Teraz zestaw to z instytucją pokroju UK Supreme Court, która z definicji nie może pozwolić sobie na taki numer, bo każdy dzień przestoju to nie tylko reputacja, ale i realny problem konstytucyjny. Sąd opisuje w raporcie rocznym, że wszystkie ryzyka – w tym cyber – lecą jednym torem zarządczym, w ramach istniejącego Risk Management Framework, razem z klimatem, ciągłością i resztą „nudnych” tematów.
Do tego dochodzi oficjalne podejście NCSC: cyber ma być tylko jednym z wektorów w spójnym systemie zarządzania ryzykiem, opartym na prostych krokach – zrozum, na czym polega twoja misja, zidentyfikuj cyfrowe zasoby, wyznacz apetyt na ryzyko i dopiero potem kupuj firewalle. W praktyce oznacza to, że Risk Management Framework w stylu załączonego dokumentu przestaje być materiałem dla audytorów, a staje się instrukcją obsługi codziennych decyzji CIO i prezesa.
Po co UKSC w ogóle RMF w cyberze
Risk Management Framework z załączonego dokumentu to klasyka ISO 31000, tylko napisana po ludzku: jasno zdefiniowane pojęcie ryzyka, proces od identyfikacji do monitoringu, macierz ryzyka, role w modelu „trzech linii” i osobny rozdział o kulturze ryzyka. Dokument wymusza, żeby ryzyko cyber nie żyło własnym życiem w IT, tylko siedziało w jednym rejestrze obok kadrowych, finansowych i reputacyjnych tematów.
UK Supreme Court w swoim raporcie rocznym mówi wprost, że także ryzyka klimatyczne są raportowane przez istniejący framework, z regularnymi przeglądami na poziomie zarządu i komitetu audytu. Z cyberem jest identycznie: w praktyce chodzi o to, żeby przerwać klasyczną grę „to sprawa działu IT” i przypisać konkretne cyberryzyka do właścicieli biznesowych, z obowiązkiem raportowania i dyskusji na posiedzeniach komitetów.
Jak NCSC układa cyberrisk pod RMF
NCSC publikuje własny cyber security risk management framework, który w zasadzie jest nakładką na każdy sensowny RMF: zacznij od zrozumienia funkcji krytycznych, zmapuj systemy, zdecyduj ile ryzyka możesz przeżyć, a potem oceniaj i traktuj zagrożenia w pętli ciągłego doskonalenia. W wersji CAF 4.0 NCSC rozpisuje to na cel A („Managing security risk”) i zasady A1–A3: governance, formalny proces zarządzania ryzykiem cyber i zarządzanie aktywami.
Równolegle rządowy Cyber Governance Code of Practice przypina do tego zarządy: wymaga, żeby senior management jasno ustalił apetyt na risk, zintegrował cyber z enterprise risk management i miał dowód, że kontroluje, co się dzieje z dostawcami. Dla sądu najwyższego oznacza to konieczność spięcia własnego RMF z tym, co oczekuje NCSC – inaczej przy każdej poważniejszej awarii trzeba tłumaczyć się nie tylko parlamentowi, ale i regulatorom sektora publicznego.
Techniczne bebechy RMF pod cyber
W samym frameworku znajdziesz pełny proces: ustalenie kontekstu, identyfikacja, analiza i ewaluacja ryzyka, wybór sposobu traktowania (od dodatkowych kontroli po zatrzymanie aktywności), a na końcu rejestrowanie, raportowanie, komunikacja i monitoring. W cyberprzekładzie oznacza to, że każde zagrożenie – od DDoS po zero‑day w systemie pocztowym – ląduje w rejestrze z przypisanym właścicielem, ocenionym wpływem, prawdopodobieństwem, prędkością materializacji i efektywnością istniejących kontroli.
Framework buduje też klasyczną macierz ryzyka, gdzie „katastroficzny” poziom obejmuje m.in. konieczność zewnętrznych zasobów i poważny uszczerbek reputacyjny, a operacyjnie oznacza brak możliwości świadczenia kluczowych usług. Dla UKSC cyberincydent na tym poziomie to brak dostępu do systemów spraw, brak publikacji orzeczeń i realne wątpliwości co do integralności dokumentów – dokładnie to, co w NCSC CAF opisano jako zagrożenie dla „essential functions”.
Case study: kiedy RMF nie działa – ICO vs dostawca NHS
Sprawa dostawcy systemów NHS to podręcznikowy przykład, jak brak spięcia cybera z RMF kończy się w portfelu. Firma teoretycznie miała jakieś procesy, ale nie miała egzekwowanego MFA na kontach klientów, miała punktowe, niesystemowe podejście do patchy (np. ZeroLogon), a zarządzanie lukami było „ad hoc”.
Ransomware wyłączył dostęp do danych zdrowotnych ponad 79 tysięcy osób, a koszty reakcji i odbudowy przekroczyły 21 milionów funtów – sama kara ICO to 3 miliony, przy czym regulator wyraźnie zaznaczył, że mógł pójść wyżej, gdyby szkoda dla pacjentów była lepiej udokumentowana. Gdyby w tej firmie cyber ryzyka naprawdę siedziały w RMF, konto bez MFA zostałoby opisane jako ryzyko z wysoką prędkością materializacji i nieakceptowalnym poziomem resztkowym – czyli temat do natychmiastowego zamknięcia, a nie do odłożenia „na Q4”.
