jsou shodné, 0 znamená, že pořadí spolu vůbec nesouvisí, a −1 říká, že obě pořadí jsou přesně opačná. Z praktického hlediska zaslouží zmínku, že τ se na našich datech počítá z podílu „souhlasných“ a „nesouhlasných“ dvojic rizik, přičemž pro každou dvojici rizik se ptáme, zda ji obě metody seřadí ve stejném směru.
Pro vyloučení pochybností je na místě explicitně vysvětlit, co znamená, že je dvojice bude „souhlasná“, resp. seřazená ve stejném směru. Pokud vezmeme dvě rizika, A a B, u nichž ALE říká, že A je rizikovější než B, a zároveň i jejich ohodnocení metodikou z vyhlášky určí, že A je rizikovější než B, je tato dvojice seřazena souhlasně/ve stejném směru. Pokud by však ALE říkalo, že „A > B“, ale metodika z vyhlášky určila, že „A < B“, bude tato dvojice seřazena obráceně/nesouhlasně (v praxi by to znamenalo, že metodika z vyhlášky by nás u této dvojice měla tendenci směrovat k přednostnímu řešení toho rizika, které je ve skutečnosti menší).
Krátce řečeno – pro potřeby článku platí, že čím blíže hodnotě +1 bude jakékoli porovnání, tím přesnější bude schopnost metodiky seřadit rizika správně (dle s nimi spojeného ALE/reálné průměrné ztráty). Hodnota τ = 0,77, kterou budeme v souvislosti s metodikou vyhlášky níže často zmiňovat, tedy znamená relativně silnou, ale zdaleka ne dokonalou shodu, neb při této hodnotě je zhruba každá desátá dvojice rizik seřazena obráceně.
- Podíl převrácených dvojic je intuitivní doplněk výše popsanému τ: v našem případě u náhodně vybíraných dvojic rizik stanovuje, jak často postup převzatý z vyhlášky označí za rizikovější to riziko, jehož skutečné riziko (dle ALE) je nižší. Jde tedy přímo o „četnost chyb v pořadí“.
- Jaccardův index podobnosti měří překryv dvou množin – odborně jde o velikost průniku dělenou velikostí sjednocení, což v praxi znamená, že hodnota 1 značí, že obě porovnávané množiny jsou totožné a 0, že nemají nic společného. V rámci analýzy tento index použijeme na porovnání seznamů rizik, která je dle vyhlášky nezbytné řešit (tedy těch rizik, která není možné akceptovat, neb jsou hodnocena úrovněmi „Vysoká“ nebo „Kritická“), získaných na základě různé volby „dělící linie“ akceptovatelnosti rizika na škále 1-64. Zvolení prahových hodnot na této škále je něco, co vyhláška implicitně po regulovaných subjektech požaduje (bez toho by nebylo možné převést čísla z rozsahu 1-64 na 4 kvalitativní úrovně hodnocení rizik), avšak nikde nestanoví jak se má toto stanovení provést. Níže si proto s pomocí Jaccardova indexu ukážeme, jak významně tato volba ovlivní výsledné ohodnocení rizik.
- Efektivní počet využitých úrovní je zřejmě nejméně intuitivní, ale velmi užitečný ukazatel, který budeme v textu používat. Odvozujeme jej ze Shannonovy entropie vztažené na tabulky z vyhlášky, tedy z míry toho, jak rovnoměrně jsou rizika rozdělena mezi čtyři úrovně konkrétní stupnice. Výsledné číslo (formálně 2 umocněno na entropii) tedy říká, kolik úrovní stupnice z vyhlášky by organizace reálně využila.
V praxi by to znamenalo, že pokud by do každé ze čtyř úrovní spadnula přesně čtvrtina rizik, vyšel by efektivní počet 4,0 (tedy stupnice by byla využita plně). Pokud by se všechna rizika nahrnula do jediné úrovně, vyšlo by ≈ 1,0 a daná tabulka (resp. s ní spojená osa) by nenesla žádnou informaci (všechna rizika by byla dle dané tabulky „stejná“). Pokud by efektivní počet využitých úrovní vyšel například 2,0, znamenalo by to, že stupnice reálně funguje jen, jako kdyby měla jen dvě úrovně (dvě zbylé by v takovém případě byly prakticky nevyužity). Jde tedy o přímou míru rozlišovací schopnosti tabulky (resp. její stupnice) v konkrétním prostředí a čím nižší číslo u ní vyjde, tím méně stupnice pomůže rizika od sebe odlišit.
Důvod, proč je tento ukazatel hodnotný, je prostý – pokud bychom chtěli využívat pro analýzu rizik metodiku z vyhlášky, určitě dává smysl, aby měla organizace možnost využít u všech tabulek jejich celý rozsah 1-4. Jak si však ukážeme, pokud si organizace tabulky neupraví dle specifik svého prostředí, pak k použití celého rozsahu zpravidla dojít nemůže.
Použití výše popsaných mechanismů nám umožní mj. získat relativně jasnou informaci o tom, jaké parametry by musela určitá organizace splňovat, aby pro ni dávalo smysl využívat nezměněné tabulky z vyhlášky, a pro které organizace by to naopak bylo zcela nesmyslné. Než se však pustíme do diskuze výstupů analýzy, je nezbytné představit jeden principiální problém, který postihuje metodiku z vyhlášky, i řadu dalších metodik pro tzv. semi-kvantitativní analýzy rizik (tedy těch, u nichž jsou pro označení jednotlivých kategorií využita čísla, nad nimiž jsou následně prováděny numerické operace)…
„Drobný“ matematický a logický problém
V teorii měření, potažmo v matematice a statistice, principiálně rozlišujeme čtyři následující typy škál (ty zavedl už v roce 1946 pan Stevens a jsou stále všeobecně využívány):
- Nominální škála, na níž prvky spadají do kategorií bez nezbytného vzájemného vztahu – např. „zvířata“ a „ovoce“.
- Ordinální/pořadová škála, na níž lze prvky seřadit dle kategorií, ale rozestupy mezi kategoriemi nejsou definované – např. 1.–10. fotbalová liga.
- Intervalová škála, na níž lze prvky seřadit do kategorií a kategorie mají stejné rozestupy, ale škála nemá „absolutní“ nulu – např. teplota ve stupních Celsia.
- Poměrová škála, která má nulu i jednotku a lze v ní smysluplně násobit a dělit – např. délka v metrech, ztráta v korunách, frekvence v událostech za rok apod.
Proč je pro nás výše uvedené podstatné?
Úrovně 1 až 4 použité ve všech tabulkách ve vyhlášce jsou převážně pořadové – říkají, že „Vysoká“ je víc než „Střední“, ale nikoli o kolik (drobnou výjimkou je pouze stupnice pro hodnocení aktiv z pohledu dostupnosti, kde jsou jednotlivým úrovním přiřazeny konkrétní časové údaje, a také explicitní frekvenční pásma ve stupnici hrozeb).
Může se zdát, že výše uvedená skutečnost nepředstavuje významnější problém, ale opak je pravdou – na pořadových škálách totiž nemá součet ani součin žádný matematický význam. Věta ve vyhlášce říkající, že „pro hodnocení rizik lze použít funkci: Riziko = hodnota aktiva × hrozba × zranitelnost, případně jinou funkci obdobného významu“, tak (s drobným cynickým přimhouřením oka) říká, že můžeme použít funkci, která má obdobný význam k logickému nesmyslu. Konec konců, zhodnoťte sami – je pravda, že Vysoká krát Nízká rovná se Střední?
Výše uvedená rovnice je samozřejmě konceptuálně správná, ale jen pokud bychom vstupy do ní získávali z poměrových škál, což vyhláška zjevně nedělá…
Na tomto místě je možné namítnout, že vyhláška sice využívá násobení, ale fakticky jen jako mechanismus pro kombinaci kvalitativních hodnot z různých škál. Problémem však je, že o násobení nenásobitelných prvků i tak jde, jak ukazuje sám odst. 3 přílohy 4, podle něhož je celkové riziko vyjádřeno jako součin tří pořadových hodnot od 1 do 4 (výsledkem je tedy „skóre“ mezi 1 a 64).
A kdykoli násobíme nenásobitelné, vznikají významné problémy, a nejde přitom jen o problémy akademické. To, že matice rizik postavené na pořadových škálách systematicky produkují chybné výstupy, je v odborné literatuře extrémně dobře zdokumentováno (viz např. zde, zde nebo zde).
Pro úplnost dodejme, že nahrazením násobení sčítáním (což sice rozhodně není „funkce obdobného významu“ k násobení, ale to ponechme stranou) bychom si nijak nepomohli. Jednak je součet na pořadové škále úplně stejně nedefinovanou operací jako součin (výrok „Vysoká plus Nízká rovná se Střední“ nedává o nic větší smysl než původní násobení), a jednak to potvrzuje i naše simulace – při porovnání výsledků řadí rizika součet jednotlivých vstupů prakticky stejně (ne)přesně jako jejich součin (Kendallovo τ vůči skutečné ALE vychází 0,78 pro součet a 0,77 pro součin). Falešný poměrový význam, který násobení předstírá (a kvůli němuž působí výsledné skóre 1–64 tak „rádoby odborně“), tedy fakticky nepřináší vůbec nic.
Skutečná cesta ven z numerického šumu v každém případě nevede přes výměnu aritmetické operace, ale přes návrat k reprezentativním skutečným hodnotám, jak ukážeme za okamžik. Pro ty, které výše zmíněná argumentace o obecné nesmyslnosti násobení nepřesvědčila, resp. pro ty, kteří cítí, že ony tabulky s frekvenčními pásmy a explicitními hodnotami dostupnosti něco změní, nicméně ještě uděláme krátké pozastavení nad touto tématikou.
Proč nedává násobení smysl, přestože kvalitativní úrovně jsou zastoupeny numerickými hodnotami
Jak jsme zmínili výše, úrovně 1–4 ve vyhlášce nejsou vždy „jen“ pořadová čísla – ve dvou případech (frekvenční pásma u hrozeb a časová okna u dostupnosti) za nimi stojí konkrétní numerické hodnoty. Je to pravda, jenže problémy se díky tomu ve skutečnosti ještě prohlubují. Jednotlivé škály vyhlášky totiž „kódují“ do stejných úrovní 1–4 zcela odlišné druhy závislostí.
V zájmu pochopení situace se podívejme, co posun o jednu úroveň znamená na každé ze tří škál vstupujících do součinu:
- Tabulka pro hodnocení hrozeb – Úroveň 1 odpovídá frekvenci do 0,2/rok, úroveň 2 pásmu 0,2–1/rok, úroveň 3 pásmu 1–12/rok a úroveň 4 frekvenci nad 12/rok. Posun o jednu úroveň tedy znamená zhruba vynásobení reálné frekvence šesti až deseti – hodnoty tedy spadají do exponenciální škály.
