FAIR – dlaczego ryzyko warto rozłożyć na czynniki?
Ocena ryzyka często kojarzy się z wyborem prawdopodobieństwa i skutku, a następnie przypisaniem wyniku do kategorii: niskie, średnie lub wysokie. Ale skąd wiadomo, jakie prawdopodobieństwo przyjąć? Co rzeczywiście wpływa na możliwość wystąpienia zdarzenia? I jak uwzględnić skuteczność istniejących zabezpieczeń?
Na te pytania odpowiada FAIR (Factor Analysis of Information Risk) - uznany międzynarodowy model analizy ryzyka informacji.
Od praktyki zarządzania do międzynarodowego standardu
FAIR powstał na początku XXI wieku w Stanach Zjednoczonych. Jego twórcą jest Jack Jones, specjalista zarządzania ryzykiem, który rozpoczął prace nad modelem w 2001 roku, pełniąc funkcję dyrektora bezpieczeństwa informacji (CISO) w Nationwide Insurance.
Punktem wyjścia był praktyczny problem: jak uzasadniać wydatki na bezpieczeństwo i wyjaśniać kierownictwu, o ile proponowane zabezpieczenia rzeczywiście zmniejszą ryzyko?
Model zyskał uznanie środowiska specjalistów. Został przyjęty do standaryzacji przez międzynarodową organizację The Open Group, a jego rozwój jest obecnie wspierany przez FAIR Institute, organizację non-profit utworzoną w 2016 roku. W styczniu 2025 roku opublikowano wersję FAIR Model 3.0.
Ryzyko nie jest pojedynczą liczbą
Podstawowym założeniem FAIR jest definiowanie ryzyka przez dwa elementy:
Częstotliwość występowania zdarzeń powodujących stratę – jak często może dojść do niekorzystnego zdarzenia?
Wielkość potencjalnej straty – jakie będą jego konsekwencje?
FAIR idzie jednak dalej. Każdy z tych elementów rozkłada na kolejne czynniki, które pomagają wyjaśnić, skąd bierze się poziom ryzyka.
Przykładowo, na możliwość wystąpienia straty wpływają częstotliwość kontaktu z zagrożeniem, prawdopodobieństwo podjęcia działania przez sprawcę, jego możliwości oraz skuteczność mechanizmów ochronnych.
Dzięki takiemu podejściu ocena ryzyka nie musi opierać się wyłącznie na intuicji analityka.
Czynniki ryzyka – zrozumieć przyczyny, zanim ocenimy skutki
Jedną z najważniejszych idei FAIR jest analiza czynników determinujących ryzyko.
Rozważmy przykład nieuprawnionego dostępu do systemu informatycznego.
Brak uwierzytelniania wieloskładnikowego, nadmierne uprawnienia użytkowników czy nieaktualne oprogramowanie nie są jeszcze zdarzeniami powodującymi stratę. Są warunkami, które mogą ułatwić ich wystąpienie.
Co istotne, ten sam czynnik może wpływać na wiele scenariuszy ryzyka. Nadmierne uprawnienia mogą sprzyjać zarówno ujawnieniu informacji, jak i ich nieuprawnionej modyfikacji czy usunięciu.
Rozpoznanie czynników ryzyka i ich powiązań z możliwymi zdarzeniami pozwala lepiej zrozumieć mechanizm powstawania ryzyka.
Zabezpieczenia powinny oddziaływać na konkretne czynniki
FAIR zwraca szczególną uwagę na skuteczność mechanizmów ochronnych.
Samo posiadanie zabezpieczenia nie oznacza jeszcze, że ryzyko zostało ograniczone. Ważne jest, przed czym zabezpieczenie chroni, w jakich warunkach działa i na ile utrudnia materializację określonego scenariusza.
Takie podejście pozwala odróżnić formalne istnienie zabezpieczenia od jego rzeczywistego wpływu na bezpieczeństwo.
FAIR podkreśla również konieczność uwzględniania strat bezpośrednich i pośrednich. Incydent może powodować nie tylko przestój lub koszty odtworzenia systemu, ale również konsekwencje prawne, finansowe i reputacyjne.
Od subiektywnej oceny do świadomej decyzji
Charakterystyczną cechą FAIR jest możliwość ilościowego wyrażania ryzyka, w szczególności w wartościach finansowych. Model uwzględnia przy tym niepewność, nieodłącznie związaną z przewidywaniem przyszłych zdarzeń.
Nie oznacza to jednak, że jego wartość ogranicza się do zaawansowanych obliczeń. FAIR dostarcza przede wszystkim uporządkowanego sposobu myślenia o ryzyku.
Najważniejsza lekcja płynąca z FAIR jest prosta: zanim określimy poziom ryzyka, powinniśmy zrozumieć, co wpływa na możliwość jego materializacji, jakie mogą być konsekwencje i w jaki sposób zabezpieczenia zmieniają ten mechanizm.
To fundament analizy ryzyka, która ma służyć podejmowaniu decyzji, a nie jedynie wypełnianiu rejestru.
Źródła
FAIR Institute, Factor Analysis of Information Risk (FAIR) Model – Standard Artifact, Version 3.0, 15 stycznia 2025.
FAIR Institute, State of the FAIR Movement: Jack Jones Reflects on Lifetime Achievement Award, 2024.
FAIR Institute, FAIR Framework for Cyber Risk Management, 2025.
The Open Group, Open FAIR Risk Taxonomy i Open FAIR Risk Analysis.
Komentarze