Co z tego ma UKSC i inne instytucje publiczne
Po pierwsze, statystyki dla UK są brutalne: według Cyber Security Breaches Survey 2024 około połowa firm zgłasza naruszenia lub ataki, a średni koszt incydentu dla średnich i dużych podmiotów rośnie rok do roku. Dla sądu najwyższego, który operuje na wrażliwych danych i działa pod lupą, pojedynczy wyciek albo dłuższy przestój może uruchomić nie tylko śledztwo ICO, ale też polityczną burzę.
Po drugie, sektor publiczny w UK jest objęty zestawem regulacji – od NIS dla operatorów usług kluczowych, przez UK GDPR, po wewnętrzne zasady bezpieczeństwa rządu – które mówią jedno: cyber ma być zarządzany „odpowiednio i proporcjonalnie”, w oparciu o udokumentowany framework. Jeśli RMF jest żywy, to każda decyzja typu „migrujemy CMS sądu do chmury X” ma być poprzedzona formalną oceną ryzyka, określeniem apetytu i akceptacją przez właściwy szczebel kierownictwa, z pełną ścieżką audytową.
Jak konkretnie spiąć RMF z cyber w stylu UKSC
Pierwszy krok to zrobienie z cybera osobnej kategorii w rejestrze ryzyka, ale pod wspólnymi definicjami i skalami z frameworku – dzięki temu CFO rozumie, dlaczego „krytyczna luka w systemie spraw” ma rating „major/likely”, czyli ten sam, co ryzyko finansowe przy błędnej wycenie kontraktu. Drugi to przypisanie cyberryzyk do właścicieli spoza IT: za poufność akt może odpowiadać Director of Corporate Services, za dostępność systemu orzeczeń – Chief Executive, a nie helpdesk.
Następnie trzeba dopiąć narzędzia do oczekiwań regulatorów i NCSC: regularne environmental scany i raporty ryzyka cyber wpisane w harmonogram raportowy, powiązanie z CAF (szczególnie cele A i B) oraz formalne progi akceptacji/eskalacji, gdy ryzyko wychodzi poza apetyt. Ostatni element to risk culture – obowiązkowe szkolenia z ryzyka, w tym cyber awareness, plus jasny sygnał od góry, że zgłoszenie incydentu nie kończy kariery, tylko pozwala szybko ściąć ryzyko, zanim skończy się na liście kar ICO.
Jakie kontrole cyber RMF musi „wymusić”
NCSC i ICO są zaskakująco zgodni co do fundamentów: MFA, zarządzanie łatkami i luka w ekspozycji na internet to absolutna podstawa, nie „nice to have”. W kategoriach RMF oznacza to, że tam, gdzie proces sądowy zależy od systemu, wymuszasz MFA wszędzie, gdzie tylko możesz, a konta uprzywilejowane mają dodatkowe kontrole (separacja ról, monitoring).
Drugi blok to asset management i klasyfikacja danych – bez tego nie da się zbudować sensownej macierzy ryzyka, bo nie wiesz, co jest naprawdę krytyczne. Trzeci to planowanie reakcji: framework powinien wymagać planów IR/BCP/DR, które określają, ile czasu UKSC może realistycznie funkcjonować bez systemu spraw, jak szybko trzeba odtworzyć dostęp do orzeczeń i kto ma prawo podejmować decyzje o odcięciu zainfekowanej infrastruktury.
Co zrobić jutro rano: checklista dla UKSC‑like organizacji
Jeśli pracujesz w instytucji o profilu podobnym do UKSC, zacznij od porównania własnego RMF z wytycznymi NCSC: czy masz formalnie opisaną zasadę A2 „cyber risk management”, z procesem, właścicielami i progiem eskalacji. Następnie sprawdź, czy cyber ryzyka mają takie same skalowania wpływu, jak inne – czy incydent, który zatrzyma rozprawy na tydzień, na pewno nie siedzi w rejestrze jako „minor”.
Potem zrób brutalny przegląd kontroli, których oczekują regulatorzy – MFA, patching, zarządzanie lukami, monitoring dostawców – i przypnij je do konkretnych ryzyk w rejestrze, z oceną efektywności kontroli według skali 1–4 z frameworku. Na końcu zadbaj, żeby raporty dla komitetu audytu mówiły o cyberze tym samym językiem, co o finansach: scenariusze strat, poziom resztkowego ryzyka względem apetytu, koszt domknięcia luki versus potencjalna kara i przestój – wtedy dyskusja nie kończy się na „kupmy jeszcze jednego firewalla”, tylko na świadomym wyborze, ile ryzyka naprawdę chcesz zostawić na stole.
Bibliografia
- „Risk Management Risk Management Framework Version 2.0, June 2024–2026” – załączony dokument RMF.
- UK National Cyber Security Centre – „Cyber security risk management framework” i kolekcja „Risk management”.
- NCSC – „Cyber Assessment Framework 4.0 (CAF) – Objective A: Managing security risk”.
- UK Government Security – „Principle A2: Risk Management”.
- The Supreme Court and Judicial Committee of the Privy Council – Annual Report 2024/25 (sekcje dot. governance i risk management).
- ICO ransomware decision – 3 mln GBP kara dla dostawcy oprogramowania NHS.
- UK Government – „Cyber Security Breaches Survey 2024”.
