Stawka. Średni koszt naruszenia danych to 4,88 mln USDIBM 2024, a atak na Jaguar Land Rover z 2025 roku kosztował firmę około 196 mln funtów bezpośrednio (Tata Motors) i około 1,9 mld funtów w skali gospodarki (CMC 2025). Po nowelizacji uKSC (od 3 kwietnia 2026) i pod dyrektywą NIS2 kierownik podmiotu odpowiada osobiście, z karą do 300% wynagrodzenia (w podmiotach publicznych do 100%), a sam podmiot do 10 mln EUR lub 2% obrotu. Cyberbezpieczeństwo przestało być delegowalne.

To skrót decyzyjny. Pełne uzasadnienie, dane źródłowe i interaktywny kalkulator znajdują się w dalszej części opracowania.

27 czerwca 2017 roku Maersk przewoził mniej więcej co piąty kontener na świecie. Statek tej firmy cumował w którymś porcie średnio co piętnaście minut. Tego dnia, w ciągu kilku minut, ta machina stanęła. Nie z powodu sztormu ani awarii sprzętu, lecz z powodu złośliwego oprogramowania NotPetya, cyberbroni wymierzonej w Ukrainę, która rozlała się po świecie przez zainfekowaną aktualizację ukraińskiego programu księgowego. Maersk nie był celem. Był przypadkową ofiarą.

Skala była totalna. W kilka minut NotPetya unieruchomił około 45 tysięcy komputerów, 4 tysiące serwerów i 2,5 tysiąca aplikacji. Najgorsze przyszło później: kopie zapasowe leżały w tej samej sieci co systemy produkcyjne, więc zostały skasowane razem z nimi. Zniknęły wszystkie kontrolery domeny Active Directory, czyli rejestr, bez którego firmowa sieć nie wie, kto jest kim i co ma prawo działać. Firma została bez infrastruktury i bez backupu naraz.

Odzyskanie wisiało na jednym przypadku. Jeden kontroler domeny, w biurze w Akrze w Ghanie, akurat był wyłączony przez awarię prądu, więc malware go nie dosięgnął. Na nim ocalała jedyna nienaruszona kopia Active Directory. Łącze w Ghanie nie udźwignęło przesłania danych przez internet, więc zorganizowano fizyczną sztafetę: pracownik z Ghany poleciał do Nigerii, żeby przekazać dysk osobie lecącej do Wielkiej Brytanii. Samo Active Directory odtwarzano około dziewięciu dni. Pełną infrastrukturę odbudowano w dziesięć dni, w trybie, który prezes nazwał później heroicznym wysiłkiem. Wolumeny spadły o około 20 procent, a ludzie ręcznie obsłużyli około 80 procent pracy.

Dlaczego zarząd nie wiedział o tym wcześniej? Bo nikt nie zadał właściwego pytania. Po fakcie prezes przyznał, że w cyberbezpieczeństwie firma była przeciętna i, jak to ujął, naiwna. Nikt na poziomie zarządu nie wiedział, czy backupy w ogóle dadzą się odtworzyć ani jak szybko wstanie Active Directory. To nie była luka technologiczna. To była luka nadzorcza, dokładnie ta, o której jest ten przewodnik.

Co zmieniłby model z tego przewodnika? Trzy rzeczy, z których każda jest opisana dalej. Po pierwsze, kopie zapasowe w schemacie 3-2-1-1-0, z jedną kopią niezmienną i odciętą od sieci produkcyjnej, oraz wskaźnik testu backupu sto procent na kwartał. Czy Maersk miał backupy? Nie miał backupów, które przeżyłyby atak na sieć, w której leżały. Po drugie, segmentacja sieci, żeby ograniczyć boczne rozprzestrzenianie. Po trzecie, przetestowany plan reagowania i ćwiczenie typu tabletop raz w roku, żeby czas odtworzenia był znany, a nie improwizowany. Wtedy zarząd nie pyta inżyniera, czy jesteśmy bezpieczni, tylko: jeśli dziś w nocy padną nasze kontrolery domeny, w ile godzin wracamy. Ta liczba trafia na dashboard.

