SlideShare a Scribd company logo
Měření operačních rizik  29/5/2008 Praha Jan Mikulecký, CISM
Operační rizika Měření operačních rizik 2 Banky a jiné finanční organizace:BASEL II Rizika ztráty vyplývajícíz nedostatečně či chybněnastavených interních procesů, z chyb způsobených lidmi, systémy nebo externími vlivy Ostatní organizace:PROVOZNÍ RIZIKA Riziko spojené s informačnímisystémy, informacemi a daty
Měření Měření velikosti operačních rizik Výsledek analýzy rizik Míra rizika Kvantifikace velikosti rizika Měření úrovně zvládání operačních rizik Výsledek zvládání rizik Stav bezpečnosti z pohledu zvládaných a akceptovaných rizik Kvantifikace pokrytí rizik a úrovně bezpečnosti v organizaci Měření přínosů bezpečnosti Zvýšení bezpečnosti Měření efektivnosti bezpečnostních opatření Měření operačních rizik 3
Výstupy z měření Měření operačních rizik 4
5 Měření operačních rizik
Měření velikosti operačních rizik Měření operačních rizik 6
Měření úrovně zvládání operačních rizik Měření operačních rizik 7
Měření úrovně zvládání operačních rizik Měřit zvládání rizik = měřit  bezpečnostní opatření Měření operačních rizik 8
Velikost vs. zvládání Měření operačních rizik 9 Konsolidace pohledu na rizika Velikost rizika vs. počty zavedených a nezavedených opatření Celkový pohled na rizika a úroveň jejich pokrytí
Velikost vs. zvládání Měření operačních rizik 10
Metriky pro protiopatření Měření operačních rizik 11
Měření přínosů zvládání operačních rizik Opatření rozdělena do skupin, oblastí, projektů… Case study: Implementační projekty pro: Log Management Dvoufaktorová autentizace pro VPN Poplachy IPS a IDS Havarijní plány Práce s médii Měření přínosů = měření změny v opatřeních Měření operačních rizik 12
Měření přínosů zvládání operačních rizik Měření operačních rizik 13
Měření operačních rizik Měření velikosti rizik Měření úrovně zvládánírizik Měření přínosů bezpečnosti Měření operačních rizik 14
15 Měření operačních rizik Děkuji za pozornost27@rac.cz

More Related Content

Featured

2024 State of Marketing Report – by Hubspot
2024 State of Marketing Report – by Hubspot2024 State of Marketing Report – by Hubspot
2024 State of Marketing Report – by Hubspot
Marius Sescu
 
Everything You Need To Know About ChatGPT
Everything You Need To Know About ChatGPTEverything You Need To Know About ChatGPT
Everything You Need To Know About ChatGPT
Expeed Software
 
Product Design Trends in 2024 | Teenage Engineerings
Product Design Trends in 2024 | Teenage EngineeringsProduct Design Trends in 2024 | Teenage Engineerings
Product Design Trends in 2024 | Teenage Engineerings
Pixeldarts
 
How Race, Age and Gender Shape Attitudes Towards Mental Health
How Race, Age and Gender Shape Attitudes Towards Mental HealthHow Race, Age and Gender Shape Attitudes Towards Mental Health
How Race, Age and Gender Shape Attitudes Towards Mental Health
ThinkNow
 
AI Trends in Creative Operations 2024 by Artwork Flow.pdf
AI Trends in Creative Operations 2024 by Artwork Flow.pdfAI Trends in Creative Operations 2024 by Artwork Flow.pdf
AI Trends in Creative Operations 2024 by Artwork Flow.pdf
marketingartwork
 
Skeleton Culture Code
Skeleton Culture CodeSkeleton Culture Code
Skeleton Culture Code
Skeleton Technologies
 
PEPSICO Presentation to CAGNY Conference Feb 2024
PEPSICO Presentation to CAGNY Conference Feb 2024PEPSICO Presentation to CAGNY Conference Feb 2024
PEPSICO Presentation to CAGNY Conference Feb 2024
Neil Kimberley
 