- Tabulka pro hodnocení dostupnosti – Okna „týdny / pracovní den / hodiny / minuty“ znamenají, že posun o jenu úroveň odpovídá zhruba vydělení tolerovaného výpadku (tentokrát cca deseti až třiceti) – použita je tedy opět exponenciální škála.
- Tabulka pro hodnocení zranitelností – Tato tabulka reprezentuje pravděpodobnost zneužití, tedy veličinu z intervalu 0 až 1 (0 % – 100 %). Posun o úroveň znamená přičtení zhruba 0,2–0,3 a škála je navíc shora ohraničená jedničkou – jde tedy o škálu zhruba lineární.
Co reprezentuje úroveň 1–4 na jednotlivých škálách vyhlášky. Hrozba i dostupnost jsou (lehce pokřivenou) přímkou na logaritmické ose (krok mezi úrovněmi je tedy násobkem skutečné hodnoty), zatímco zranitelnost je přímkou na ose lineární (krok je přičtením konstanty a strop je definován na úrovni 1). Tři uvedené škály tedy měří v navzájem nesouměřitelných jednotkách.
Celočíselné popisky 1–4 výše popsanou zásadní skutečnost zcela skryjí. Násobit (nebo i sčítat) holá celá čísla z takto různorodých škál je jako násobit stupně Richterovy škály stupni pH: obě škály jsou logaritmické, ale každá měří úplně jinou veličinu s jiným „krokem“, a součin tak nemá žádný fyzikální smysl. Pro ilustraci, krok z úrovně 2 na úroveň 3 znamená u hrozby desetinásobek frekvence, u zranitelnosti přičtení nějakých 25 procentních bodů pravděpodobnosti, a vzorec z vyhlášky obě tyto naprosto nesouměřitelné změny ocení úplně stejně, totiž vynásobením „rizikového skóre“ poměrem 3/2.
Smysluplný a prakticky použitelný postup, pokud už bychom chtěli úrovně kombinovat výpočtem, by bylo převést tyto úrovně zpět na reprezentativní skutečné hodnoty a teprve ty mezi sebou násobit. Co by to znamenalo v praxi?
Místo abstraktní „úrovně 3“ hrozby bychom použili typickou skutečnou hodnotu, kterou tato úroveň zastupuje (například geometrický průměr mezí jejího frekvenčního pásma, tedy ≈ 3,5 události za rok). Místo „úrovně 2“ zranitelnosti bychom použili pravděpodobnost ≈ 0,25 a místo „úrovně 4“ dopadu bychom použili reprezentativní částku v korunách (v naší simulaci vychází nejvyšší hodnotové pásmo na ≈ 3,2 mil. Kč). Kalibrovaný součin by pak byl prostým součinem těchto skutečných hodnot. Klíčové je, že protože by šlo o poměrové veličiny, ne zástupné ordinální úrovně, byl by tento postup matematicky korektní.
Jak takový převod může organizace získat pro vlastní prostředí? Potřebuje k tomu jen hrubý odhad rozsahů svých vlastních dat – tedy přibližně, v jakých částkách se pohybují její možné ztráty, jak často se v jejím prostředí hrozby reálně projevují a jak dlouhé výpadky aktiv toleruje. Z těchto odhadů se reprezentativní hodnoty (geometrické průměry mezí jednotlivých pásem) snadno dopočítají – a přesně to dělá jeden z přiložených skriptů, k němuž se vrátíme v závěru. Žádná složitá data tedy potřeba nejsou – stačí řádové odhady, které tak jako tak vznikají při běžném hodnocení aktiv.
A jak ukážeme níže s pomocí výsledků naší simulace, využívání smysluplných reprezentativních hodnot místo „standardních“ tabulek z vyhlášky povede k fakticky měřitelnému zlepšení. Pro ty, které by zajímalo, jak dalece bude rozdíl patrný je vhodné uvést, že zatímco násobení úrovní dosahuje shody pořadí se skutečným rizikem (ALE) τ = 0,77 a součet úrovní τ = 0,78, kalibrovaný součin reprezentativních hodnot dosahuje τ = 0,83, přičemž zbývající „nedokonalost“ řazení rizik je dána už jen hrubostí způsobenou použitím čtyř úrovní, a nikoli granulárnějšího rozdělení.
Shoda pořadí se skutečnou ALE pro tři zkoumané možnosti kombinace týchž úrovní (log-uniformní vstupy). Násobení navržené ve vyhlášce není o nic lepší než prostý součet a obě operace dávají významně méně smysluplné výstupy než když organizace provede jednoduchou kalibraci a využije pro určení výše rizika skutečné reprezentativní hodnoty.
Aby nezůstalo jen u abstraktních konceptů, ukažme si důsledek nesmyslnosti postupu založeného na násobení „nenásobitelných“ vstupů ještě na jednom názorném příkladu tří rizik. Jak můžeme vidět, vzácné, ale katastrofické riziko může dostat podle frekvenčních pásem vyhlášky nízkou úroveň hrozby, v důsledku čehož bude mít i nízké celkové skóre, přestože je její skutečné riziko může být citelně vyšší než u rizik „skórovaných“ výše…
| Riziko |
Frekvence (výskytů za rok) |
Pravděp. zneužití |
Dopad (Kč) |
Skutečná ALE (Kč/rok) |
Úrovně (D, H, Z) |
Skóre dle vyhlášky |
| A: vzácné, katastrofické |
0,1 |
0,9 |
250 000 000 |
22 500 000 |
4, 1, 4 |
16 |
| B: časté, drobné |
20 |
0,9 |
50 000 |
900 000 |
2, 4, 4 |
32 |
| C: časté, střední |
15 |
0,5 |
125 000 |
937 500 |
3, 4, 3 |
36 |
Jak vidíme, ve výše uvedeném příkladu má riziko A nejvyšší skutečný průměrný dopad (22,5 mil. Kč/rok, tedy zhruba 24× více než zbylá dvě), ale nejnižší skóre (16), zatímco riziko B s ALE 900 tis. Kč/rok dostane skóre dvojnásobné (32) a aktivum C dokonce ještě vyšší (36). Metoda z vyhlášky by tak nasměrovala rozpočet na nápravná opatření přesně opačně, než by bylo namístě. (Dodejme, že dopad 250 mil. Kč u aktiva A není zvolen náhodně – odpovídá potenciálnímu zákonnému stropu pokuty pro režim vyšších povinností, a jde tedy reálně představitelný „katastrofický“ dopad.)
Zmínku zaslouží, že výše uvedený výsledek není zlomyslně zkonstruovaná kuriozita – jde o klasický problém spočívající v tzv. „inverzi rizika“ (risk inversion), kterou pořadové matice produkují systémově, což je v odborné literatuře velmi dobře dokumentováno. Jak již bylo uvedeno výše (viz diskuze o Kendallově koeficientu), v naší simulaci tato inverze u realistických dat postihovala při použití neupravené metodiky z vyhlášky zhruba každou desátou dvojici rizik.
Výsledky simulace
Nyní již snad nikdo nepochybuje o tom, že násobení pořadových čísel je principiálně – slušně řečeno – problematické. Pojďme se tedy podívat, jak velký je tento problém (i některé další) v praxi, tedy co konkrétně z provedených Monte Carlo simulací vyšlo. Připomeňme, že pro každé ze 40 000 simulovaných rizik známe jeho numericky kvantifikovanou průměrnou roční ztrátu (ALE) i jeho hodnocení dle tabulek z vyhlášky, a můžeme tedy obě hodnoty přímo porovnat.
Začneme tím, jak si metodika vede na datech generovaných různými rozděleními, a následně se podíváme na strukturální problémy, které se projevují bez ohledu na volbu rozdělení.
Výstup získaný na datech generovaných s pomocí normálního rozdělení
Varianta s normálním rozdělením byla do analýzy zařazena především v zájmu demonstrace toho, proč tento intuitivní a nejpřirozenější model není vhodné v oblasti analýzy kybernetických rizik používat. Data byla generována tak, jak by to mohl udělat „naivní praktik“ – jako vstupní parametry byla použita typická ztráta 1 milion Kč s rozpětím ±50 % a typická frekvence 0,5 události za rok s obdobným rozpětím.
První problém se projevil okamžitě – i při takto relativně úzkém rozpětí vyšla u 4,6 % vygenerovaných rizik záporná frekvence nebo záporná ztráta, tedy hodnoty, které v reálném světě nemohou existovat a které bylo nutné ze simulace vyřadit. Zmínku zaslouží, že pokud bychom se pokusili normálním rozdělením věrně napodobit skutečnou variabilitu realistických ztrát (tj. sladili jeho střední hodnotu a rozptyl s realistickým log-normálním modelem), vyšlo by záporných dokonce 47 % všech vygenerovaných hodnot, což ukazuje, že normální rozdělení nedokáže současně pokrýt typické hodnoty i mnohařádové rozpětí, které je pro ztráty z kybernetických incidentů charakteristické.
Druhý problém byl zákeřnější. Samotná shoda pořadí s pomocí Kendallova koeficientu vyšla zdánlivě relativně pozitivně (τ = 0,74, což znamená „jen“ 8 % převrácených dvojic), avšak pouze proto, že „pohled na svět“ generovaný normálním rozdělením je nerealisticky úzký.
Co tím je míněno? Protože normální rozdělení „natlačí“ prakticky všechna rizika do úzkého pásma kolem typické hodnoty, leží všechny vygenerované frekvence v rozsahu necelého jednoho řádu. Osa hrozby tak reálně využije jen ~1,5 ze 4 úrovní – téměř všechna rizika tedy spadnou do jedné ze dvou úrovní a stupnice je tak skoro „slepá“. Podobně se chová i tabulka/osa hodnoty (efektivně využité je u ní využito jen 2,7 úrovní ze 4). Hlavně je ale nezbytné zdůraznit, že v jakékoli simulaci založené na normálním rozdělení prakticky neexistují extrémní katastrofy. Pravděpodobnost ztráty větší než desetinásobek mediánu vyšla v normální variantě 0,0 %, zatímco v realistické log-normální variantě je tato pravděpodobnost 16 %. To je podstatné, neb právě tyto vzácné, avšak velké ztráty v reálném světě dle soudobé úrovně poznání dominují celkovému riziku.
Organizace, která by své dopady modelovala normálním rozdělením, by tedy nedostala jen „lehce nepřesnou“ analýzu, ale spíše analýzu slepou přesně vůči těm událostem, kvůli nimž by analýzu rizik primárně prováděla. Tento výsledek je mimochodem v plném souladu se závěry empirické literatury citované výše, podle níž jsou kybernetické ztráty silně těžkochvosté a normální model je pro ně nevhodný.
Normální a log-normální rozdělení dopadů se stejnou typickou hodnotou. Již při pohledu na lineární osu je z rozdílného tvaru křivek zjevné, že hodnoty z obou rozdělení se významně rozchází, jak moc pak explicitně ukazuje logaritmická osa (vpravo), na níž je dobře vidět, že normální model nepokrývá ani rozsah řádů, ani těžký pravý chvost, v němž se skrývají ztráty, které v reálném světě riziko do značné míry determinují.