I jedno zastrzeżenie, w duchu całego tego przewodnika. Maersk uratował się nie dzięki planowi, tylko dzięki wyłączonemu serwerowi w Ghanie, czyli dzięki szczęściu. Cały sens nadzoru polega na tym, żeby zaprojektować to, co Maersk dostał przez przypadek. Na szczęściu nie da się zbudować ani budżetu, ani strategii.

Klasyczne zarządzanie ryzykiem opiera się na dwóch wymiarach: prawdopodobieństwie i skutku. Dla większości ryzyk operacyjnych wystarczy macierz 5×5 z etykietami „niski / średni / wysoki”. Dla cyberryzyka, nie wystarczy. Bezpośrednim powodem jest fakt, że cyberryzyko można i należy wyrażać w jednostkach finansowych, a macierz ukrywa tę informację za uznaniowymi etykietami.

Wzór ALE jest prosty, ale jego wartość nie leży w samym mnożeniu, tylko w jakości dwóch szacunków, które do niego wprowadzamy. Współczynnik ekspozycji oraz roczna częstotliwość zdarzenia to wielkości, których nikt nie zna z pewnością, a które łatwo podać z pozorną precyzją. Na tym właśnie polega pułapka kwantyfikacji: pojedyncza liczba na wyjściu sugeruje dokładność, której w danych wejściowych nie ma. Douglas Hubbard i Richard Seiersen w książce „How to Measure Anything in Cybersecurity Risk” pokazują, że popularne macierze ryzyka oraz oceny punktowe nie redukują tej niepewności, lecz ją maskują, i proponują w zamian metody ilościowe oparte na skalibrowanych przedziałach zamiast na pojedynczych punktach. Dla zarządu płynie z tego konkretny wniosek: liczbę ALE należy prezentować razem z założeniami, które ją wytworzyły, ponieważ dopiero jawne założenia pozwalają tę liczbę kwestionować i aktualizować, gdy zmienia się rzeczywistość.

Aby pokazać, jak ten rachunek działa w praktyce, prześledźmy go na przykładzie, którego wszystkie wartości są wyłącznie ilustracyjne i służą demonstracji metody, a nie opisowi konkretnej firmy. Załóżmy, że krytycznym aktywem spółki jest system obsługujący sprzedaż wraz z bazą klientów, a jego łączną wartość, obejmującą przychód zależny od dostępności, koszt odtworzenia oraz ekspozycję regulacyjną, oszacowano ostrożnie na 20 mln zł. Przyjmijmy dalej, że poważny incydent, na przykład skuteczny atak ransomware połączony z wyciekiem danych, degraduje połowę tej wartości, czyli współczynnik ekspozycji wynosi 0,5. Strata z pojedynczego zdarzenia, oznaczana jako SLE, równa się wtedy 10 mln zł. Jeżeli na podstawie danych branżowych i własnej historii organizacja ocenia, że zdarzenie tej klasy materializuje się średnio raz na pięć lat, to roczna częstotliwość ARO wynosi 0,2, a roczna oczekiwana strata ALE to 2 mln zł. Dopiero ta ostatnia liczba jest językiem, w którym zarząd potrafi rozmawiać, ponieważ wyraża cyberryzyko w tej samej jednostce co budżet, marża i składka ubezpieczeniowa.

Sam poziom ekspozycji nie rozstrzyga jeszcze, czy konkretną inwestycję w zabezpieczenia warto ponieść. Decyzję domyka dopiero zestawienie kosztu kontroli z redukcją oczekiwanej straty, którą ta kontrola przynosi. Kontynuując przykład, przyjmijmy, że wdrożenie pakietu obejmującego uwierzytelnianie wieloskładnikowe, ochronę stacji końcowych klasy EDR oraz segmentację sieci kosztuje 1 mln zł rocznie i obniża częstotliwość poważnego incydentu z raz na pięć lat do raz na dwadzieścia lat, czyli ARO spada z 0,2 do 0,05. Roczna oczekiwana strata maleje wówczas z 2 mln zł do 0,5 mln zł, więc redukcja ALE wynosi 1,5 mln zł rocznie. Po odjęciu kosztu kontroli organizacja zyskuje 0,5 mln zł netto, co odpowiada zwrotowi z inwestycji na poziomie pięćdziesięciu procent. Tę samą logikę można odwrócić i wyznaczyć próg opłacalności, ponieważ kontrola przestaje bronić się ekonomicznie w chwili, w której jej koszt zrównuje się z redukcją oczekiwanej straty; powyżej tej granicy organizacja płaci za ograniczanie ryzyka więcej, niż realnie odzyskuje. Czytelnik może prześledzić ten rachunek i podstawić własne wartości aktywa, ekspozycji oraz częstotliwości w interaktywnym kalkulatorze ALE zamieszczonym w tym opracowaniu.

