10 najčastejších bezpečnostných rizík, ktoré môže odhaliť bezpečnostný audit

10 najčastejších bezpečnostných rizík, ktoré môže odhaliť bezpečnostný audit

Bezpečnostný audit je proces  zisťovania a odhaľovania bezpečnostných rizík v systéme ochrany osôb a majetku [1]. Bezpečnostný audit vykonávajú odborníci, ktorí presne kvalifikujú a kvantifikujú hrozby a riziká ohrozujúce chránený záujem [2] auditovanej jednotky.

Profesionálne vykonaný audit napomáha efektívne znižovať náklady na ochranu osôb a majetku auditovanej jednotky, vytvára dobrý predpoklad ochrany obchodného tajomstva[3] a napomáha budovaniu dobrej povesti auditovanej jednotky.   

Výkon bezpečnostného auditu sa zameriava na celý rad relevantných skutočností akými sú napr:

1. počet chránených osôb,
2. hodnota chráneného majetku oceniteľná peniazmi,
3. počet osôb, ktoré prichádzajú do styku s chráneným záujmom,
4. možnosť úmyselného poškodenia majetku,
5. riziko krádeže,
6. pasívne a aktívne odpočúvanie,
7. poloha, umiestnenie a zabezpečenie majetku,
8. technické poruchy v systéme zabezpečenia,
9. ľudský faktor (vedomostná zložka, výcvik, školenie),
10. vyhodnotenie miery rizika ohrozenia chráneného záujmu (malá, stredná a veľká).

V nasledovných bodoch sú uvedené najčastejšie bezpečnostné riziká, ktoré môže bezpečnostný audit odhaliť:

1. Nedostatočná ochrana objektu z hľadiska fyzickej a technickej ochrany

Ide o prípad nedostatočnej alebo žiadnej ochrany [4] objektu prostredníctvom osôb poverených výkonom fyzickej ochrany, resp. o prípad nedostatočného zabezpečenia objektu zabezpečovacím systémom[5], poplachovým systémom [6] alebo iným technickým prostriedkom[7].

Oblasti, v ktorých sú často zistené nedostatočné technické zabezpečenia objektov sú nasledovné:

2. Nevyhovujúce reakčné postupy v prípade narušenia chráneného záujmu

Čiastočná alebo úplná neprítomnosť „živej sily“ v podobe osôb poverených výkonom fyzickej ochrany vytvára priestor na predĺženie reakčného času fyzickej ochrany, ktorý je potrebný na vykonanie zásahu[8] proti narušiteľovi objektu. Uvedená skutočnosť negatívne vplýva na možnosť zabrániť ďalším hroziacim škodám a na možnosť obmedzenia osobnej slobody osoby, ktorá ohrozila alebo porušila chránený záujem. Podobná situácia môže nastať aj v prípadoch, ak posudzovaná organizácia nemá vypracované postupy pre prípad výskytu bezpečnostných hrozieb, iných ako určujú všeobecne záväzné právne predpisy na úseku ochrany zdravia pri práci[9] a protipožiarne predpisy [10].

3. Riziká v dopravnom systéme

Tu môže ísť o nebezpečné úseky, kde je vysoké riziko útoku alebo krádeže, nedostatočné osvetlenie prístupových ciest alebo nedostatočné zabezpečenie parkovacích miest. Napríklad, ak sú parkovacie miesta umiestnené v temných a izolovaných oblastiach, môže to zvýšiť riziko krádeže alebo dokonca útoku na zamestnancov či návštevníkov.

4. Nezabezpečená preprava finančných prostriedkov

Prípad prepravy finančných prostriedkov bez adekvátnej ochrany[11], predstavuje významné bezpečnostné riziko pre organizácie. Bez správneho zabezpečenia môže dôjsť k značnej

finančnej strate v dôsledku krádeže alebo lúpeže, pričom pri takomto protiprávnom konaní sa zamestnanci auditovanej spoločnosti môžu stať objektami priameho fyzického ohrozenia.