Výstup získaný na datech generovaných s pomocí rovnoměrného rozdělení
Než přejdeme k (pro vyhlášku maximálně „příznivému“) log-uniformnímu světu, zastavme se u jeho lineárního příbuzného. Uniformní/lineárně rovnoměrné rozdělení rozprostřelo dopady rovnoměrně mezi 1 tisíc a 10 milionů Kč na lineární ose.
Pro zařazení těchto dopadů do čtyř úrovní hodnoty aktiv bylo použito stejné mapování jako u všech ostatních rozdělení – tedy rozdělení rozsahu dopadů na čtyři pásma „po řádech“, jejichž hranice jsou rozmístěny logaritmicky (geometricky), nikoli lineárně. To je u veličiny, která se přirozeně pohybuje přes několik řádů, jediná rozumná volba (smysl dává odlišovat spíše „desetitisíce od milionů“ než „4,1 milionu od 4,3 milionu“) a jde zároveň o mapování konzistentní se zbytkem analýzy.
Právě v interakci s tímto logaritmickým dělením se však naivně zvolené lineárně rovnoměrné rozdělení projeví zničujícím způsobem. Protože každé vyšší řádové pásmo je z definice desetkrát širší než pásmo předchozí, padne přes 90 % všech lineárně rovnoměrných hodnot do nejvyššího řádu (jednotky milionů Kč). Na hodnotové ose tak organizace fakticky využije jen ~2,4 úrovně a na ose hrozby, kde se navíc uplatní pevná (a rovněž zhruba logaritmicky odstupňovaná) frekvenční pásma vyhlášky 0,2 / 1 / 12 událostí za rok, která vedou k efektivnímu použití pouhých ~1,5 úrovní.
Výsledkem je nejnižší shoda pořadí ze všech čtyř rozdělení (τ = 0,64 a tedy plných 12 % převrácených dvojic). Jde tedy ještě horší výsledek než u normálního rozdělení a lineárně rovnoměrná „naivní“ volba rozložení rizik by tak pro tabulky z vyhlášky byla tou nejhorší variantou. Pro naše potřeby je tento závěr poměrně hodnotný – jde o názornou ukázku toho, jak zrádné může být nepochopení logaritmické (řádové) povahy rizik, a to hned ze dvou stran – jak při volbě rozdělení vstupů, tak při volbě hranic mezi úrovněmi.
Log-uniformní varianta popisuje pro „použitelnost“ tabulek z vyhlášky ten nejpříznivější možný (byť zcela nerealistický) svět. Dopady byly v rámci tohoto rozdělení rovnoměrně rozprostřeny přes čtyři řády (1 tisíc Kč až 10 milionů Kč) a frekvence přes čtyři řády (0,01 až 100 událostí za rok), takže všechny čtyři úrovně všech stupnic byly plně využity (efektivní počet úrovní 3,9–4,0 ze 4). Pokud by tedy metodika z vyhlášky měla někde fungovat dobře, bylo by to při použití tohoto rozdělení.
I v tomto nejpříznivějším (a ještě jednou zdůrazňuji, že zcela nerealistickém) případě je ale metodika přinejlepším hrubým třídicím mechanismem na rizika, a nikoli mechanismem na jejich reálné měření. Důvod je prostý: součin tří úrovní 1–4 může nabývat pouhých 16 různých hodnot, takže 40 000 rizik (a v praxi jakýkoli jiný počet) se nezbytně slije jen do 16 svislých „pruhů“. Konkrétně jde o tyto hodnoty (pro každou uvádím vždy jen jednu z možných kombinací úrovní, které k jednotlivým skórům vedou, ale například k hodnotě 4 můžeme samozřejmě dojít i v případě, že úrovně vstupů by byly 1×2×2 apod.):
- 1 = 1×1×1
- 2 = 1×1×2
- 3 = 1×1×3
- 4 = 1×1×4
- 6 = 1×2×3
- 8 = 1×2×4
- 9 = 1×3×3
- 12 = 1×3×4
- 16 = 1×4×4
- 18 = 2×3×3
- 24 = 2×3×4
- 27 = 3×3×3
- 32 = 2×4×4
- 36 = 3×3×4
- 48 = 3×4×4
- 64 = 4×4×4
Problémem je, že uvnitř každého pruhu se skutečná ALE reálně liší o několik řádů, jak ukazuje následující graf.
Celková shoda pořadí při použití log-uniformního rozdělení vyšla τ = 0,77, což znamená, že 9 % náhodně vybraných dvojic rizik metodika seřadí obráceně, než odpovídá skutečnému riziku dle ALE, a dalších 8 % dvojic prohlásí za „shodné“ (přidělí jim stejné skóre), ačkoli se jejich skutečné riziko liší.
Skóre dle vyhlášky vs. skutečná roční očekávaná ztráta. Vodorovná osa ukazuje 16 možných hodnot, kterých může při použití postupu z vyhlášky nabývat „rizikové skóre“, přičemž barva odpovídá kategoriím dle vyhlášky. Z grafu je patrné, že uvnitř každého svislého pruhu, tedy mezi riziky, která vyhláška považuje za zcela identicky riziková, se ztráty dle ALE liší až o několik řádů.
Po převedení skóre na čtyři výstupní kategorie (tedy po seskupení jednotlivých rizik spadajících do stejných kategorií) je ono pomyslné rozmazání ještě patrnější – uvnitř každé kategorie se skutečná ALE pohybuje v rozsahu zhruba 40–190násobku (a to navíc vzato jen v poměru 90. a 10. percentilu), tedy přes zhruba dva řády. Sousední kategorie se navíc významně překrývají – riziko z nižší kategorie je ve skutečnosti rizikovější než náhodně vybrané riziko z kategorie vyšší zhruba v 7 % případů. Prakticky to znamená, že matice z vyhlášky sice (víceméně) odliší „Nízká“ rizika od „Kritických“, ale nedokáže smysluplně seřadit dvě rizika v kategorii „Vysoká“ – což je přesně ta informace, kterou potřebujeme při rozpočtování a prioritizaci nápravných opatření.
Rozsah skutečné ALE uvnitř jednotlivých výstupních kategorií při použití log-uniformních vstupů (tedy z pohledu vyhlášky nejoptimálnější situace). Každá kategorie skrývá zhruba dva řády skutečného rizika a krabice sousedních kategorií se překrývají.
Co když dělicí linie posuneme jinam?
Na tomto místě je vhodné předejít námitce, že výše popsaná „komprese“ uvnitř kategorií je jen důsledkem toho, kam byly položeny dělicí linie mezi úrovněmi (tam, kde vyhláška uvádí jen kvalitativní popis, jsem totiž volil tyto hranice nezbytně sám). Neb mě samotného zajímal výsledek, otestoval jsem co se stane, kdybychom hranice hodnotové osy posunuli – jednou do kvartilů dat (tedy tak, aby bylo zajištěno rovnoměrné obsazení úrovní z vyhlášky), jednou výrazně nahoru a jednou dolů. Výsledek je jednoznačný a můžete se na něj podívat níže – ať dělicí linie položíme kamkoli, komprese uvnitř kategorií zůstává řádově stejná (medián poměru 90./10. percentilu uvnitř kategorií se drží kolem 140–320×) a mění se jen to, jak (ne)rovnoměrně jsou kategorie obsazené. Posuneme-li linie, fakticky jen „přelijeme“ rizika z jedné přeplněné kategorie do druhé, ale nikdy nezískáme uvnitř kategorií jemnější/lepší rozlišení. To dokládá, že problém není ve volbě hranic, ale ve struktuře metodického postupu (aneb ve snaze o rozdělení veličiny, která se pohybuje přes mnoho řádů, na čtyři hrubé kategorie).
Ať dělicí linie hodnotové osy položíme kamkoli (do kvartilů, nebo je posuneme nahoru či dolů), komprese uvnitř kategorií zůstává a mění se jen (ne)rovnoměrnost jejich obsazení.
Výstup získaný na datech generovaných s pomocí log-normálního rozdělení
Výše jsme si ukázali, že metodika z vyhlášky je při doslovném použití v ní uvedených tabulek principiálně neschopná poskytovat plně validní výsledky i v případě, kdy by možné ztráty spojené s riziky byly rozdělené log-uniformně, a tedy „nejlépe“ z pohledu těchto tabulek.
Asi tudíž nepřekvapí, že na realistických, literaturou podložených log-normálních datech (medián frekvence 0,5/rok, medián ztráty 1 milion Kč, rozpětí zhruba o řád oběma směry) není situace o nic lepší (resp. asi nepřekvapí, že situace je o něco horší). Shoda pořadí u realistických rizik klesá z τ = 0,77 na τ = 0,70, převrácených dvojic přibývá z 9 % na 12 % a komprese uvnitř kategorií zůstává na úrovni cca dvou řádů (tedy v jedné kategorii máme rizika, která mohou způsobit škodu lišící se 35 až 135×).
Důvodem zhoršení je, že log-normální data nejsou uměle rozprostřena „na míru“ stupnicím z vyhlášky. Část rizik se koncentruje kolem mediánů, takže efektivní využití úrovní klesá na ~3,4–3,5 ze 4 (oproti plným ~4,0 u log-uniformních dat) a stupnice tedy ztrácejí část své rozlišovací schopnosti. Těžký pravý chvost log-normálního rozdělení navíc produkuje více oněch vzácných, ale katastrofických kombinací (vzácná hrozba × obrovský dopad), na nichž pořadové matice systematicky selhávají přesně tak, jak jsme demonstrovali na příkladu inverze rizik výše. Jinými slovy, čím realističtější data, tím častěji se objevují přesně ty situace, v nichž metoda z vyhlášky řadí rizika obráceně.
Realistická, log-normálně generovaná data tedy metodiku z vyhlášky rozhodně nezachraňují, spíše naopak. Je přitom vhodné zopakovat, že byť log-normální model označujeme za „realistický“, i on je vůči vyhlášce ještě milosrdný, neb skutečné chvosty kybernetických ztrát mohou být dle empirických studií ještě těžší.
Shoda pořadí (vlevo) a komprese rozsahu uvnitř kategorií (vpravo) pro všechna čtyři použitá rozdělení. Je vidět, že hlavní neduhy metodiky z vyhlášky, jako hrubost, překryvy kategorií a inverze pořadí, jsou na volbě rozdělení nezávislé. Normální varianta vykazuje nižší kompresi jen proto, že, jak je uvedeno výše, popisuje nerealisticky úzký svět bez „katastrof“.
Pevná okna výpadku vs. tempo organizace
Dosud jsme metodice z vyhlášky, resp. jejím tabulkám, dopřávali benefit práce s dopady rizik rozprostřenými přes mnoho řádů. Rizika postihující skutečné organizace, resp. jimi zajišťované regulované služby, jsou ale v praxi mnohem stejnorodější, a tady přichází ke slovu problém avizovaný v úvodu – pevná okna výpadků.
