Analiza ryzyka w Twojej organizacji – krok po kroku

Jak można się spodziewać, RODO nie wskazuje żadnej konkretnej metodyki ryzyka, pozostawiając wybór lub jej opracowanie  w gestii administratora danych. Oznacza to, że administrator danych ma swobodę wyboru metodyki przeprowadzenia analizy ryzyka dostosowanej do potrzeb i procesów przetwarzania danych realizowanych w jego organizacji. Nie znaczy to jednak, że proces analizy ryzyka nie powinien być zorganizowany.

Pierwszym zadaniem administratora jest wyszczególnienie czynników mających wpływ na funkcjonowanie organizacji i przetwarzanie danych osobowych.

Analiza ryzyka dotyczy poszczególnych procesów przetwarzania danych osobowych. Nie może więc ona obyć się bez identyfikacji tych procesów.

W identyfikacji należy sugerować się treścią rejestru czynności przetwarzania bądź rejestru kategorii czynności przetwarzania, jeżeli taki jest prowadzony.

Administrator musi też:

• poddać inwentaryzacji zasoby związanych z przetwarzaniem danych osobowych,
• wskazać osoby odpowiedzialne za poszczególne procesy przetwarzania danych osobowych (w tym ich wpływy na przetwarzanie danych
  w organizacji, zagrożenia oraz szanse, które stwarzają).

Analiza ryzyka ma dać odpowiedź na pytanie, jakie środki bezpieczeństwa przetwarzania danych wdrożyć w kontekście poziomu ryzyka. Konieczne jest więc określenie zagrożeń w organizacji. W tym celu warto ustalić ich systematykę.

Identyfikując zagrożenia w odniesieniu do praw i wolności podmiotu danych, należy wziąć pod uwagę zarówno działania celowe użytkownika, jak i te wynikające z jego niewiedzy, które mogą prowadzić do naruszenia przepisów prawa. Konieczne jest uwzględnienie zagrożeń co do przetwarzania danych osobowych tak w formie papierowej, jak w systemach informatycznych, np. brak odpowiedniego programu szyfrującego itp.

Od zagrożeń należy odróżnić podatności. Są to bowiem cechy sprzyjające urzeczywistnieniu się potencjalnego zagrożenia. Aby zidentyfikować podatności, należy dokonać analizy zdarzeń, które dotychczas wystąpiły w organizacji.

Szacowanie ryzyka ma na celu określenie potencjalnych strat, które mogą powstać w wyniku wystąpienia określonych zagrożeń. Najpierw jednak należy ustalić organizację całego procesu. W większych organizacjach uzasadnione jest powołanie zespołu odpowiedzialnego za proces zarządzania ryzykiem.

Aby oszacować ryzyko, najlepiej zaangażować w to personel administratora, który zwykle ma największą wiedzę na temat ryzyka występującego w ich obszarach działania. Oczywiście zalecane jest także korzystanie ze wsparcia inspektora ochrony danych, jeżeli taki został wyznaczony w organizacji.

Nie mniej istotny jest wybór metodyki szacowania ryzyka. Przepisy RODO nie wprowadzają tutaj żadnych ograniczeń, co oznacza, że administrator może dowolnie wybrać metodykę, najlepiej dostosowaną do jego potrzeb.

Ocena poziomu ryzyka może być wykazana metodą:

• ilościową – przyjmujemy, że najważniejsze jest określenie dwóch podstawowych parametrów: wartości skutku i prawdopodobieństwa wystąpienia danego ryzyka; zaletą jest obiektywność i porównywalność wyników),
• jakościową - korzystamy ze zdefiniowanych już zakresów takich jak np.: niskie, średnie, wysokie; wykorzystujemy subiektywne miary i oceny takie jak wartości opisowe poziomów, zakresy wartości miar liczbowych oraz przyporządkowanie miar podatnościom, zagrożeniom, skutkom itp.; zdefiniowane są także stopnie prawdopodobieństwa urzeczywistnienia się zagrożeń np.: zdarzenie rzadkie (nie odnotowano takiego przypadku w organizacji); zdarzenie możliwe (zjawisko nierozpowszechnione, ale możliwe do wystąpienia); zdarzenie prawdopodobne (prawdopodobnie wystąpi w większości okoliczności); zdarzenie bardzo prawdopodobne (wystąpi w najbliższym czasie).

Po oszacowaniu ryzyka administrator powinien ustalić plan postępowania z tym ryzykiem. Najczęściej stosowane rozwiązania to:

• redukcja ryzyka – wprowadzamy kontroli w celu zmniejszenia prawdopodobieństwa jego wystąpienia (np. prowadzenie dedykowanych szkoleń dla pracowników, aby zminimalizować ryzyko związane z niewłaściwymi zabezpieczeniami danych osobowych),
• unikanie ryzyka – przerywamy wszelkie działania, które to ryzyko generują (np. polecenie przechowywania dokumentów w szafie zamykanej na klucz zamiast pozostawiania ich na biurku),
• przeniesienie ryzyka - zlecamy określone czynności związane z przetwarzaniem danych podmiotowi zewnętrznemu,
• akceptacja ryzyka – godzimy się z ryzykiem, przyjmując, że koszt postępowania z ryzykiem jest większy niż szkody, które by to spowodowało.

W ramach tego działania administrator powinien zadecydować o wdrożeniu odpowiednich zabezpieczeń w celu ochrony danych osobowych, takich, aby zapewnić stopień bezpieczeństwa adekwatny do stwierdzonego ryzyka (art. 32 RODO).