Veiklos tęstinumo rizika reiškia grėsmes arba rizikas, kurios sutrikdo verslo veiklą. Šios grėsmės gali būti bet kokie nepageidaujami incidentai ar nelaimės, kurios neigiamai veikia organizaciją. Rengiant organizacijos veiklos tęstinumo planą yra numatomos jai gresiancios rizikos, įvertinamas jų lygis, numatomos valdymo priemonės. Ūkio subjektai ar kitos įstaigos, kurių vadovai dėl nacionalinių teisės aktų reikalavimų turi organizuoti ekstremaliųjų situacijų valdymo planų rengimą, derinimą ir tvirtinimą pasirengia ekstremaliųjų situacijų valdymo planus, kuriuose įsivertina tiek pavojus, kurie gali kilti organizacijoje (gaisras, teroro aktas, grasinimas įvykdyti teroro aktą, pavojingos ar ypač pavojingos žmonių užkrečiamos ligos protrūkis ar epidemija), tiek kurie gali kilti už organizacijos ribų (pvz. labai smarkus vėjas, uraganas, potvynis, teritorijos ir patalpų užteršimas pavojingomis cheminėmis medžiagomis). Tačiau neretai rengiant veiklos tęstinumo planą pamirštama, kad pavojų gali sukelti ir kibernetiniai išpuoliai, duomenų saugumo pažeidimai.
Taigi, veiklos tęstinumo rizika – tai ne tik pavojai, kurie gali kilti organizacijoje ar už jos ribtų. Organizacijos taip pat turi stebėti ir kontroliuoti šias veiklos tęstinumo rizikas:
1. Kibernetinės atakos
Kibernetinio saugumo atakos yra pagrindinis verslo ar kitos svarbios rūpesčių šaltinis. Įsilaužėlių daroma žala tinklui ir sistemoms ne tik kenkia įmonės reputacijai, bet ir gali padaryti rimtos piniginės žalos. Pavyzdžiui, 2020 m. spalį „Software AG“, Vokietijos technologijų įmonė, užpuolė „Clop“ išpirkos reikalaujanti programa. Kibernetinių nusikaltėlių gauja pareikalavo daugiau nei 20 mln. USD išpirkos. Ataka sutrikdė jų vidinio tinklo dalis.
2. Duomenų saugumo pažeidimai
Duomenų saugumo pažeidimas reiškia svarbios, privačios ir neskelbtinos informacijos (įskaitant asmens duomenis) atskleidimą ar atskleidimą neįgaliotiems asmenims. Kai kurie duomenų pažeidimo pavyzdžiai yra USB atmintinių, mobiliųjų ar kompiuterių įrenginių, nešiojamųjų kompiuterių ir kompiuterių tinklų praradimas. Tokie pažeidimai gali leisti patekti į nesąžiningų žmonių rankas jautriai informacijai apie įmonę ar organizaciją, jos klientus ir verslui padaryti didelę žalą. Tuo atveju, jeigu atskleidžiami asmens duomenys, gali kilti žala ir duomenų subjektams. Todėl organizacijoms vertėtų iš anksto žinoti, kokį poveikį gali sukelti jų atliekamas asmens duomenų tvarkymas, atlikti poveikio duomenų apsaugai vertinimą. Tai leis tiksliau įsivertinti galimą veiklos tęstinumo riziką.
Veiklos tęstinumo riziką padeda valdyti kryptinga, organizuota ir koordinuojama duomenų apsaugos bei informacijos saugos veikla, taip pat veiklos tęstinumo planavimas, kuris neretai pradedamas nuo veiklos tęstinumo plano brandos įsivertinimo. Čia ypač svarbus organizacijos veiklos tęstinumo komandos, rizikų vadovo, vidaus auditoriaus, duomenų apsaugos pareigūno indėlis.