Tabulka č. 3 z přílohy vyhlášky č. 1 – stejně jako u dalších tabulek, i u této není výjimkou její přejímání do praxe v podstatě beze změn – jediné, co povinné organizace často udělají je, že vypustí slovo „například“ z definice nízké, střední a vysoké úrovně.
Jak vidíme, úroveň dostupnosti aktiva určuje podle tabulky č. 3 přílohy 1 pouze to, kam jeho tolerovaný výpadek padne vůči třem vzorovým pevným prahům. V naší modelové interpretaci jde konkrétně o 15 minut (pro hodnotu „několika minut“), 8 hodin (pro hodnotu „několika hodin“) a 24 hodin (nijak překvapivě pro hodnotu „jednoho pracovního dne“), tedy o hodnoty odpovídající horním mezím úrovním Kritická, Vysoká a Střední, tak jak je popisuje vyhláška. Pásmo, které tyto prahy pokrývají, je tedy široké necelé dva řády (15 minut až 1 440 minut).
Než se podíváme na čísla, zavedeme si pro jednoduchost pojem „tempo organizace“. Pro stručnost budeme tempem organizace rozumět medián tolerovaného výpadku jejích aktiv – tedy jak rychle „musí věci běžet“ bezvýpadkově v kontextu regulované služby. Organizace s tempem v sekundách (banka provozující obchodní platformu) je tempově úplně jinde než organizace s tempem ve dnech (organizace udržující dlouhodobý archiv).
Aby bylo možné posoudit, jak osa dostupnosti funguje pro různé organizace (resp. pro potřeby různých organizací vzhledem k regulovaným službám, které tyto organizace zajišťují), bylo v simulaci měněno tempo organizace v rozsahu od 1 minuty do 30 dní a u každého tempa bylo vyhodnocováno, kolik úrovní dostupnosti by organizace s daným tempem reálně využila. Výše uvedené bylo provedeno pro různě široká rozpětí tolerovaných výpadků uvnitř organizace a tedy pro různě „pestrou“ množinu aktiv. Díky tomu můžeme odpovědět na otázku „jak heterogenní by organizace musela být, aby vůbec využila celou stupnici?“
Efektivní počet využitých úrovní dostupnosti podle „tempa organizace“, pro pět různě širokých rozpětí aktiv (σ udává rozpětí v řádech – σ = 1,0 tedy zhruba odpovídá aktivům rozprostřeným přes ~2 řády tolerovaného výpadku). Jak je patrné, plné rozlišení (využití všech 4 úrovní) osa nenabídne nikdy a i při velké šíři dosáhne ~3 úrovní jen organizace s tempem vystředěným do pásma oken (15 min – 1 den).
Z výše uvedeného grafu vyplývají tři informace. Za prvé, plné rozlišení (4 úrovně) osa dostupnosti nenabídne za žádných okolností. Za druhé, abychom se vůbec přiblížili třem využitým úrovním, musí být aktiva organizace rozprostřena přes ~2–3 řády tolerovaného výpadku (σ ≈ 1,0–1,4) a současně vystředěna přesně do pásma 15 minut – 1 den. To je velmi náročná dvojitá podmínka, neb organizace by musela mít zároveň hodně různorodá aktiva (taková, kterým nevadí výpadky týdny, taková, kterým nevadí výpadky dny, taková, kterým nevadí výpadky hodiny a taková, kterým vadí i výpadky v rozsahu několika minut) a její tempo by zároveň muselo být uprostřed těchto oken. Za třetí, pro tempa mimo střed pásma (provozy vyžadující bezpodmínečnou dostupnost v reálném čase, nebo naopak archivy, u nichž jsou dlouhodobější nedostupnosti stále přijatelné) rozlišení se významně smrští bez ohledu na rozpětí – u tempa v minutách klesá k ~1,8, u tempa v řádu týdnů k ~2,0 i při velmi širokém rozpětí (σ = 1,4).
Existuje ale ještě jeden prozaičtější argument, proč stupnice z vyhlášky z principu nemůže efektivně fungovat, a to, že krajní pásma jsou otevřená. Úroveň Kritická zahrnuje vše pod několik (v našem případě 15) minut a úroveň Nízká vše nad jeden pracovní den – obě úrovně tedy naplní jen aktiva ležící mimo pásmo oken. To je na první pohled na tabulku jasné, co jasné není je důsledek otevřených krajních pásem – i organizace, jejíž aktiva by byla ideálně rovnoměrně rozprostřena přes celé pásmo 15 minut – 1 den, využije efektivně jen ~1,7 úrovně. Rizika se totiž rozdělí pouze mezi dvě vnitřní pásma (Vysoká: 15 min – 8 h, Střední: 8 h – 1 den), která jsou navíc nestejně široká (~1,5 řádu vs. ~0,5 řádu), takže je ani ideální pokrytí nezaplní rovnoměrně. Plné čtyři úrovně osa nabídne teprve tehdy, když aktiva pásmo na obě strany přetečou (přesah o 50 % → ~3,5 úrovně, dvojnásobek → ~3,7). Stupnice je tedy „naprojektovaná“ tak, že dvě ze čtyř jejích úrovní se naplní pouze u organizací, jejichž tempo do pásma vůbec nespadá.
Výše uvedené přitom není dáno zvolenými prahy – aby nešlo namítnout, že popsaná interpretace oken (15 min / 8 h / 1 den) je účelová, byla celá simulace opakována pro tři různé sady prahů. Voleny byly tak, aby si každá zachovala zhruba stejně široké okno jako vyhláška (tedy přibližně dva řády tolerovaného výpadku), ale byla posunutá, jako by ji regulátor nastavoval pro jiný typ „typické“ organizace. Zjednodušeně si lze představit, že již zmiňovaná sada 15 min / 8 h / 1 den by mohla být zamýšlena pro běžnou kancelářskou organizaci (a je zároveň nejvěrnější dikci vyhlášky), sada 1 h / 1 den / 1 týden by pak mohla být určena pro tempově pomalejší či archivně zaměřené organizace s tolerancemi v řádu hodin až týdnů, a sada 5 min / 1 h / 8 h by naopak mohla být určena pro rychlejší organizace citlivé na latenci. Tyto tři sady tak nepředstavují žádnou konkrétní instituci – záměrně ohraničují celé pásmo voleb, které by rozumný analytik nebo regulátor mohl při výkladu záměrně neurčité dikce vyhlášky („několik minut“, „několik hodin“, „jeden pracovní den“, „jednotky týdnů“) učinit.
Možná překvapí, že výsledek je napříč všemi třemi sadami stejný – žádná z nich nedosáhne plného rozlišení a každá funguje (a to jen částečně) pouze pro organizaci, jejíž tempo náhodou padne přesně na její „vrchol“. I tam přitom dosáhne nanejvýš ~3 z efektivních 4 úrovní a mimo tento úzký vrchol rychle klesá pod hranici použitelnosti. Volba konkrétních prahů tedy jen posune, kde (vždy neúplný) vrchol leží, ale na podstatě věci nic nemění. Měnit ani nemůže, protože – stejně jako případu výše diskutovaných neduhů metodiky z vyhlášky – i zde jde o důsledek struktury metodiky. Čtyři pořadové úrovně se dvěma otevřenými krajními pásmy principiálně nedokáží efektivně rozlišit aktiva jedné organizace, jejíž tempo se typicky vejde do jednoho až dvou řádů, ať dělicí prahy položíme kamkoli.
Předpoklad, že se tempa aktiv jedné organizace typicky vejdou do jednoho až dvou řádů, přitom není svévolný. Plyne z toho, že organizace (tím spíše v rámci regulované služby) zpravidla zajišťuje úzce vymezenou sadu vzájemně provázaných služeb sdílejících tutéž infrastrukturu, tytéž lidi a tatáž provozní očekávání, a tedy i podobné požadavky na dobu zotavení. Banka řeší transakce v sekundách až minutách, nemocnice klinické systémy v minutách až hodinách, archiv data v týdnech apod. Málokterá organizace ale současně provozuje aktivum s tolerancí výpadku maximálně tří sekund i aktivum s tolerancí tří týdnů a ještě méně organizací pak bude obě tato aktiva využívat pro podporu regulované služby. Provázanost aktiv navíc tempo ještě stahuje k sobě – je-li koncová služba potřeba do hodiny, musí být do hodiny (či dříve) dostupné i systémy, na nichž závisí, takže se tolerance napříč závislostním řetězcem srovnávají. Ani tam, kde organizace skutečně pokrývá široké spektrum tolerancí výpadků u různých aktiv (typicky např. nemocnice), jsme si ukázali, že to k naplnění stupnice nestačí. Rozpětí přes jeden až dva řády tak není odhad „od oka“, ale rozumný horní odhad pro převážnou většinu reálných organizací, ostatně i kdyby byl u některé organizace širší, předchozí graf ukazuje, že plného rozlišení by stejně nedosáhla bez současného vystředění doprostřed pásma.
Efektivní počet využitých úrovní dostupnosti pro tři různé sady prahů oken (15 min / 8 h / 1 den, 1 h / 1 den / 1 týden, 5 min / 1 h / 8 h), při fixním rozpětí σ = 0,7. Žádná ze zkoumaných sad nedosáhne plného využití všech 4 úrovní dostupnosti – posun prahů jen přesouvá vrchol křivky k jinému tempu, ale nezvýší jej.
Pro názornost ukažme smrštění rozlišení na třech konkrétních profilech. U organizace potřebující fungovat v reálném čase (řízení významného OT / obchodování, tempo ≈ 2 min) spadne většina aktiv do úrovně Kritická, u běžné kancelářské či IT služby (tempo ≈ 4 h) většina do úrovně Vysoká a u „archivní“ organizace (tempo ≈ 2 týdny) většina do úrovně Nízká. V každém z těchto profilů neupravená stupnice z vyhlášky něco rozliší, ale ne vždy efektivně v celé šíři svého rozsahu…
Rozložení úrovní dostupnosti pro tři typy organizací (organizace s real-timovými systémy, běžná IT organizace a „archivní“ organizace). Uvnitř žádné z nich stupnice prakticky mnoho nerozliší – aktiva se vždy „nahrnou“ převážně do jediné dominantní úrovně.
Důsledek výše uvedeného je přímočarý – čím nižší je efektivní rozlišení určité osy/tabulky, tím méně informace tato osa do výsledného součinu vnáší – a o pořadí rizik pak rozhodují převážně osy zbývající. V tomto případě by tedy v součinu hodnota aktiva (dle dostupnosti) × hrozba × zranitelnost byly vždy podstatnější hodnoty hrozby a zranitelnosti, bez ohledu na to, jak důležitá by ve skutečnosti dostupnost pro danou organizaci byla. Nejde přitom o to, že by osa nabývala výhradně jediné hodnoty – jak je vidět z grafu výše, i nejvíce „stažené“ organizace zpravidla zasáhnou dvě sousední úrovně a naše pojetí „běžné IT organizace“ dokonce všechny čtyři (byť velmi nerovnoměrně). Problém je v tom, že převážná většina rizik se nahrne do jedné dominantní úrovně a zbytek převážně jen do jedné či dvou sousedních, takže osa reálně rozliší sotva ~1–2 efektivní úrovně ze čtyř.
