Orice evaluare de securitate produce o listă de riscuri. Provocarea nu este să le identifici, ci să decizi ce rezolvi mai întâi. La Dataeye pornim de la un principiu simplu: separăm ce este critic de ce este doar de bifat. Instrumentul de bază este evaluarea fiecărui risc pe două axe: probabilitate și impact.
Probabilitatea: cât de credibil este scenariul?
Folosim o scală de la 1 la 5:
- 1 – Improbabil: eveniment excepțional, fără indicatori relevanți;
- 2 – Puțin probabil: poate apărea în anumite condiții;
- 3 – Posibil: scenariu credibil, susținut de factori sau dependențe concrete;
- 4 – Probabil: există semnale clare sau controale insuficiente;
- 5 – Aproape sigur: materializarea riscului este iminentă, recurentă sau deja începută.
Impactul: ce se întâmplă dacă riscul se materializează?
Impactul se evaluează tot pe o scală de la 1 la 5, de la Foarte redus (efect minor, fără consecințe semnificative) la Critic (poate conduce la întreruperea activității, incidente operaționale sau consecințe serioase). Contează nu doar perspectiva tehnică, ci și efectul asupra business-ului: disponibilitatea serviciilor, confidențialitatea datelor, obligațiile legale și reputația.
De la scor la decizie
Combinând cele două scoruri obții nivelul de expunere al fiecărui risc. Un risc probabil cu impact critic ajunge în vârful listei; un risc improbabil cu impact redus poate fi monitorizat sau acceptat temporar, în mod asumat și documentat.
Pentru ca deciziile să fie rapide și predictibile, stabilim de la început toleranțele și pragurile de escaladare. Riscurile scăzute sau moderate sunt gestionate la nivel operațional, cele ridicate sunt analizate în cadrul întâlnirilor de proiect, iar cele critice sunt escaladate fără întârziere către nivelul de decizie corespunzător.
Fiecare risc are un responsabil
O listă de riscuri fără responsabili rămâne o listă. Fiecare risc din registru are un responsabil desemnat, iar acțiunile de răspuns sunt atribuite și urmărite până la finalizare. Riscurile sunt reevaluate periodic, pentru că și contextul se schimbă: apar sisteme noi, furnizori noi sau cerințe noi.
Rezultatul este un plan de acțiune clar: ce trebuie rezolvat, în ce ordine, cu ce resurse și în ce interval de timp. Asta înseamnă să transformi informațiile tehnice în decizii clare și pași concreți.
