Kiedy pada pytanie o największe zagrożenia dla firmowego IT, większość rozmów schodzi na ataki. To zrozumiałe, bo to one trafiają na nagłówki. Tymczasem najbardziej niedoszacowane zagrożenia to dziś nie te najbardziej medialne, tylko systemowe. Takie, które nie są spektakularne, ale mogą zatrzymać biznes lub państwo w całości.

Naszym zdaniem trzy z nich zasługują na szczególną uwagę.

Pierwszym jest odcięcie od usług. Dotyczy chmury, oprogramowania dostarczanego w modelu usługowym i infrastruktury, a w szczególności usług chmury publicznej. W tym scenariuszu firma nie pada ofiarą ataku ani awarii. Po prostu traci dostęp do środowiska, na którym pracuje. Z dnia na dzień, decyzją podjętą poza nią. Dla biznesu oznacza to zatrzymanie procesów bez żadnej winy po własnej stronie i bez prostej drogi powrotu.

Drugim jest presja geopolityczna i sankcje. W Europie to zagrożenie jest drastycznie niedoszacowane. Obecnie wystarczy kilka dni, aby uruchomić kolejną wojnę celną obejmującą na przykład usługi chmury publicznej. Jej efektem może być drastyczny spadek dostępności usług IT. Innymi słowy: o dostępie polskiej firmy do jej systemów może przesądzić spór handlowy, w którym ta firma nie bierze żadnego udziału.

Trzecim jest zmiana prawa i regulacji, czyli szok regulacyjny. To zagrożenie nie zabija nagle, ale wymusza kosztowne i szybkie zmiany. Najlepszymi przykładami są dziś RODO, AI Act i NIS 2. Każda z tych regulacji ma również pozytywną stronę i nie o straszenie nimi chodzi. Chodzi o to, że w analizie ryzyka biznesowego trzeba je uwzględniać tak samo poważnie jak awarie.

Jak na tym tle wypadają zagrożenia, o których mówi się najwięcej? Porównanie trzech scenariuszy kryzysowych daje ciekawy obraz. Atak szyfrujący dane dla okupu jest najbardziej realny tu i teraz. To zagrożenie codzienne, nie hipotetyczne. Rozległa awaria zasilania to zjawisko bardzo rzadkie, ale dramatyczne w konsekwencjach. Natomiast odcięcie od zagranicznej usługi chmurowej, patrząc na obecną sytuację geopolityczną, pozostaje zagrożeniem najbardziej niedocenianym.

Te odpowiedzi układają się w jeden wniosek. Mapa ryzyka budowana wyłącznie wokół tego, co głośne i widowiskowe, jest mapą niepełną. Najwięcej uwagi przyciąga to, co już się wydarzyło komuś innemu. Najmniej to, co dopiero może wydarzyć się nam, po cichu i bez ostrzeżenia.

Jest też druga strona tej obserwacji. Zagrożenia systemowe rzadko dają wcześniejsze sygnały, które dałoby się wychwycić. Decyzji politycznej ani nowej regulacji nie zatrzyma żaden system bezpieczeństwa. Dlatego jedyną realną odpowiedzią jest przygotowanie organizacji na ich skutki, a nie próba ich uniknięcia.

W praktyce warto zacząć od prostego ćwiczenia. Do istniejącej analizy ryzyka dopisać trzy ciche scenariusze: utratę dostępu do usług zewnętrznych, skutki napięć geopolitycznych i nagłą zmianę regulacji. A następnie przy każdym z nich odpowiedzieć na jedno pytanie: czy mamy plan działania, gdy ten scenariusz się zmaterializuje, czy tylko nadzieję, że się nie zmaterializuje.

Zagrożenia systemowe mają jedną cechę wspólną z polisą ubezpieczeniową. Myśli się o nich niechętnie, dopóki nie staną się potrzebne. Różnica polega na tym, że o polisie można pomyśleć po szkodzie. O odporności na zagrożenia systemowe już nie.