Tento jev budeme ve zbytku článku označovat jako saturaci stupnice – stupnice sice formálně používá více úrovní, ale prakticky téměř nerozlišuje. V krajním případě (např. u jaderné elektrárny, kde obecně nejsou přijatelné významnější výpadky a pracuje se tak s ~1,0 efektivní úrovní) se osa skutečně blíží konstantě a součin se tak de facto redukuje jen na hrozba × zranitelnost. A jak jsme zmínili výše, i v mírnějších případech osa přispívá jen okrajově a ohodnocení rizika určují hlavně ostatní faktory. Přesně toto je mechanismus, díky němuž okna výpadků, která nejsou nastavena tak, aby odpovídala prostředí konkrétní organizace, vnáší do analýzy rizik šum.
Neb jsme zde možná až zbytečně detailně a dlouze (do hlavy mi v souvislosti s tím skáče americké přísloví o nesmyslnosti bití již zesnulého koně) diskutovali omezenou využitelnost výhradně u tabulky pro hodnocení dostupnosti, zmínku zaslouží, že úplně stejný „saturační mechanismus“ samozřejmě může postihnout i osu hrozby s jejími pevnými frekvenčními pásmy. Dává to smysl – malý poskytovatel cloudové služby, na jehož infrastrukturu útočníci míří prakticky nepřetržitě s pomocí automatizovaných nástrojů, neb je široce dostupná online, bude mít převahu hrozeb v úrovni Kritická, zatímco organizace bez jediného systému dostupného z internetu, a na níž relevantní hrozby útočí v důsledku toho zacílí zdánlivě jen výjimečně, bude mít převahu hrozeb v úrovni Nízká. V obou případech osa hrozby pochopitelně ztrácí podstatnou část své rozlišovací schopnosti…
Problematická číselná volba, kterou vyhláška nestanoví
Po použití vzorce „riziko = hodnota × hrozba × zranitelnost“ je třeba provést jednu technickou volbu, pro níž vyhláška neuvádí žádný detail, ačkoli se ukazuje, že na ní výsledek analýzy rizik závisí víc než na lecčem jiném. Touto volbou je jak převést součin 1–64 na čtyři výsledné úrovně rizika. Vyhláška žádné hranice mezi výslednými kategoriemi nestanoví a říká jen, že výsledek se má zařadit do jedné ze čtyř úrovní, ale nikoli kde mezi hodnotami 1 a 64 leží pomyslné dělicí čáry.
V rámci provedených simulací proto byly otestované i tři následující, principiálně stejně obhajitelné způsoby dělení:
- Kvantilové – hranice položené tak, aby byly výsledné kategorie zhruba rovnoměrně obsazené (prahy 4, 12, 36 – vzpomeňme, že rizikové skóre se sice pohybuje v rozsahu 1-64, ale reálně může skóre dosáhnout jen 16 hodnot z tohoto rozsahu).
- Rovnoměrné – rozsah skóre rozdělený na čtyři stejně široké intervaly (prahy 16, 32, 48).
- Geometrické – prahy rostoucí geometricky, odrážející logaritmickou povahu skóre (prahy 6, 18, 40).
Výsledek je, řekněme, lehce nešťastný – podle toho, který z těchto tří způsobů zvolíme, označí metodika za „Vysoké + Kritické“ (a tedy určené k povinnému řešení) mezi 13 % a 44 % všech rizik. Rozdílný přístup k převodu numerického skóre na kvalitativní vyjádření tedy způsobí více než trojnásobný rozdíl, aniž by se na hodnocení jediného aktiva, hrozby či zranitelnosti cokoli změnilo. Libovolné dva z výše uvedených způsobů se navíc neshodnou na zařazení 24–76 % rizik a u 15–31 % rizik se přímo rozcházejí v tom, zda riziko padne za hranici „přijatelné ↔ nutno řešit“.
Jinými slovy, dvě zcela identické organizace se zcela stejnými riziky při poctivém a doslovném plnění vyhlášky mohou dojít k podstatně odlišným plánům zvládání rizik, jen proto, že si zvolily jiné (vyhláškou nestanovené a zcela opodstatnitelné) pravidlo pro převod skóre na kategorie. A to určitě není žádoucí…
Přeřazení rizik mezi třemi potenciálně smysluplnými způsoby převodu součinu na výsledné kategorie. Sloupec „Změna kategorie“ ukazuje podíl rizik, která mezi dvojicí způsobů změní úroveň, sloupec „Překročí hranici“ pak podíl těch, u nichž se mění verdikt akceptovatelné ↔ nutné řešit.
Že nejde o pouhé kosmetické přerovnání rizik mezi kategoriemi, ale o reálně odlišné výstupy, ukazuje možná ještě lépe Jaccardův index popsaný výše.
Porovnáme-li jím množiny rizik, které jednotlivé způsoby dělení označí za neakceptovatelná (úrovně Vysoká + Kritická), vychází jejich vzájemná podobnost mezi třemi zkoumanými způsoby kategorizace v průměru pouhých 0,46. Nejhůře přitom dopadá porovnání dvojice kvantilový a rovnoměrný způsob (0,29), nejlépe pak kvantilový a geometrický způsob (0,67).
Převedeno do pochopitelnější podoby – ony dvě zcela identické, hypotetické organizace zmiňované výše se v případě, kdy budou využívat jiný mechanismus pro převod numerických skórů na kategorie, shodnou v průměru jen zhruba na polovině (a v nejhorším případě dokonce na necelé třetině) rizik, která je podle výsledku analýzy nutné řešit. Zbytek neakceptovatelných rizik se mezi nimi bude rozcházet.
Pro mechanismus, jehož celým smyslem je dát organizaci jednoznačnou prioritizaci rizik, u nichž je nezbytné aplikovat nápravná opatření (a dát auditorovi – i tomu přicházejícímu od regulátora – vodítko, zda řízení rizik funguje efektivně), jde o výsledek v podstatě diskvalifikující.
Principiální slabina práce s časovými okny
Na závěr přehledu neduhů metodiky z vyhlášky zaslouží zmínku ještě jedna drobnost vztažená k výše diskutovaným časovým oknům, s nimiž pracuje tabulka pro hodnocení dostupnosti aktiv, a to, kolik informace jedno časové okno nezbytně zahodí. Časové okno z principu zachytí jediný práh (tolerovaný výpadek), ale neřekne nám vůbec nic o tom, jak ztráta nad tímto prahem roste. Tento problém samozřejmě není vlastní pouze metodice z vyhlášky, ale postihuje jakoukoli metodiku, která považuje délku tolerovatelného výpadku aktiva za jediný indikátor hodnoty aktiva v oblasti dostupnosti.
Aby bylo možné prakticky ukázat, proč je výše uvedený přístup problematický, představme si dvě aktiva se stejným tolerovaným výpadkem 4 hodiny, a tedy se stejnou úrovní dostupnosti dle vyhlášky. U prvního aktiva roste ztráta po dosažení této doby lineárně s délkou výpadku (25 000 Kč za hodinu), u druhého naskočí po překročení prahu jednorázová smluvní či regulatorní pokuta ve výši 1 200 000 Kč. Je zjevné, že jediný výpadek v délce 5 hodin by měl pro organizaci výrazně rozdílné dopady (u druhého aktiva mnohonásobně vyšší), zatímco velmi dlouhý výpadek (např. týdenní) by byl naopak dražší u prvního aktiva, přestože z pohledu vyhlášky by bylo (za předpokladu identických zbylých vstupů) s oběma aktivy spojeno absolutně stejné riziko.
Jak by se v případě výše uvedených aktiv lišila skutečná roční očekávaná ztráta? Při realistickém, log-normálním rozdělení délek výpadků (konkrétně medián výpadku 2 hodiny, rozsah ~0,6 řádu, frekvence 2 výpadky za rok) vychází ALE prvního aktiva ≈ 148 tis. Kč/rok a druhého ≈ 737 tis. Kč/rok, tedy zhruba pětinásobný rozdíl. Jediné časové okno, do něhož by obě aktiva a s nimi spojená rizika padla, tento rozdíl nedokáže zachytit, protože „nevidí“ tvar ztrátové křivky nad prahem.
Dvě hypotetická aktiva se stejnou úrovní dostupnosti dle vyhlášky a ~5× rozdílnou skutečnou roční ztrátou – dobrá demonstrace toho, že jedno časové okno dostupnosti/tolerovatelného výpadku nedokáže samo o sobě říci nic o možných ztrátách.
Je v praxi možné smysluplně použít tabulky z vyhlášky bez jakýchkoli úprav?
Spojíme-li všechny výše uvedené poznatky dohromady, můžeme říci, že výchozí tabulky jsou bez překalibrování využitelné (a to pouze jako nástroj pro hrubé třídění rizik) jen tehdy, platí-li současně všechny následující podmínky:
- tolerované výpadky aktiv organizace spadají do pásma 15 minut až 1 den a rozprostření aktiv je dostatečné (přes ~2–3 řády), aby zaplnilo alespoň tři související úrovně dostupnosti,
- očekávaná frekvence realizace hrozeb spadá do pásma 0,2–12 událostí za rok (jinak osa hrozby saturuje podobně jako osa dostupnosti),
- velikosti možných dopadů jsou zhruba rovnoměrně rozprostřeny mezi hodnotové úrovně (po řádech), nikoli stlačené do jedné či dvou úrovní, a
- organizace si pevně zvolí jedno pravidlo pro převod součinu na kategorie, zdokumentuje jej a výsledek používá výhradně k odlišení rizik spadajících do jednotlivých kategorií (tedy odlišení Nízkého rizika od Kritického), a rizika ve stejné kategorii považuje za neseřazená.
Jaká organizace ale výše uvedená omezení splňuje? Neb každá organizace je jiná, samozřejmě není možné na tuto otázku jednoznačně odpovědět, aby však bylo možné alespoň částečně odhadnout, jaké reálné organizace by uvedené podmínky splňovat potenciálně mohly, byla provedena simulace pěti typů organizací/hypotetických povinných osob různé velikosti a sektoru. Podotýkám, že jde pouze o ilustrativní příklady/profily, kdy „banka“ nebo „nemocnice“ slouží jen jako snadno pochopitelná nálepka pro určitou kombinaci tempa, frekvence hrozeb a velikosti dopadů. Níže uvedené tedy prosím nevnímejte jako tvrzení o tom, jak přesně vypadá jakákoli konkrétní instituce, nebo potvrzení toho, že pro organizaci určitého typu jsou tabulky z vyhlášky bezpodmínečně vyhovující bez dodatečných úprav.