5. Nedostatočné kybernetické zabezpečenie

Ďalším rizikom je nedostatočné kybernetické zabezpečenie. Ak sú systémy zabezpečenia zastarané, alebo ak existujú slabé miesta v sieťovej infraštruktúre, môže to vytvoriť priestor pre kybernetické útoky. Kybernetická bezpečnosť[12] je v súčasnosti jednou z najdôležitejších oblastí bezpečnosti, pretože kybernetické útoky môžu mať pre organizácie ďalekosiahle a vážne následky. Následky kybernetických útokov môžu spôsobiť stratu dôvernosti údajov, zničenie údajov, narušenie integrity systému alebo ohrozenie bezpečnosti informácií.

6. Chyby v kontrolnej činnosti

Ak sú kontroly pri príchode alebo odchode osôb z chráneného objektu nedostatočné alebo neefektívne, môže dôjsť k neoprávnenému vstupu do chráneného objektu. Kontroly osôb, ktoré vstupujú do chráneného objektu by mali byť zamerané na to, aby vstup do objektu bol umožnený iba oprávneným osobám. Kontrolná činnosť v chránenom objekte by mala byť príslušnými režimovými opatreniami upravená tak, aby sa aj v mimopracovnom čase vykonávala kontrola pracoviska so zameraním na zisťovanie prítomnosti osôb v chránenom objekte. Kontrola priestorov vyplýva právnickým aj fyzickým osobám okrem iného aj z príslušných všeobecných záväzných platných noriem o požiarnej prevencii[13].

7. Nesprávne nastavené režimové opatrenia

Režimové opatrenia, ktoré určujú vstup osôb, vjazd vozidiel do chráneného objektu, rovnako aj ich odchod a výjazd, podmienky pohybu osôb a dopravných prostriedkov, povolený čas strávený v chránenom objekte, spôsob používania mobilných telefónov a iných technických zariadení v chránenom objekte, to všetko sú faktory, ktoré vplývajú na úroveň zabezpečenia objektu.  Racionálnym nastavením bezpečnostných opatrení v pracovnom aj mimopracovnom čase sa značne eliminuje bezpečnostné riziko auditovanej jednotky, dochádza k úspore finančných prostriedkov, ktoré podnikateľ vynakladá na ochranu priorizovaných záujmov a dochádza k optimálnemu bezpečnostnému riešeniu, ktoré obsahuje prvky fyzickej a technickej bezpečnosti.

8. Nedostatočné školenie zamestnancov

Nesprávne, neúplne vyškolení zamestnanci v oblasti bezpečnosti, zvýšujú riziko vzniku bezpečnostných hrozieb. Ľudský faktor je častým zdrojom bezpečnostných hrozieb, preto je dôležité, aby zamestnanci mali dostatok vedomostí a zručností v oblasti bezpečnosti. Zamestnanec je osoba, ktorá má často prvú informáciu o hroziacom alebo prebiehajúcom útoku na chránený záujem podnikateľa. Nesprávnym vyhodnotením informácie, jej podcenením, nespracovaním a neoznámením často dochádza k zbytočným stratám v majetkovej sfére podnikateľa. Môže ísť o prípad nenahlásenia jednoduchých informácií o poškodenom zámku, vypnutom poplašnom systéme, premiestnení nábytku, zapnutých stolných počítačoch, hlásení o pokuse preniknúť do informačného systému, neoprávnenom použití dopravného prostriedku atď.

9. Neprimerane nastavené prístupové práva

Uvedené riziko sa týka neprimerane nastavených prístupových práv do vybraných miestností, dopravných prostriedkov, k vybraným technológiám alebo do informačných systémov. Príliš voľne nastavené prístupové práva, uľahčujú neoprávnený prístup k chráneným priestorom, technológiám a citlivým údajom. Je dôležité, aby boli nastavené tak, aby zamestnanci mali prístup výhradne len do priestorov, technológiám a informáciám, ktoré sú nevyhnutné pre vykonávanie ich práce.

10. Nedostatočná pravidelná kontrola a aktualizácia systémov

Veľmi častým rizikom je tiež nedostatočná pravidelná kontrola a aktualizácia bezpečnostných  systémov (zabezpečovacích, poplachových, a iných technických - kamery). Ak sa bezpečnostné systémy pravidelne nekontrolujú a neaktualizujú, môže to vystaviť organizáciu riziku z dôvodu zastaraných alebo nesprávne fungujúcich zabezpečovacích zariadení. Je dôležité, aby organizácie pravidelne prehodnocovali a aktualizovali svoje bezpečnostné systémy, aby zabezpečili ich efektívnosť a spoľahlivosť.

