Leverandøraudits er et mareridt. Her er hvordan du gør dem en smule mindre tidskrævende.
Når I har identificeret og vurderet en risiko, har I grundlæggende fire muligheder for at håndtere den. At vide, hvilken strategi der er den rette – og hvornår – er forskellen på reaktiv brandslukning og en struktureret tilgang til risikostyring, der holder i praksis.
Hvor passer risikostyring ind i det større billede?
Risikostyring består typisk af fire trin: identificér, vurder, håndtér og overvåg.
De fire strategier i denne artikel hører alle til det tredje trin: håndtering af risikoen. Det er her, de fleste af de afgørende beslutninger bliver truffet.
1. Undgå risikoen
Nogle gange er den enkleste løsning også den bedste: Undlad den aktivitet, der skaber risikoen.
Forestil jer eksempelvis, at jeres virksomhed rekrutterer medarbejdere og indsamler følsomme oplysninger som helbredsoplysninger eller oplysninger om strafbare forhold. Hvis disse oplysninger bliver kompromitteret, kan konsekvenserne være alvorlige.
Den enkleste løsning? Lad være med at indsamle oplysningerne, hvis det ikke er strengt nødvendigt.
Ingen data, ingen risiko.
2. Reducér risikoen
Når en risiko ikke kan undgås helt, kan den ofte reduceres.
Risiko afhænger af både sandsynlighed og konsekvens. Hvis I reducerer én af delene, reducerer I også den samlede risiko.
Mange kontroller inden for informationssikkerhed handler om at reducere sandsynligheden – eksempelvis firewalls, adgangskontrol og træning i at identificere phishing.
Andre tiltag fokuserer på konsekvensen. En solid backupstrategi forhindrer eksempelvis ikke et ransomwareangreb, men den kan reducere skaden betydeligt, hvis et angreb finder sted.
3. Overfør risikoen
Nogle gange er den bedste løsning at overføre risikoen til en anden part, der er bedre rustet til at håndtere den.
Det kan eksempelvis være ved at outsource en del af databehandlingen til en leverandør med stærkere sikkerhedskontroller eller ved at tegne en forsikring, der dækker bestemte risici.
At overføre en risiko er ikke det samme som at ignorere den. Det er en bevidst beslutning om, hvem der skal bære risikoen – og den beslutning skal træffes på et velinformeret grundlag.
4. Acceptér risikoen
Denne strategi bliver ofte misforstået. At acceptere en risiko kan lyde som at give op. Men når det gøres rigtigt, er det langt fra tilfældet.
I kan vælge at acceptere en risiko, fordi den er lav, fordi det ikke er realistisk at undgå, reducere eller overføre den, eller fordi omkostningerne ved at håndtere den overstiger det potentielle tab, hvis risikoen bliver til virkelighed.
Alle disse kan være legitime grunde – så længe beslutningen er bevidst, dokumenteret og truffet af den rette person.
Det sidste er vigtigt. Jeres governance-struktur bør tydeligt definere, hvem der har mandat til at acceptere hvilke risici og på hvilket niveau.
Mindre risici kan eksempelvis accepteres af en risikoansvarlig eller en specialist inden for informationssikkerhed. Større risici vil typisk kræve godkendelse fra ledelsen.
En enkel måde at se forskellen på er:
At acceptere en risiko uden en proces er blot at ignorere den. At acceptere den gennem en struktureret proces er risikostyring.