Resp., neb simulace byla zaměřena pouze na tabulku/osu dostupnosti (a okrajově na hrozby), protože právě tato tabulka je ve vyhlášce ukotvena v pevných číslech, můžeme stejně usuzovat pouze na to, zda by pro určitou organizaci byla vyhovující v nezměněné podobě tato tabulka.
Každý organizační profil byl simulován tak, že jeho tempo (připomeňme, že tímto termínem je myšlen medián tolerovaného výpadku), frekvence hrozeb a dopady byly generovány log-normálními rozděleními s parametry obecně odpovídajícími danému typu organizace (např. banka: tempo v jednotkách minut, dopady v desítkách milionů Kč, úřad: tempo ve dnech, dopady v jednotkách milionů Kč apod.). Log-normální bylo zvoleno proto, že – jak jsme diskutovali výše – nejlépe odpovídá realitě.
Pro každý profil je níže uvedená jeho dominantní úroveň dostupnosti (tedy úroveň, do níž „spadne“ nejvíce aktiv), efektivní počet využitých úrovní dostupnosti a hrozby a shoda výstupu se skutečnou ALE (τ):
| Typ organizace |
Dominantní úroveň dostupnosti |
Efekt. úrovně dostupnost / hrozba |
τ vs. ALE |
Použitelnost tabulek |
| Velká banka / platební služby |
Kritická |
1,9 / 3,3 |
0,67 |
Částečná, nutná kalibrace |
| Středně velká nemocnice |
Vysoká |
3,7 / 3,3 |
0,70 |
Použitelné pro hrubé třídění |
| Malý poskytovatel cloudové služby |
Vysoká |
1,9 / 2,2 |
0,67 |
Částečná, nutná kalibrace |
| Velký provozovatel energetické soustavy (OT) |
Kritická |
1,0 / 3,6 |
0,70 |
Nutná úprava (osa dostupnosti zcela saturuje) |
| Malý obecní úřad / veřejná správa |
Nízká |
2,5 / 3,0 |
0,70 |
Použitelné pro hrubé třídění |
Kolik úrovní stupnic dostupnosti a hrozby modelové typy organizací reálně využijí. Čárkovaná čára představuje binární práh (2 efektivní úrovně) – pod ním čtyřúrovňová škála nese méně informace než prosté „akceptovat / řešit“. Na ose dostupnosti pod něj padají tři z pěti profilů, zatímco osa hrozby funguje u většiny z nich.
Jednotlivé typy organizací zaslouží alespoň krátké vysvětlení:
- Velký provozovatel energetické soustavy (OT) reprezentuje organizaci, jejíž tempo je v sub-sekundách až minutách – z povahy energetické soustavy je pro takovou organizaci i vteřinový výpadek potenciálně vysoce významný, a téměř všechna rizika spojená s výpadky tak spadnou do úrovně Kritická (efektivně 1,0 úrovně, tedy osa dopadů na dostupnost fakticky nenese žádnou informaci). Okno s „podlahou“ v minutách totiž nerozliší výpadek ochranného mechanismu SIS, který musí reagovat v desítkách milisekund, od výpadku dohledového HMI s tolerancí výpadku 5 minut. Lehce ironické tedy je, že ačkoli vyhláška v § 27 průmyslová a řídicí aktiva výslovně reguluje, její vlastní výchozí stupnice pro hodnocení dostupnosti je pro ně zcela slepá.
- Malý poskytovatel cloudové/digitální služby reprezentuje organizaci se stejnorodým tempem v desítkách minut, která prakticky nepřetržitě musí řešit nápor automatizovaných útoků na dostupnost. Saturuje zde osa dostupnosti i osa hrozby (1,9 a 2,2 úrovně) a o výsledném riziku pak rozhoduje téměř výhradně hodnocení zranitelnosti. Bez úpravy stupnic nedává použití tabulek z vyhlášky smysl.
- Velká banka / platební služby: tempa velmi nesourodá (od sub-sekundového platebního systému po archivaci), medián v jednotkách minut ale stáhne většinu aktiv do úrovně Kritická. Hlavní potíží je, že v rámci téže úrovně dostupnosti se finanční dopady liší o řády, což okno nerozliší. I zde by byla pro efektivní použití nutná kalibrace tabulek.
- Středně velká nemocnice: díky své povaze přirozeně pokrývá široké spektrum – od systémů pro monitoring životních funkcí na JIP (minuty), přes klinické IT a OT systémy (hodiny), administrativní systémy (dny) až po archivní systémy (týdny). Osa dostupnosti využije ~3,7 úrovně a pásmo oken vhodně „prostřihne“. Výchozí tabulky z vyhlášky by zde tedy byly použitelné jako hrubé třídění i bez kalibrace.
- Malý obecní úřad: převážně administrativa a pro ni využívané systémy s tolerancí výpadků v řádu dnů a většina aktiv proto spadne do úrovně Nízká, ojedinělá aktiva s vysokými nároky na dostupnost (přístup k registrům, krizová komunikace) pak budou spadat do úrovně Vysoká či Kritická. Osa dostupnosti využije ~2,5 úrovně a poslouží tedy jako potenciálně rozumný hrubý třídicí mechanismus. Vedle „nemocnice“ uvedené výše jde tak o druhý z profilů, kde tabulky fungují nejlépe (byť zde by jim již pomohla významnější kalibrace).
Sečteno a podtrženo, podmínky pro alespoň částečně smysluplné použití nezměněných tabulek budou splňovat zpravidla středně velké, sektorově různorodé organizace se středním tempem. Pro časté případy mimo toto pásmo („real-time“ systémy a průmyslové řídicí mechanismy, služby citlivé na latenci, a naopak pomalé dávkové/archivní/back-office provozy) výchozí stupnice saturují a výstup je téměř konstantní nebo pořadově nekonzistentní.
Problémy nejsou jen česká specialita, aneb standardy ISO/IEC 27005 a NIST SP 800-30
Aby nevznikl dojem, že metodický aparát z české legislativy je jediným, který je hodný kritiky, byly stejné analýze popsané výše (stejná log-normální data, stejný etalon ALE) podrobeny i metodické přístupy ze dvou nejcitovanějších mezinárodních standardů pokrývajících problematiku řízení rizik v kybernetické bezpečnosti, a to z ISO/IEC 27005:2022 a NIST SP 800-30 Rev. 1. Pojďme se tedy podívat, jak si vedou tyto dvě alternativní metodiky.
Vzorový, čistě kvalitativní přístup z přílohy A normy ISO/IEC 27005 není možné jednoduše posoudit, neb žádná ze vzorových tabulek neobsahuje numerické hodnoty, o které by bylo možné se smysluplně opřít bez potřeby kalibrace pro konkrétní prostředí. Co však analýze podrobit můžeme, jsou vzorové tabulky u kvantitativního hodnocení, u nichž ISO doporučuje použít tzv. antilog přístup, při němž frekvenci i dopad vyjadřuje na logaritmické škále (úrovně odpovídají mocninám deseti, např. dopad 10² / 10³ / … / 10⁶ Kč, frekvence od ~1× za 10 let po ~1× za hodinu) a výsledné riziko získává součtem těchto logaritmicky odvozených úrovní. To je zásadní rozdíl oproti vyhlášce – součet logaritmů totiž odpovídá součinu skutečných hodnot (10³ × 10⁴ = 10⁷, tedy 3 + 4 = 7 na log-škále), takže ač navenek i ISO „jen sčítá úrovně“, ve skutečnosti provádí matematicky korektní násobení poměrových veličin. Přesně to je princip, který jsme jako „kalibrovaný součin“ zmiňovali výše.
Výsledek analýzy potvrzuje, že tento přístup je jednoznačně smysluplnější – na identických log-normálních datech dosáhl „antilog přístup“ dle ISO shody pořadí τ = 0,82 s pouhými 2,8 % převrácených dvojic, což je zdaleka nejlepší výsledek ze všech zkoumaných metod a výrazně lepší než vyhláška (τ = 0,70, 12 % převrácených dvojic). Jediná slabina doslovně převzatého přístupu z ISO normy byl vyšší podíl „nerozlišených“ dvojic (22 %), což ale není strukturální problém metodiky, jen důsledek hrubšího dělení do menšího počtu úrovní, který by bylo možné snadno eliminovat doplněním granulárnějších hodnot do frekvenčních a dopadových tabulek.
NIST SP 800-30 obsahuje vzorovou metodiku v přílohách G-I, přičemž příloha G obsahuje stupnici pro hodnocení pravděpodobnosti, příloha H stupnici pro hodnocení dopadu a příloha I obě veličiny kombinuje do výsledné úrovně rizika maticí I-2 o rozměrech 5x5. Na identických datech, na nichž byly ověřované oba zbylé přístupy, dosáhla tato metodika τ = 0,73 a jen 4 % převrácených dvojic. To však za cenu plných 31 % dvojic nerozlišených (matice má jen pět možných výstupních úrovní, takže u třetiny dvojic rizik prostě nedokáže rozlišit, které je vyšší). Dalo by se tedy říci, že přístup dle NIST chybuje v pořadí jen zřídka, ale je v posuzování jen velmi hrubý.
Metodiky z vyhlášky 409/2025, NIST SP 800-30 a ISO/IEC 27005 na identických (lognormálních) datech. Matematicky validní antilog přístup (ISO) si vede nejlépe a má nejméně obrácených dvojic, ordinální matice NIST chybuje v pořadí jen málo, ale je nejhrubší (má nejvíc nerozlišených dvojic), zatímco přístup z vyhlášky se svým násobením pořadových čísel má naopak nejvíc inverzí pořadí.
Závěr z tohoto srovnání je dvojí:
- Za prvé, slepé přejímání vzorových ordinálních tabulek je problematické bez ohledu na to, zda mají zdrojové materiály v záhlaví logo NÚKIB, NIST, nebo jakéhokoli jiného subjektu.
- Za druhé, jednoduchý a přesto matematicky validní přístup k hodnocení rizik existuje a je dokonce součástí jednoho z nejznámějších standardů v této oblasti. Zmínku přitom zaslouží, že přístup doporučovaný v ISO 27005 založený na využívání logaritmických škál nedává lepší výstupy než metodika z vyhlášky jen obecně, ale i pro v podstatě všechny naše modelové organizace popisované výše. U banky se při použití přístupu z ISO normy τ zvedlo z 0,67 na 0,77, u nemocnice z 0,69 na 0,82, u cloudu z 0,67 na 0,81 a u úřadu z 0,70 na 0,82. Jedinou výjimkou, která zůstala beze změny, byl OT profil (0,70 → 0,70), u něhož je osa dostupnosti v případě obou metodik irelevantní, protože o riziku rozhodují pouze frekvence a dopad. Shrnuto a podtrženo, logaritmické škály dávají podstatně přesnější výsledky než pevné ordinální tabulky a jejich obecné upřednostnění by tedy bylo namístě.