Content Methodology: A Best Practices Report (Webinar)
Content Methodology: A Best Practices Report (Webinar)Content Methodology: A Best Practices Report (Webinar)
Content Methodology: A Best Practices Report (Webinar)
contently
 
How to Prepare For a Successful Job Search for 2024
How to Prepare For a Successful Job Search for 2024How to Prepare For a Successful Job Search for 2024
How to Prepare For a Successful Job Search for 2024
Albert Qian
 
Social Media Marketing Trends 2024 // The Global Indie Insights
Social Media Marketing Trends 2024 // The Global Indie InsightsSocial Media Marketing Trends 2024 // The Global Indie Insights
Social Media Marketing Trends 2024 // The Global Indie Insights
Kurio // The Social Media Age(ncy)
 
Trends In Paid Search: Navigating The Digital Landscape In 2024
Trends In Paid Search: Navigating The Digital Landscape In 2024Trends In Paid Search: Navigating The Digital Landscape In 2024
Trends In Paid Search: Navigating The Digital Landscape In 2024
Search Engine Journal
 
5 Public speaking tips from TED - Visualized summary
5 Public speaking tips from TED - Visualized summary5 Public speaking tips from TED - Visualized summary
5 Public speaking tips from TED - Visualized summary
SpeakerHub
 
ChatGPT and the Future of Work - Clark Boyd
ChatGPT and the Future of Work - Clark Boyd ChatGPT and the Future of Work - Clark Boyd
ChatGPT and the Future of Work - Clark Boyd
Clark Boyd
 
Getting into the tech field. what next
Getting into the tech field. what next Getting into the tech field. what next
Getting into the tech field. what next
Tessa Mero
 
Google's Just Not That Into You: Understanding Core Updates & Search Intent
Google's Just Not That Into You: Understanding Core Updates & Search IntentGoogle's Just Not That Into You: Understanding Core Updates & Search Intent
Google's Just Not That Into You: Understanding Core Updates & Search Intent
Lily Ray
 
How to have difficult conversations
How to have difficult conversations How to have difficult conversations
How to have difficult conversations
Rajiv Jayarajah, MAppComm, ACC
 
Introduction to Data Science
Introduction to Data ScienceIntroduction to Data Science
Introduction to Data Science
Christy Abraham Joy
 
Time Management & Productivity - Best Practices
Time Management & Productivity -  Best PracticesTime Management & Productivity -  Best Practices
Time Management & Productivity - Best Practices
Vit Horky
 
The six step guide to practical project management
The six step guide to practical project managementThe six step guide to practical project management
The six step guide to practical project management
MindGenius
 
Beginners Guide to TikTok for Search - Rachel Pearson - We are Tilt __ Bright...
Beginners Guide to TikTok for Search - Rachel Pearson - We are Tilt __ Bright...Beginners Guide to TikTok for Search - Rachel Pearson - We are Tilt __ Bright...
Beginners Guide to TikTok for Search - Rachel Pearson - We are Tilt __ Bright...
RachelPearson36
 

Featured (20)

2024 State of Marketing Report – by Hubspot
2024 State of Marketing Report – by Hubspot2024 State of Marketing Report – by Hubspot
2024 State of Marketing Report – by Hubspot
 
Everything You Need To Know About ChatGPT
Everything You Need To Know About ChatGPTEverything You Need To Know About ChatGPT
Everything You Need To Know About ChatGPT
 
Product Design Trends in 2024 | Teenage Engineerings
Product Design Trends in 2024 | Teenage EngineeringsProduct Design Trends in 2024 | Teenage Engineerings
Product Design Trends in 2024 | Teenage Engineerings
 
How Race, Age and Gender Shape Attitudes Towards Mental Health
How Race, Age and Gender Shape Attitudes Towards Mental HealthHow Race, Age and Gender Shape Attitudes Towards Mental Health
How Race, Age and Gender Shape Attitudes Towards Mental Health
 
