Ocena ryzyka nie musi być rozbudowanym dokumentem. Musi odpowiedzieć na cztery pytania przed uruchomieniem, a nie po incydencie.
Cztery pytania
Co się stanie przy błędnej odpowiedzi. Jakie dane są przekazywane. Czy rozstrzygnięcie dotyczy konkretnej osoby. Czy człowiek zatwierdza wynik.
Odpowiedzi mieszczą się w kilku zdaniach i można je napisać w kwadrans. Sens polega na tym, żeby padły przed uruchomieniem, gdy jeszcze da się zmienić zakres, a nie po pierwszej pomyłce, gdy trzeba tłumaczyć decyzję.
Skala skutków
Błąd w wewnętrznym streszczeniu jest nieistotny. Błąd w ofercie wysłanej klientowi kosztuje. Błąd w rozstrzygnięciu reklamacji dotyka konkretnej osoby. Zabezpieczenia dobieramy do tej skali.
Pomaga wyobrazić sobie najgorszy realny przebieg. Nie katastrofę, tylko zdarzenie prawdopodobne: model podaje nieistniejący termin dostawy, a klient planuje na tej podstawie własną pracę. Jeśli skutek da się odwrócić telefonem, ryzyko jest inne niż wtedy, gdy zdąży wywołać koszty.
Zastosowania wysokiego ryzyka
Dotyczące zatrudnienia, oceny zdolności płatniczej, dostępu do usług, obsługi spraw wrażliwych. Wymagają szczególnej ostrożności i kontroli człowieka.
Przy takich zastosowaniach ocena własna nie wystarcza. Pytanie, czy proces jest w tej postaci dopuszczalny i jakie obowiązki się z nim wiążą, kierujemy do prawnika albo inspektora ochrony danych, zanim cokolwiek zostanie skonfigurowane. Dużo taniej jest zmienić założenia niż gotowe wdrożenie.
Dane w zapytaniu
Rodzaj przekazywanych danych rozstrzyga, które narzędzia w ogóle wchodzą w grę. To pytanie warto zadać jako pierwsze.
Odpowiedź sprowadza się do sprawdzenia w tabeli, jeśli firma ma klasyfikację danych. Jeśli jej nie ma, każda ocena ryzyka zaczyna się od tej samej dyskusji, prowadzonej za każdym razem od nowa.
Zabezpieczenia proporcjonalne
Zatwierdzanie każdej odpowiedzi przy zastosowaniu wewnętrznym o zerowych skutkach jest kosztem bez sensu. Ryzyko wyznacza wymagania.
Działa to też w drugą stronę. Tam, gdzie rozstrzygnięcie dotyka konkretnej osoby, nadzór człowieka musi być rzeczywisty, a nie formalny. Nadmiar kontroli w miejscach nieistotnych zwykle prowadzi do tego, że w miejscach istotnych kontrola też staje się pozorna.
Zapis oceny
Kilka zdań przy wpisie w rejestrze. Przy kontroli albo incydencie pokazuje, że decyzja była świadoma.
Najwygodniej trzymać go w tym samym wierszu co wpis do rejestru zastosowań. Osobny dokument w osobnym miejscu przestaje być aktualizowany po kilku miesiącach.
Kiedy odpuścić
Jeśli odpowiedzi na cztery pytania wypadają źle, a korzyść jest niewielka, właściwym wynikiem oceny jest rezygnacja. To pełnoprawny rezultat, nie porażka wdrożenia.
Podobnie wygląda sprawa, gdy zabezpieczenia potrzebne do bezpiecznego uruchomienia kosztują więcej pracy niż sam proces, który miały usprawnić. Zdarza się to przy zadaniach wykonywanych rzadko i przy takich, gdzie każdy przypadek jest inny. Wtedy lepiej wrócić do tematu, gdy proces będzie bardziej powtarzalny, niż budować kontrolę wokół czegoś, co i tak wymaga decyzji człowieka za każdym razem.