Model ALE w postaci pojedynczego iloczynu jest jednak progiem kwantyfikacji, a nie jej metą. Jego ograniczeniem jest charakter deterministyczny, który sprowadza całe spektrum możliwych strat do jednej liczby i milcząco zakłada, że potrafimy trafnie wskazać wartość średnią. Tymczasem rozkład strat z incydentów jest silnie asymetryczny, gdyż zdecydowana większość zdarzeń kończy się kosztem umiarkowanym, lecz rzadkie zdarzenia katastrofalne odpowiadają za nieproporcjonalnie dużą część łącznej ekspozycji. Bardziej dojrzałe podejścia, w szczególności model FAIR oraz symulacje Monte Carlo, które Hubbard i Seiersen opisują jako praktyczny standard, zastępują pojedynczy punkt rozkładem prawdopodobieństwa i pozwalają mówić nie o jednej oczekiwanej stracie, lecz o przedziale możliwych wyników wraz z prawdopodobieństwem przekroczenia zadanego progu. Dla zarządu wartością nie jest przy tym sama statystyka, tylko zdanie, które z niej wynika i które brzmi mniej więcej tak: z prawdopodobieństwem dziewięćdziesięciu procent roczna strata nie przekroczy określonej kwoty, a ryzyko, że przekroczy ona granicę zagrażającą płynności, jest mniejsze niż przyjęty apetyt na ryzyko. Tak ujęta informacja przekłada cyberryzyko na decyzję o kapitale, rezerwie i polisie, czyli na grunt, na którym rada nadzorcza czuje się pewnie. Skalę tego, jak bardzo skutek potrafi wykraczać poza bilans samej ofiary, unaocznia incydent Jaguar Land Rover z 2025 roku, w którym bezpośrednie koszty nadzwyczajne firmy wyniosły około 196 milionów funtów, podczas gdy łączną stratę dla gospodarki oszacowano na około 1,9 miliarda funtów.

Model ALE szacuje stratę oczekiwaną w skali roku, ale gdy incydent już się wydarzy, jego koszt jest konkretną kwotą złożoną z wielu pozycji. Poniższy kalkulator rozkłada ten koszt na trzy warstwy: bezpośrednią obsługę, warstwę regulacyjno-prawną oraz skutki biznesowe. Druga warstwa, kary i pozwy, jest w praktyce najczęściej pomijana, co zaniża wariant pesymistyczny. Trzecia warstwa, skutki pośrednie, zwykle przewyższa to, co widać na fakturze za reagowanie. Wynik to szacunek do rozmowy zarządu, nie wycena księgowa.

Transfer ryzyka, gotowość ubezpieczeniowa

Skoro znamy koszt incydentu i roczną ekspozycję, naturalnym narzędziem zarządu staje się przeniesienie części ryzyka na ubezpieczyciela. Polisa cyber nie jest jednak automatyczna: ubezpieczyciel najpierw oceni nasz profil i dopiero na tej podstawie zaproponuje składkę, zakres i limity. Te same kontrole, które obniżają ALE, decydują też o tym, czy ochrona w ogóle zostanie udzielona i na jakich warunkach. Poniższy kalkulator liczy ten profil, pokazuje, które wymogi twarde ubezpieczyciela są jeszcze niespełnione, i podpowiada, czym argumentować niższą składkę.