AI Trends in Creative Operations 2024 by Artwork Flow.pdf
AI Trends in Creative Operations 2024 by Artwork Flow.pdfAI Trends in Creative Operations 2024 by Artwork Flow.pdf
AI Trends in Creative Operations 2024 by Artwork Flow.pdf
 
Skeleton Culture Code
Skeleton Culture CodeSkeleton Culture Code
Skeleton Culture Code
 
PEPSICO Presentation to CAGNY Conference Feb 2024
PEPSICO Presentation to CAGNY Conference Feb 2024PEPSICO Presentation to CAGNY Conference Feb 2024
PEPSICO Presentation to CAGNY Conference Feb 2024
 
Content Methodology: A Best Practices Report (Webinar)
Content Methodology: A Best Practices Report (Webinar)Content Methodology: A Best Practices Report (Webinar)
Content Methodology: A Best Practices Report (Webinar)
 
How to Prepare For a Successful Job Search for 2024
How to Prepare For a Successful Job Search for 2024How to Prepare For a Successful Job Search for 2024
How to Prepare For a Successful Job Search for 2024
 
Social Media Marketing Trends 2024 // The Global Indie Insights
Social Media Marketing Trends 2024 // The Global Indie InsightsSocial Media Marketing Trends 2024 // The Global Indie Insights
Social Media Marketing Trends 2024 // The Global Indie Insights
 
Trends In Paid Search: Navigating The Digital Landscape In 2024
Trends In Paid Search: Navigating The Digital Landscape In 2024Trends In Paid Search: Navigating The Digital Landscape In 2024
Trends In Paid Search: Navigating The Digital Landscape In 2024
 
5 Public speaking tips from TED - Visualized summary
5 Public speaking tips from TED - Visualized summary5 Public speaking tips from TED - Visualized summary
5 Public speaking tips from TED - Visualized summary
 
ChatGPT and the Future of Work - Clark Boyd
ChatGPT and the Future of Work - Clark Boyd ChatGPT and the Future of Work - Clark Boyd
ChatGPT and the Future of Work - Clark Boyd
 
Getting into the tech field. what next
Getting into the tech field. what next Getting into the tech field. what next
Getting into the tech field. what next
 
Google's Just Not That Into You: Understanding Core Updates & Search Intent
Google's Just Not That Into You: Understanding Core Updates & Search IntentGoogle's Just Not That Into You: Understanding Core Updates & Search Intent
Google's Just Not That Into You: Understanding Core Updates & Search Intent
 
How to have difficult conversations
How to have difficult conversations How to have difficult conversations
How to have difficult conversations
 
Introduction to Data Science
Introduction to Data ScienceIntroduction to Data Science
Introduction to Data Science
 
Time Management & Productivity - Best Practices
Time Management & Productivity -  Best PracticesTime Management & Productivity -  Best Practices
Time Management & Productivity - Best Practices
 
The six step guide to practical project management
The six step guide to practical project managementThe six step guide to practical project management
The six step guide to practical project management
 
Beginners Guide to TikTok for Search - Rachel Pearson - We are Tilt __ Bright...
Beginners Guide to TikTok for Search - Rachel Pearson - We are Tilt __ Bright...Beginners Guide to TikTok for Search - Rachel Pearson - We are Tilt __ Bright...
Beginners Guide to TikTok for Search - Rachel Pearson - We are Tilt __ Bright...
 

Jan Mikulecký: Měření operačních rizik (ISS 2008)

  • 1. Měření operačních rizik 29/5/2008 Praha Jan Mikulecký, CISM
  • 2. Operační rizika Měření operačních rizik 2 Banky a jiné finanční organizace:BASEL II Rizika ztráty vyplývajícíz nedostatečně či chybněnastavených interních procesů, z chyb způsobených lidmi, systémy nebo externími vlivy Ostatní organizace:PROVOZNÍ RIZIKA Riziko spojené s informačnímisystémy, informacemi a daty
  • 3. Měření Měření velikosti operačních rizik Výsledek analýzy rizik Míra rizika Kvantifikace velikosti rizika Měření úrovně zvládání operačních rizik Výsledek zvládání rizik Stav bezpečnosti z pohledu zvládaných a akceptovaných rizik Kvantifikace pokrytí rizik a úrovně bezpečnosti v organizaci Měření přínosů bezpečnosti Zvýšení bezpečnosti Měření efektivnosti bezpečnostních opatření Měření operačních rizik 3
  • 4. Výstupy z měření Měření operačních rizik 4
  • 6. Měření velikosti operačních rizik Měření operačních rizik 6
  • 7. Měření úrovně zvládání operačních rizik Měření operačních rizik 7
  • 8. Měření úrovně zvládání operačních rizik Měřit zvládání rizik = měřit bezpečnostní opatření Měření operačních rizik 8
  • 9. Velikost vs. zvládání Měření operačních rizik 9 Konsolidace pohledu na rizika Velikost rizika vs. počty zavedených a nezavedených opatření Celkový pohled na rizika a úroveň jejich pokrytí
  • 10. Velikost vs. zvládání Měření operačních rizik 10
  • 11. Metriky pro protiopatření Měření operačních rizik 11
  • 12. Měření přínosů zvládání operačních rizik Opatření rozdělena do skupin, oblastí, projektů… Case study: Implementační projekty pro: Log Management Dvoufaktorová autentizace pro VPN Poplachy IPS a IDS Havarijní plány Práce s médii Měření přínosů = měření změny v opatřeních Měření operačních rizik 12
  • 13. Měření přínosů zvládání operačních rizik Měření operačních rizik 13
  • 14. Měření operačních rizik Měření velikosti rizik Měření úrovně zvládánírizik Měření přínosů bezpečnosti Měření operačních rizik 14
  • 15. 15 Měření operačních rizik Děkuji za pozornost27@rac.cz