Zmena kódových nastavení a hesiel sa vykonáva po inštalácii nových zabezpečovacích alebo poplachových systémov a iných technických prostriedkov, táto zmena je žiadúca po každej zmene zamestnancov, ktorí poznajú kódové nastavenia alebo heslá, alebo vždy, keď sa vyskytlo ohrozenie chránenej osoby alebo chráneného objektu. Odporúča sa kódové nastavenia a heslá sa  ukladať u určenej osoby.

Riziká môžu byť rôzne a závisia od konkrétnej situácie a prostredia. Bezpečnostný audit je významným nástrojom, ktorý pomáha identifikovať tieto riziká a navrhnúť adekvátne riešenia pre ich elimináciu alebo aspoň minimalizáciu.

Kvalitne vykonaný bezpečnostný audit by mal byť preto súčasťou každej organizácie, ktorá chce chrániť svoj majetok a zamestnancov pred možnými hrozbami. Jeho význam sa v súčasnej dobe ešte viac zvyšuje, pretože svet je čoraz viac prepojený a digitálny, čo so sebou prináša aj nové typy rizík a bezpečnostných výziev pre zodpovedné podnikanie.

[1] Napr. § 3 písm. h) (vypracúvanie plánu ochrany) a § 4 písm. f) (získavanie údajov o protiprávnom konaní ohrozujúcom obchodné tajomstvo) zákona č. 473/2005 Z.z. o  poskytovaní služieb v oblasti súkromnej bezpečnosti a o zmene a doplnení niektorých zákonov (zákon o súkromnej bezpečnosti) v znení neskorších predpisov (ďalej len “zákon o súkromnej bezpečnosti”)

[2] Chránený záujem môže predstavovať napr. život a zdravie chránených osôb, alebo majetok, ktorý má byť predmetom ochrany, chráneným záujmom môže byť i dodržiavanie poriadku na mieste zhromažďovania osôb atď., vo všeobecnosti možno povedať, že chráneným záujmom môže byť čokoľvek, čo neodporuje všeobecne záväzným právnym predpisom a dobrým mravom

[3] § 17 a nasl. Obchodného zákonníka

[4] § 48 a nasl. zákona o súkromnej bezpečnosti

[5] § 8 písm. g) zákona o súkromnej bezpečnosti

[6] § 8 písm. h) zákona o súkromnej bezpečnosti

[7] § 8 písm. i) zákona o súkromnej bezpečnosti

[8] § 8 písm. f) zákona o súkromnej bezpečnosti

[9] Napr. zákon č. 124/2006 Z.z. o bezpečnosti a ochrane zdravia pri práci a o zmene a doplnení niektorých zákonov v znení neskorších predpisov

[10] Napr. vyhláška Ministerstva vnútra Slovenskej republiky č. 121/2002 Z.z. o požiarnej prevencii

[11] § 48 a nasl. zákona o súkromnej bezpečnosti

[12] Podľa § 3 písm. h) zákona č. 69/2018 Z.z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov sa kybernetickou bezpečnosťou rozumie stav, v ktorom sú siete a informačné systémy schopné odolávať na určitom stupni spoľahlivosti akémukoľvek konaniu, ktoré ohrozuje dostupnosť, pravosť, integritu alebo dôvernosť uchovávaných, prenášaných alebo spracúvaných údajov alebo súvisiacich služieb poskytovaných alebo prístupných prostredníctvom týchto sietí a informačných systémov

[13] Podľa § 11 ods. 2  vyhlášky Ministerstva vnútra Slovenskej republiky č. 121/2002 Z.z. o požiarnej prevencii poverené osoby vykonávajú pravidelné obchôdzky v objektoch a v priestoroch právnickej osoby a podnikajúcej fyzickej osoby; prvú obchôdzku vykonávajú bezprostredne po odchode zamestnancov z pracoviska po skončení pracovnej zmeny a ďalšie obchôdzky v čase určenom v písomnom pokyne štatutárnym orgánom právnickej osoby, podnikajúcej fyzickej osoby alebo jej zodpovedným zástupcom