Závěr
Problematika efektivní a smysluplné analýzy rizik v kybernetické bezpečnosti rozhodně není jednoduchá, a nemá smysl tvářit se, že je tomu naopak. Jakákoli „jednoduše vypadající“ a „triviálně aplikovatelná“ metodika musí mít z principu významné nedostatky, což bohužel platí i u metodiky z vyhlášky.
Jak je demonstrováno výše, pro velké množství organizací z principu nemůže analýza rizik založená na beze změn převzatých tabulkách z vyhlášky dávat plně smysluplné výsledky, neb tyto tabulky nejsou (a z podstaty věci nemohou být) „nakalibrované“ na specifika konkrétních institucí, tedy na jejich velikost, hodnotu jejich aktiv, tempo jejich provozu, pro ně relevantní frekvence hrozeb ani jejich rizikový apetit. K tomu se navíc přidává matematicky neplatné násobení pořadových čísel, které může pořadí rizik i zcela převrátit, a navíc závislost výsledku na číselné volbě „akceptovatelného rizikového skóre“, pro níž vyhláška nestanoví žádné doporučení.
Pomineme-li principiálně nerozumný přístup k „násobení nenásobitelného“, dává v praxi doslovné přebírání celé metodiky včetně tabulek valnější smysl jen pro středně velké, sektorově různorodé organizace se středním tempem provozu, které navíc mají dopady realizací hrozeb rozprostřené přes více řádů a frekvence hrozeb v pásmu zhruba 0,2–12 událostí za rok. Pro jakékoli jiné organizace dává použití neupraveného metodického aparátu z vyhlášky výstupy, které jsou pro jejich prostředí jen velmi omezeně platné.
Proč je to problém? Protože tabulky z vyhlášky pro své analýzy rizik beze změny přebírá řada regulovaných organizací, tedy řada organizací, které jsou pro stát a pro občanskou společnost vysoce významné. Tyto organizace díky tomu již na úrovni základního mechanismu pro řízení kybernetické bezpečnosti musí (prokazatelně, jak je ukázáno výše) mnohdy dospívat k nevalidním závěrům. A řídit kybernetickou bezpečnost na základě nevalidních vstupů má asi stejný význam jako řídit na základě nevalidních vstupů cokoli jiného…
Co by tedy bylo vhodné provést, aby se situace zlepšila? Pojďme se nejprve podívat na to, co by mohl udělat regulátor.
Krátkodobě by se NÚKIB měl určitě zamyslet nad tím, zda by neměl z pozice regulátora u každé regulované organizace, která si tabulky neupravila, požadovat explicitní numerický důkaz o tom, že doslovně převzaté tabulky jsou pro její prostředí validní. Možná argumentace tím, že tabulky jsou (jen) vzorové, by byla lichá. Buď jsou tabulky jen vzorem, který je nutné upravit, a pak by regulátor měl jejich vhodnou úpravu kontrolovat (a absenci úpravy vytýkat), nebo si regulátor stojí za tím, že jsou tabulky obecně použitelné. V takovém případě by pak ale měl NÚKIB odborné komunitě představit smysluplnou argumentaci podloženou něčím, co numericky vyvrátí závěry výše uvedené analýzy. Třetí možnost, tedy že „tabulky sice nejsou použitelné pro všechny, ale nikdo nekontroluje, zda u těch regulovaných subjektů, které je používají, dávají smysl“, zjevně není obhajitelná, byť představuje častou soudobou praxi.
Ve střednědobém horizontu by pak bylo bezpochyby vhodné upravit metodiku ve vyhlášce tak, aby byla alespoň koncepčně smysluplná – tedy aby neobsahovala matematicky nevalidní „násobení nenásobitelného“ (a místo něj např. doporučovala onen výše diskutovaný „antilog přístup“ po vzoru ISO 27005) a aby místo zdánlivě univerzálních pevných tabulek nabízela buď tabulky výslovně označené jako výchozí, s vynucenou kalibrací, nebo rovnou metodu, jak si kalibrované tabulky odvodit. Konkrétně by mohla:
- U dostupnosti a u hrozeb nahradit dnešní úzká pevná okna buď širším, logaritmicky rozloženým výchozím rozsahem (orientačně: Kritická < 1 min, Vysoká 1 min – 1 h, Střední 1 h – 1 den, Nízká > 1 den), nebo – lépe – přímo pokynem „hranice úrovní položte do 25., 50. a 75. percentilu tolerovaných výpadků vlastních aktiv“ (a „hranice úrovní položte do 25., 50. a 75. percentilu očekávané frekvence realizace hrozeb“). Tím by se zajistilo, že stupnice budou pro každou organizaci nést maximum informace, místo aby pro značné procento z nich saturovaly.
- U důvěrnosti a integrity je situace jiná a je třeba si ji přiznat: tyto dvě dimenze nemají přirozenou číselnou osu, na jejíž percentily by šlo hranice posadit, takže je nelze kalibrovat stejně jako dostupnost či frekvenci. Nejčistším řešením by tedy bylo vyjádřit i jejich dopad v penězích – odhadnout, kolik by organizaci stálo vyzrazení (důvěrnost) nebo neoprávněná změna (integrita) daného aktiva – a zařadit je tak na tutéž peněžní osu dopadu jako dostupnost, díky čemuž by byly percentily nakalibrovány úplně stejně (což je obecně žádoucí). Tím by se tři oddělené stupnice C/I/A fakticky transformovaly do jediné konzistentní osy „dopad v Kč" (což mimochodem přesně odpovídá dvoufaktorovému i kvantitativnímu přístupu uvedenému v následujících doporučeních pro regulované organizace).
Zde je možné namítnout, že žádná kvalitativní analýza rizik z principu nebude dávat přesné výsledky, ani pokud by došlo k výše uvedeným změnám tabulek spojených s jejich povinnou kalibrací. Do jisté míry je to pravda, sám si však stojím za tím, že dobře zpracovaná kvalitativní analýza, v níž jsou explicitně popsány důvody pro volbu jednotlivých kvalitativních hodnocení, poskytuje přinejmenším dobrý podklad pro diskuzi a oponenturu rozhodování v oblasti kybernetické bezpečnosti, a je rozhodně lepší než nic. Podstatné však je, že analýza musí být dobře zpracovaná – tedy že jednotlivé kvalitativní stupně musí mít relevanci pro danou organizaci a její prostředí.
V této souvislosti je na místě zmínit, že v tuzemské bezpečnostní komunitě aktuálně probíhá záslužná snaha některých kolegů – např. Michala Hanuse a Miroslava Čermáka – o osvětu v oblasti smysluplného řízení rizik, zaměřená na prosazování plně kvantitativních analýz. S některými východisky kolegů se plně ztotožňuji – kvantitativní přístup je bezpochyby nejčistším řešením analýzy rizik a tento článek je toho ostatně sám ilustrací (všechny „rozsudky“ nad tabulkami z vyhlášky jsme vynesli právě s pomocí kvantitativního etalonu). Současně si ale, jak jsem již zmínil, nemyslím, že by použití čistě kvalitativních analýz bylo nezbytně špatné a nesmyslné. Kvalitativní přístup k hodnocení rizik je bezpochyby sub-optimální, nicméně vhodnými úpravami jej lze dostat alespoň do stavu, kdy může fungovat jako „hrubý třídič“ na rizika…
V souvislosti s tím zaslouží zmínit, že organizacím, které se mezi kvantitativním a kvalitativním přístupem nemohou aktuálně rozhodovat prostě proto, že na efektivní kvantifikaci rizik nemají lidi ani peníze, a jednoduchý kvalitativní přístup je tak pro ně jedinou reálnou možností, bych proto doporučil postupovat některou z cest popsaných níže (zralejším či personálně „bohatším“ organizacím bych pak rozhodně doporučil zvážit přechod na plně kvantitativní přístup).
Cesta první, efektivní, ale drobně náročnější: vše předělejte dle specifik vaší organizace
Vyhláška to, připomeňme, explicitně umožňuje (příloha 1 odst. 2, příloha 4 odst. 3). Postup je přitom přímočarý:
- Sepište si svá aktiva a pro každé z nich odhadněte tolerovaný výpadek, možný dopad realizace hrozeb v korunách a očekávanou frekvenci relevantních hrozeb (hrubé odhady stačí – pracujeme s řády).
- Hranice úrovní každé stupnice položte do geometrických kvartilů vašich vlastních dat (tedy do 25., 50. a 75. percentilu) – pokud budou vaše data i v budoucnu konzistentní se vzorkem užitým pro kalibraci, zaručíte tím, že všechny čtyři úrovně budou reálně využity a stupnice ponesou maximum informace.
- Zdokumentujte zvolené hranice i pravidlo převodu na výsledné kategorie ve své metodice hodnocení rizik (tu vyhláška v § 8 tak jako tak požaduje) a aktiva ve stejné kategorii považujte za neseřazená.
S tímto postupem pomůže skript kalibrace_tabulek.py, který je možné stáhnout zde a CSV šablona pro data o aktivech, která je k dispozici zde.
Výše zmíněný skript načte CSV s aktivy, které je mu možné předat jako parametr (pro každé aktivum je potřeba doplnit jen název, tolerovaný výpadek v hodinách, průměrný dopad realizace hrozby v Kč a frekvence hrozeb za rok), a následně ukáže, kolik úrovní výchozích tabulek vyhlášky konkrétní prostředí reálně využívá (a zda tedy dává smysl je v nezměněné podobě používat), a navrhne kalibrované hranice včetně reprezentativních hodnot jednotlivých pásem. Pokud skript spustíte bez parametru/bez vstupního CSV, vypíše vzorový výstup pro hypotetickou organizaci.
Ukázka vzorového výstupu ze skriptu
Kromě vyhodnocení tabulek z vyhlášky a návrhu nových, upravených mezí skript zároveň vypíše reprezentativní hodnoty každého pásma (geometrické průměry), s nimiž lze případně provést onen výše diskutovaný matematicky korektní kalibrovaný součin, namísto násobení zástupných ordinálních hodnot.
