Riskienhallinta on työnkulku, jonka avulla organisaatiosi voi tunnistaa, arvioida, käsitellä ja seurata digiturvariskejä. Koko riskienhallinnan elinkaari on koottu yhdelle sivulle: riskirekisteri, dokumentaatio, riskienhallintaan liittyvät tehtävät sekä auditoinneissa tarvittavat raportit.

🆕 Mitä uutta? Riskienhallinnan työnkulku kokoaa yhteen sisällön, joka aiemmin oli hajautettuna eri teemakohtaisiin listauksiin. Olemassa olevat riskit, vastuuhenkilöt ja käsittelytoimenpiteet löytyvät edelleen sellaisinaan, mutta nyt ne ovat yhdessä selkeässä näkymässä.

Käyttöönotto

Jos et ole vielä suorittanut ohjattua käyttöönottoa, suosittelemme aloittamaan siitä. Käyttöönotto sisältää seuraavat vaiheet:

• Kuka omistaa riskirekisterin? Tyypillisesti vastuuhenkilönä toimii esimerkiksi CISO, tietoturvapäällikkö tai ISMS-koordinaattori. Vastuuhenkilö huolehtii riskirekisterin ajantasaisuudesta ja säännöllisistä katselmoinneista.
• Riskien arviointimenetelmä. Vahvista organisaatiosi käyttämät todennäköisyyden ja vaikutuksen arviointiasteikot sekä riskien käsittelyvaihtoehdot.
• AI Avustajan ehdottama alustava riskirekisteri. AI Avustaja ehdottaa organisaatiollesi alustavaa riskiluetteloa omaisuudenhallinnan tietojen ja aktiivisten vaatimuskehikkojen perusteella. Voit tarkistaa ehdotukset, valita tärkeimmät käsiteltävät riskit ja määrittää niille vastuuhenkilöt.

Voit määrittää työnkulun myös manuaalisesti suoraan sivulla — ohjattu käyttöönotto auttaa kuitenkin saamaan kokonaisuuden käyttöön muutamassa minuutissa.

Mitä sivulla näkyy?

Päämittarit

Sivun yläosassa näkyy kolme riskirekisterin näkymää:

• Tunnistetut ja käsitellyt riskit ajan myötä– kuukausittainen trendikaavio, joka näyttää uusien riskien tunnistamisen ja käsittelyn kehityksen
• Tänä vuonna tunnistetut ja käsitellyt riskit – esimerkiksi 29 / 40 tunnistettua riskiä ja 17 / 30 käsiteltyä riskiä
• Riskimatriisi – todennäköisyys × vaikutus -matriisi, jossa näkyy riskien määrä eri luokissa sekä mahdollisuus vaihtaa näkymää ennen käsittelyä ja käsittelyn jälkeen

Toimet, joihin keskittyä

Priorisoitu lista seuraavista tehtävistä, jaettuna kolmeen kategoriaan:

• Poista esteet - Asiat, jotka estävät työnkulun tehokkaan toiminnan. Riskienhallinnan-työnkulussa näitä ovat tyypillisesti riskien tunnistaminen (kun yksikään riski ei ole vielä siirtynyt "uusi"-tilasta eteenpäin), sekä Määritä omistaja aktiivisille riskeille.‍
• Vahvenna - Suositellut seuraavat toimenpiteet työnkulun kehittämiseksi. Näitä voivat olla esimerkiksi Tarkista riskien käsittely (kun käsiteltävien riskien määrä on tavoitetta pienempi), Siirrä seuraavia riskejä käsittelyyn, sekä Tunnista lisää riskejä (kun tunnistettujen riskien määrä jää tavoitteesta)‍
• Ylläpidä - Jo käyttöönotettujen käytäntöjen ylläpitämiseen liittyvät katselmoinnit ja tarkistukset. Riskienhallinnan-työnkulussa tämä tarkoittaa pääasiassa Katselmoi suljettuja riskejä.

Klikkaamalla jotakin kategoriaa avautuu tarkempi lista siihen liittyvistä tehtävistä, joita voit käsitellä poistumatta työnkulun sivulta.

Dokumentaatio

Riskienhallintaa tukeva dokumentaatio:

• Digiturvariskit – organisaatioon kohdistuvien tietoturvariskien tunnistaminen ja seuranta
• Muutoksen riskiarvioinnit – suunniteltuihin muutoksiin liittyvien riskien arviointi ennen käyttöönottoa
• Teemakohtaiset riskiarvioinnit – arvioi riskejä valittujen teemojen tai assettien pohjalta

Jokaisella dokumentaatiokokonaisuudella näkyvät kohteiden kokonaismäärä, keskeneräisten kohteiden määrä, liittyvä ISMS-teema sekä vastuuhenkilö. Näin näet nopeasti, mihin osa-alueisiin kannattaa kiinnittää huomiota.

Tehtävät

Dokumentaation alapuolella näkyvät riskienhallinnan käytännön toteutukseen liittyvät tehtävät, kuten: Riskienhallinnan menettelykuvaus -raportin julkaisu ja ylläpito, Tietoturvariskien tunnistaminen ja dokumentointi sekä Toimitusketjun tietoturvariskien hallinta.

Jokaiselle tehtävälle näytetään teema, tila (Käsittelemätön / Osittain tehty / Pääosin tehty / Täysin tehty), vastuuhenkilö, prioriteetti (Matala / Normaali / Korkea / Kriittinen) sekä määräpäivä. Myöhässä olevat tehtävät näkyvät korostettuna jotta ne on helppo tunnistaa.

Raportit

Riskienhallinnan-työnkulun tuottamat auditointivalmiit raportit:

• Riskienhallinnan menettelykuvaus ja tulokset – käytetyt menetelmät ja koko riskienhallintaprosessin toteutus

• Riskienhallinnan raportti – yhteenveto tunnistetuista riskeistä, niiden arvioinneista, hallintakeinoista, tilasta ja hyväksyttävyydestä

Jokaisella raportilla näkyvät kansikuva, Viimeksi päivitetty -päivämäärä sekä Näytä raportti -linkki. Raportit päivittyvät automaattisesti järjestelmän tiedoista.

Yhteydet muihin työnkulkuihin

Uusia riskejä syntyy usein muiden työnkulkujen yhteydessä, kuten Suojattava omaisuus (omaisuuteen liittyvät riskit), Häiriöiden hallinta (häiriöiden jälkeen tunnistetut riskit), Toimittajien hallinta (toimittajiin liittyvät riskit) sekä Muutosten hallinta (muutosten aiheuttamat riskit). Riskien käsittelysuunnitelmat näkyvät tehtävinä, jotka linkittyvät takaisin näihin työnkulkuihin.

Palautetta tai kysyttävää?

Jos sinulla on lisää kysyttävää, tiimiimme voi olla yhteydessä chatin kautta tai sähköpostitse team@cyberday.ai. Otamme myös mielellämme vastaan palautetta Cyberdayn käytöstä.