Editor's Notes

  1. Zde představuji měření dvou veličin týkajících se operačních rizik… velikost a úroveň zvládání. Dnes již dokážeme měřit i další parametry: přínosy bezpečnosti (viz konference ISACA IT Governance) a nebo efektivnost bezp. opatření – i když to je zatím spíše teoretická záležitostRád bych se soustředil na měření úrovně zvládání rizik, protože měření velikosti je založeno na analýze rizik a tím bych zde velmi nerad zdržoval. Měření přínosů bezpečnosti je taková třešnička na dortu, kterou představím na konci příspěvku. Měřit efektivnost protiopatření považuji zatím za ne zcela prozkoumanou problematiku, tak bych si dovolil ji nechat pro ISS v roce 2009-10 ;-)Soustřeďme se tedy na měření zvládání rizik… měřit zvládání rizika je prostředkem k tomu, abychom dokázali říci, jestli jsou naše systémy a informace dostatečně chráněné… jedna věc je, říci, že máme velké riziko nebo riziko míry 10, ale musíme také dodat, že riziko zvládáme, a do jaké míry… ze 100% nebo jen z 40%... Jaké vstupy, parametry nebo veličiny použijeme k tomu, abychom byli schopni objektivně říci: „Riziko máme pokryté z 80%“??? O tom je zejména tato přednáška… o tom, jak dojít ke konkrétním číslům, která vyjadřují úroveň zvládání rizik.
  2. Co by mělo být UCHOPITELNÝM výstupem z měření operačních rizik – nebo bezpečnosti obecně???Grafy, tabulky, čísla, statistiky…
  3. Jak jsem říkal na začátku… všechno je to o číslech… ale zatím zde nezazněla ta jedna zásadní otázka: „Proč potřebujeme ta čísla?“… proč potřebujeme všechny ty veličiny kvantifikovat…………..ANO, důvodem jsou peníze… když si jdeme koupit rohlík, tak nám prodavačka řekne: „dvě padesát“ a neřekne: „dejte mi trochu peněz“… když si jdete koupit novou A4My měříme, abychom získali čísla, kterou mohou být postavena zejména proti penězům!!!s
  4. Abychom mohli měřit zvládání rizik, musíme vědět, jak jsou rizika veliká… tento graf ukazuje velikost, chcete-li míru různých bezpečnostních rizik… máme zde viry, krádeže a poškození, selhání komunikace atd.Nechme teď prosím doma svoje různé metodiky a nástroje pro hodnocení rizik a jistě se všichni shodneme, že míra rizika je složena z potenciálního dopadu a pravděpodobnosti. Tento obrázek je výstupem z analýzy rizik a ukazuje velikost rizika složenou z velikosti dopadu a dvou složek pravděpodobnosti – úrovně hrozeb a úrovně zranitelností. Věřím, že pro všechny z vás nic nového pod sluncem… Jen jsme tomu do této doby neříkali, že rizika měříme… takže můžeme prohlásit, že ten, kdo umí udělat analýzu rizik a umí rizika kvantifikovat, umí je také měřit… jednoduché, že? ;-)
  5. Co už není tak jasné, je měření toho, jak rizika zvládáme… když jsme dělali tento projekt v bance, dostali jsme od našich partnerů v projektu jednoduchou otázku: „Jaká je úroveň naší bezpečnosti?“Co by měla být odpověď? Dobrá… dostatečná… vyhovující… nebo naopak nedostatečná… slabá…??? Je vůbec vhodné používat tato adjektiva, když se bavíme o úrovni bezpečnosti? …ale ano, proč ne, nicméně není lepší říci (když používáme termín úroveň: „Jsme se na 77% požadovaného stavu“… „Bankovní systémy jsou zabezpečeny pouze na 92%“… „Pokrýváme operační rizika z 85%“… jak můžeme získat tato čísla?
  6. Pro každé riziko, které není akceptováno, musí být implementována bezpečnostní opatření… návrh opatření se provádí na základě velikosti rizika, jeho typu, způsobného následku a také podle typu hardwaru, softwaru... Uvažujeme kulturu firmy, organizační strukturu atd.Bezpečnostní opatření je možné rozdělit do svou skupin… ta, která již existují a ta, která bychom chtěli, aby byla zavedena v systému, organizaci apod.Samozřejmě, že podle různých metodik a standardů můžeme zvolit více stavů, ale důležité je, že bezpečnostní opatření pro zvládnutí rizik rozdělíme na dvě skupiny: ty co máme a ty co chceme mítCílem měření úrovně zvládání rizik je kvantifikace úrovně bezpečnosti skrze protiopatření… princip je velmi jednoduchý - pokud dokážeme spočítat, kolik opatření je v zelené množině ZAVEDENO a kolik je v červené množině CHCEME ZAVÉST, dokážeme měřit úroveň bezpečnosti.Tento graf ukazuje, jakým způsobem můžeme měřit úroveň zvládání rizik – vidíte zde znovu stejné hrozby jako v předchozím grafu, ale nyní z pohledu bezpečnostních opatřeníPokud je metodika pro hodnocení rizik dostatečně transparentní, měli bychom bez problémů získat počty protiopatření, které pokrývají konkrétní riziko (pokud jich pokrývá více, je započteno několikrát). A následně už je velmi jednoduché sestavit takovýto graf, který ukazuje, do jaké míry zvládáme konkrétní riziko.Úmyslně není uvedena škála a mohou to být např. procenta.
  7. A teď zkusíme jednotlivá měření rizik konsolidovat… vytvoříme souhrnný pohled na velikost rizik a míru jejich pokrytí – zvládáníVelikost rizika změřit dokážeme… to je výstup z hodnocení rizikA pokud tedy dokážeme změřit bezpečností opatření
  8. Vraťme se k prvnímu grafu… zde jsou změřená rizika… pokud je postavíme proti statistice protiopatření, co vidíme?Velikost rizika a úroveň jejich zvládání… toto je komplexní pohled na rizika, který musíme mít, pokud chceme říci, že rizika opravdu řídíme, pokud chceme navýšit budget atd.