Policzona ekspozycja nie jest przy tym wielkością jednorazową, lecz liczbą, którą trzeba odświeżać w miarę, jak zmieniają się aktywa, krajobraz zagrożeń i skuteczność wdrożonych kontroli. Stąd naturalne przejście od jednorazowego rachunku ryzyka do stałego zestawu wskaźników, dzięki któremu zarząd widzi, czy ekspozycja rośnie, czy maleje, oraz czy środki wydane na bezpieczeństwo faktycznie przynoszą zakładany skutek.

Zarząd nie potrzebuje pięćdziesięciu wskaźników operacyjnych. Potrzebuje dziesięciu: pięciu KPI (skuteczność kontroli) i pięciu KRI (ekspozycja na ryzyko) pokrywających wszystkie cztery filary modelu i wszystkie sześć funkcji NIST CSF 2.0.

Wskaźnik KRI-5 wymaga przy tym świadomego czytania. Roczna ALE trafia do pulpitu jako pojedyncza liczba, więc jest wartością uśrednioną i heurystyczną, a nie precyzyjną prognozą. Zgodnie z logiką rozkładu strat opisaną wcześniej, docelowym kierunkiem jest raportowanie ekspozycji nie jednym punktem, lecz krzywą przekroczenia strat (loss exceedance curve), która pokazuje prawdopodobieństwo przekroczenia kolejnych progów i wprost łączy się z apetytem na ryzyko zarządu.

Cykl życia SZBI, roczna weryfikacja i ciągłe doskonalenie

Wskaźniki z pulpitu nie są pomiarem jednorazowym. Mają sens dopiero wtedy, gdy krążą w stałym cyklu życia systemu zarządzania bezpieczeństwem informacji, w którym organizacja planuje, wdraża, sprawdza i poprawia. Ten rytm, znany jako cykl ciągłego doskonalenia (Plan, Do, Check, Act), jest sercem normy ISO/IEC 27001 i jednocześnie tym, czego NIS2 oczekuje od dojrzałego podmiotu, czyli nie jednorazowej zgodności, lecz procesu, który sam się koryguje.

Dla zarządu cykl ten zamyka się raz w roku w dwóch wydarzeniach: audycie wewnętrznym, który niezależnie sprawdza, czy system działa zgodnie z założeniami, oraz przeglądzie zarządzania, na którym organ zarządzający ocenia wyniki, zatwierdza działania korygujące i decyduje o zmianach. Pomiędzy nimi toczy się bieżąca obsługa niezgodności i działań korygujących, czyli mechanizm zamieniający każdy wykryty błąd w trwałą poprawę, a nie w powtarzalny incydent.

Aby organ zarządzający mógł śledzić ten proces bez wchodzenia w szczegóły techniczne, wystarczą dwa proste zestawy liczb. Poziom dojrzałości mówi, jak ułożony jest sam system, a wskaźniki postępu mówią, czy w danym roku posuwa się on naprzód.

Skala dojrzałości jest ramą porządkującą, a nie pomiarem ilościowym, dlatego poziom przypisuje się na podstawie dowodów, nie odczucia. Obok niej zarząd śledzi kilka wskaźników postępu, które w cyklu rocznym pokazują kierunek: udział zabezpieczeń z Deklaracji Stosowania faktycznie wdrożonych, udział działań korygujących zamkniętych w terminie, liczbę otwartych niezgodności z audytu wraz z trendem, datę i wynik ostatniego przeglądu zarządzania oraz udział ryzyk z rejestru z aktualną, nie starszą niż dwanaście miesięcy, oceną. Te pięć liczb mieści się na jednym slajdzie i wystarcza, by ocenić, czy SZBI żyje, czy tylko istnieje na papierze.

Raport pentestu na poziomie executive summary musi zawierać: (1) kontekst biznesowy, (2) CVSS score dla każdego findingu, (3) priorytety remediation, (4) plan retest. Brak któregokolwiek z tych elementów = czerwona flaga jakości dostawcy.

Audyt vs pentest: audyt sprawdza zgodność z normą (ISO 27001, NIS2), pentest sprawdza odporność na atak. Audyt bez pentestu daje fałszywe poczucie bezpieczeństwa. Pentest bez audytu daje fragmentaryczny obraz. Każda organizacja w reżimie NIS2 powinna mieć roczny cykl: audyt + pentest + remediation + retest.