Že data získaná s pomocí výše uvedeného skriptu dávají smysluplnější vstupy než nekalibrované tabulky z vyhlášky demonstrují příklady tří simulovaných modelových typů organizací – malého úřadu, středně velké nemocnice a velké banky (parametry odpovídají profilům popsaným výše, byť vstupní hodnoty byly zvoleny drobně rozdílně: úřad má tempo ve dnech a dopady v jednotkách milionů Kč, nemocnice tempo v hodinách a dopady v jednotkách až desítkách milionů, banka tempo v minutách a dopady v desítkách milionů Kč). Kalibrace hranic zvedla efektivní využití všech stupnic na plné 4 úrovně a shodu výstupu se skutečným rizikem z τ = 0,46–0,60 na τ = 0,76–0,77. Pro ilustraci, jak rozdílné kalibrované tabulky pro různé typy organizací vycházejí je vhodné uvést následující tabulky (hodnoty jsou zaokrouhlené výstupy simulace).
| Stupnice dostupnosti (tolerovaný výpadek) |
Kritická |
Vysoká |
Střední |
Nízká |
| Malý úřad | < 14 h | 14–48 h | 48 h – 7 dní | > 7 dní |
| Nemocnice | < 30 min | 30 min – 4 h | 4–30 h | > 30 h |
| Velká banka | < 18 s | 18 s – 2 min | 2–13 min | > 13 min |
| Stupnice dopadu (hodnota aktiva) |
Nízká |
Střední |
Vysoká |
Kritická |
| Malý úřad | < 250 tis. Kč | 0,25–1 mil. Kč | 1–4 mil. Kč | > 4 mil. Kč |
| Nemocnice | < 0,4 mil. Kč | 0,4–2 mil. Kč | 2–10 mil. Kč | > 10 mil. Kč |
| Velká banka | < 2 mil. Kč | 2–12 mil. Kč | 12–77 mil. Kč | > 77 mil. Kč |
| Stupnice hrozby (frekvence/rok) |
Nízká |
Střední |
Vysoká |
Kritická |
| Malý úřad | < 0,3 | 0,3–0,8 | 0,8–2 | > 2 |
| Nemocnice | < 0,3 | 0,3–1 | 1–3 | > 3 |
| Velká banka | < 0,9 | 0,9–3 | 3–10 | > 10 |
Povšimněte si, že „Kritická“ dostupnost znamená pro úřad výpadek pod 14 hodin, zatímco pro banku výpadek pod 18 sekund, a že „Kritický“ dopad je pro úřad zhruba dvacetinou „Kritického“ dopadu banky. Přesně tohle je informace, kterou jednotná tabulka z vyhlášky z principu nemůže nést.
Rozlišovací schopnost osy dostupnosti (vlevo) a shoda výstupu se skutečným rizikem (vpravo) před a po kalibraci tabulek na vlastní data tří modelových typů organizací. „Skutečné riziko“ je opět vnímáno jako ALE (frekvence × pravděpodobnost × dopad ve skutečných korunách). Sloupec „kalibrované hranice + reprezentativní hodnoty“ ukazuje situaci, kdy byly hranice úrovní položeny do kvartilů vlastních dat a místo násobení pořadových čísel 1–4 se násobily skutečné reprezentativní hodnoty pásem namísto zástupných ordinálních hodnot.
Doplnění 1. 7. 2026 – Neb jsem byl jedním z kolegů z odborné komunity dotázán, co si počít se stupnicemi pro hodnocení důvěrnosti a integrity, když výše diskutujeme dostupnost, pojďme se blíže podívat i na tyto tabulky. Ty, na rozdíl od dostupnosti, frekvence a dopadu, nemají přirozenou číselnou osu, do jejíchž percentilů by šlo hranice úrovní posadit, a výše popsaný kalibrační postup na ně tedy nelze aplikovat přímo. Nejčistším řešením tedy je vyjádřit i dopad na důvěrnost a integritu v penězích – tedy u každého aktiva odhadnout, kolik by organizaci stálo vyzrazení (důvěrnost) nebo neoprávněná změna (integrita) daného aktiva – a zařadit tak i tyto dvě dimenze na tutéž peněžní osu „dopad v Kč", na níž leží už kalibrovaná stupnice dopadu (hodnota aktiva). Hranice úrovní pak můžeme nakalibrovat úplně stejně, tedy umístit je do kvartilů vlastních peněžních odhadů. Alternativně můžeme rovnou převzít pásma z již nakalibrované dopadové stupnice diskutované výše.
Tento převod má i důležitý vedlejší přínos. Hodnota aktiva se totiž typicky odvozuje od nejpodstatnějšího z dopadů na důvěrnost, integritu a dostupnost – a volba onoho „nejpodstatnějšího" je smysluplná jen tehdy, jsou-li všechny tři dopady vyjádřeny ve srovnatelných jednotkách. Porovnávat „Vysokou důvěrnost" s „Kritickou dostupností" naráží na přesně tentýž problém vzájemně neporovnatelných ordinálních škál, který jsme kritizovali výše, a převodem všech tří dimenzí na koruny jej můžeme odstranit, v návaznosti na což se výběr dominantního dopadu stane matematicky obhajitelným.
Cesta druhá – extrémně jednoduchá, snadno pochopitelná a vysvětlitelná: situaci si zjednodušte zahrnutím zranitelností do hodnocení hrozeb
Zranitelnost v kontextu řízení rizik z podstaty koreluje buď s pravděpodobností úspěšné realizace hrozby (považujeme-li zranitelnost za faktor, který realizaci hrozby usnadňuje), nebo s jejím dopadem (považujeme-li ji za faktor ovlivňující rozsah postižení aktiva). Dvoufaktorová analýza typu dopad × pravděpodobnost je tedy konceptuálně plně validní a vyhláška ji v odst. 5 přílohy 4 i explicitně připouští (počítá přitom se sloučením stupnic pro hodnocení hrozeb a zranitelností). Postup využití tohoto faktu pro zpracování smysluplnější analýzy rizik je velmi jednoduchý:
- Pro každé riziko (kombinaci aktivum–hrozba) odhadněte dopad v korunách a očekávanou frekvenci realizace za rok, již po zohlednění zranitelností a zavedených opatření.
- Stanovte si rizikový apetit jako částku v Kč/rok, kterou jste u jednotlivého rizika ochotni nést.
- Riziko následně určete s pomocí výpočtu dopad × frekvence (zde jde o korektní násobení poměrových veličin, jehož výsledkem je orientační ALE).
- Rizika přesahující apetit následně řešte, rizika pod apetitem akceptujte.
Tento postup automatizuje druhý skript dvoufaktorova_analyza.py, který je dostupný zde (a šablona k němu dostupná zde). Ten vedle automatického vyhodnocení rizik poskytuje i některé další výstupy.
Pokud budete tedy pro reporting směrem k vedení nebo pro potřeby auditu regulátora potřebovat i vizuální rizikovou matici, je možné ji vygenerovat z kvartilů vlastních dat ve formátu 4×4, které vám skript automaticky vypíše. Pozor ale na barevné rozlišení. Klasické rizikové matice bez rozmyslu barví buňky podle úhlopříčky (levý dolní roh „zelený“, pravý horní „červený“), nicméně to je důsledek jednoho z problematických bodů, který jsme kritizovali výše – úhlopříčka předpokládá, že posun o úroveň znamená na obou osách totéž, což neplatí. Správné je obarvit každou buňku podle toho, zda orientační ALE v jejím středu překračuje váš rizikový apetit, nebo ne (např. červeně = nad apetitem, nutno řešit / zeleně = pod apetitem, akceptovatelné). Hranice mezi „zelenou“ a „červenou“ pak obecně nekopíruje úhlopříčku.
Navíc oproti výše zmíněnému postupu skript provádí ještě závěrečnou kontrolu, u kolika rizik se zjednodušená matice shoduje s přesným výpočtem. „Přesným výpočtem“ je míněno přímé spočtení ALE = frekvence × dopad pro každé jednotlivé riziko z jeho skutečných čísel (nikoli z reprezentativních hodnot pásem). Kvalitativní riziková matice totiž každé riziko zařadí do buňky a použije reprezentativní hodnotu pásma, takže se může od přesného výpočtu drobně lišit. Skript proto na rizika, u nichž by matice a přesný výpočet daly odlišný verdikt, výslovně upozorní – a pro prioritizaci uvnitř téže buňky vždy doporučuje použít přesné ALE, nikoli polohu v matici.
Ukázka vzorového výstupu ze skriptu
Cesta třetí, optimální: přejděte na čísla
Pokud má vaše organizace vyšší úroveň bezpečnostní vyspělosti, dostatek ambice, dat i lidí, pak je, jak již bylo řečeno, nejčistším řešením nahradit ordinální matice plně kvantitativním modelem. Tedy Monte Carlo simulacemi nad log-normálními vstupy a křivkou překročení ztrát, jak je popisují metodika FAIR či Hubbard se Seiersenem.
Zmínku zaslouží, že žádná z tří výše uvedených možností není odchylkou od vyhlášky – naopak, byla by to přesně ta kalibrace, kterou vyhláška z principu tiše předpokládá, jen ji bohužel nevynucuje. Jak je v každém případě demonstrováno výše, výchozí tabulky by měly být pro organizace, které je chtějí využít, maximálně výchozím bodem vyžadujícím z jejich strany úpravu, nikoli hotovým vstupem do analýzy…
Doplnění 1. 7. 2026 – V reakci na další z připomínek z komunity, které ke mně dorazily, je na místě zdůraznit jedno důležité omezení, které mají první dvě z výše uvedených cest (a do jisté míry i celý tento článek) společné. A to, že všechny úvahy uvedené výše pracují zvlášť s jednotlivými riziky a s apetitem stanoveným pro tato jednotlivá rizika, a zkoumají tedy vždy jen, zda je jedno konkrétní riziko pod/nad hranicí, kterou je u něj organizace ochotna akceptovat.
Vůbec jsme přitom nediskutovali celkové (agregované) riziko organizace, tedy souhrn všech akceptovaných rizik za rok, ani to, zda tento souhrn zůstává v mezích celkového rizikového apetitu organizace. To je samozřejmě v podmínkách reálného světa podstatné, neb i velké množství jednotlivě akceptovatelných rizik může v součtu vytvářet celkové riziko, které by již vedení organizace za přijatelné nepovažovalo (nechme stranou, že závislosti mezi jednotlivými riziky mohou celkový obraz ještě významně změnit). Práci s agregovaným rizikem a jeho porovnání s celkovým apetitem je nicméně možné smysluplně řešit až při použití plně kvantitativních přístupů. U obou výše doporučovaných (semi-)kvalitativních cest bych proto doporučil mít výše uvedené omezení na paměti a agregovaný pohled na rizika zkusit vyhodnocovat alespoň orientačně.
Planeta OpenAlt
Czeva, CC BY-SA 4.0, via Wikimedia Commons
Jiří Eischmann 
Stejně jako většina Evropy i my v Brně jsme minulý týden zažili rekordní vlnu veder. Pro dům, který jsme dostavili před čtyřmi lety, to byla zajímavá zatěžkávací zkouška. Jak v ní obstál? 
Michal Špaček 
Jakub Cabal 
OpenAlt z.s. 
Wikimedia ČR na Veletrhu vědy v Praze
Ve společnosti v poslední době rezonuje zákaz sociálních sítí dětem a mladistvým. V některých zemích ho už zavádějí, u nás se o tomto kroku vážně diskutuje. Souhlasím s tím, že mainstreamové sociální sítě opravdu nejsou vhodné prostředí pro děti, ale nedokážu se ubránit dojmu, že jsme ten problém uchopili za špatný konec.