Zawartość tego modułu szkoleniowego stanowi nieoficjalną kontynuację programu EntreComp w zakresie gotowości do podejmowania ryzyka cybernetycznego.

W poprzednim module odnieśliśmy się do kilku ram, które pomagają lepiej przygotować się do oceny i oszacowania ryzyk i zagrożeń cybernetycznych w środowisku IT.

W tym module przedstawimy Ci koncepcyjne mapy ułatwiające poruszanie się w obszarze bezpieczeństwa cybernetycznego, gotowości oraz odporności cybernetycznej z perspektywy zapewnienia jakości i zarządzania ryzykiem.

Kluczowe wnioski z raportu IBM z 2021 roku wskazują, że cyberodporność to kilka prostych działań: • inwestowanie w prewencję (tj. identyfikację i ocenę ryzyka) • moduł bezpieczeństwa Zero-Trust (zastanów się, kto ma dostęp do Twoich danych) • testy warunków skrajnych (pomiar i ocena wewnętrznych strategii odporności)   • zarządzanie tożsamością i dostępem w celu zarządzania pracownikami zdalnymi (jeszcze ważniejsze niż w erze inteligentnej pracy)   • programy zgodności: pielęgnowanie cyberkultury na poziomie międzyfunkcjonalnym   • zmniejszanie złożoności (wyrafinowana prostota)   • zmniejszanie luki w umiejętnościach

W rzeczywistości, dowody z wyżej wymienionego raportu wskazują, że główne czynniki zakłócające są związane z działalnością ludzką, a nie z niewydolnością technologiczną:

Źródło: IBM, 2021 r.

Dowody zebrane przez partnerów Cyber MMŚP wskazują, że brak niezawodnego systemu zarządzania (cyber)ryzykiem jest jedną z najczęstszych przyczyn narażenia na ryzyko cybernetyczne.

Wynik ten świadczy, że  o cyberbezpieczeństwa nie jest uznawane za jeden z najważniejszych problemów w zakresie odporności i konkurencyjności przedsiębiorstw.

 Zarządzanie ryzykiem cybernetycznym powinno opierać się na tych samych paradygmatach i koncentrować się na tych samych działaniach (tj. monitorowaniu i ocenie), co każda inna podstawowa funkcja. To z kolei będzie dowodzić przewagi konkurencyjnej, jaką dysponuje dana firma, w obliczu potrzeby adaptaci i rekacji  na nowe, wciąż rozwijające się zagrożenia mające swoje źródło w zmianach rynkowych lub społecznych.

ISO 31000

Międzynarodowa Organizacja Normalizacyjna uznaje zarządzanie ryzykiem za proces obejmujący systematyczne stosowanie polityk, procedur i praktyk w zakresie działań komunikacyjnych i konsultacyjnych, ustalania kontekstu oraz oceny, leczenia, monitorowania, przeglądu, rejestrowania i raportowania ryzyka.

Ponieważ wszystkie funkcje biznesowe pozostają związane z wydajnością  oraz efektywnością systemów i sieci IT regulujących przepływ ich zadań, zarządzanie ryzykiem cybernetycznym staje się integralną częścią strategicznego podejmowania decyzji i planowania długoterminowego.

Zarządzanie ryzykiem cybernetycznym jest procesem cyklicznym i obejmuje bieżące mechanizmy ukierunkowane na osiąganie coraz wyższych standardów.

    Kontrola > Ocena > Dopracowanie

ISO 31000, wizualna reprezentacja

Zgodnie z normą ISO 31000, modele zarządzania cyberryzykiem wewnętrznym powinny odzwierciedlać wartości, cele i zasoby organizacji oraz być zgodne z polityką i deklaracjami dotyczącymi zobowiązań organizacji oraz poglądami interesariuszy.

Gdy organizacja ustali zakres, kontekst i kryteria modelu zarządzania, zaleca się przystąpienie do właściwej oceny.Ocena kończy się trzyetapowym procesem:

NASA, Goddard Space Flight Center, Goddard Technical Standard GSFC-STD-0002, Risk Management Reporting

Specjaliści i eksperci w dziedzinie zarządzania przedsiębiorstwem z pewnością słyszeli o Lean Manufacturing, Total Quality Management (TQM), Just In Time (JIT) itp.

Powyższe terminy odnoszą się do najlepiej rozpowszechnionych ram audytowych w procesie zarządzania jakością. Wdraża się je w przemyśle. 

Wszystkie 3 modele mają jedną wspólną cechę: wywodzą się z Japonii, a na świecie stały się zyskały popularność jako punkty odniesienia dla procedur audytu i zapewniania jakości.

To, co jest mniej znane na temat TQM i JIT, to "filozofia" biznesu, z której się wyłoniły: Kaizen (改善), dosłownie tłumaczona jako 改 = zmiana,善 = dobry.

Kultura Kaizen zakłada stałe i ciągłe ustanawianie wyższych standardów wydajności.

Około lat 80. stała się ona dominującym paradygmatem biznesowym w przemyśle japońskim, ze szczególnym uwzględnieniem Toyoty (tj. Toyota Production System, Toyotism).

Pomimo wszystkiego, co może się wydawać, kultura Kaizen nie jest jednak w pełni japońskim produktem.

Model Kaizen wywodzi się z międzynarodowego programu współpracy przemysłowej pomiędzy USA a Japonią, rozpoczętego pod koniec II wojny światowej. Dokładniej rzecz ujmując, początki obecnego modelu Kaizen zostały zainspirowane pracą amerykaskiego statystyka, W. Edwardsa Deminga (1990-1993). W. Edwards Deming jest twórcą jednej z pierwszych ram referencyjnych dla zapewnienia jakości i audytu. Jest to tzw. model Deminga.

Model Deminga

Źródło: Deming, W.E., 1950. Elementarne zasady statystycznej kontroli jakości, JUSE.

Model Deminga doczekał się na przestrzeni lat różnych adaptacji propagowanych przez innych autorów. Kaizen jest oczywiście jedną z nich.

Do dziś oryginalny model Deminga stanowi inspirację dla normy ISO 9001 w zakresie zasad zarządzania jakością. 

Spośród wszystkich readaptacji modelu Deminga chcielibyśmy Ci zaproponować tę przedstawioną w perspektywie ewolucyjnej. Znajdziesz ją na następnym slajdzie.
 

Zaawansowany model Deminga

Model Deminga — uwagi

Największą zaletą modelu Deminga, która pozwoliła mu przejść próbę czasu, jest to, że:

Z normy ISO 31000 wynika, że kompleksowy model zarządzania ryzykiem uwzględnia przekrojowy i ciągły proces monitorowania i oceny.

Cykl DEMING obejmuje oba te priorytety, ponieważ pozwala użytkownikom na:

Możesz podzielić procesu ewaluacji (tj. fazy sprawdzania) na dwie odrębne części, w zależności od rzeczywistego czasu na przeprowadzenie oceny: