Kybernetická bezpečnosť nie je len o technológiách, dokumentácii a legislatívnych požiadavkách. Je najmä o pochopení rizík, správnych rozhodnutiach a spolupráci ľudí, ktorí zabezpečujú fungovanie organizácie.
S rastúcou závislosťou od informačných technológií rastie aj potreba systematicky riadiť bezpečnosť. V mnohých organizáciách však bezpečnostné povinnosti pribúdajú IT pracovníkom popri každodennej prevádzke. Práve tu môže pomôcť manažér kybernetickej bezpečnosti (MKB). Je odborným partnerom, ktorý nenahrádza IT tím, ale prepája technickú realitu s potrebami a zodpovednosťou organizácie.
Máme IT oddelenie. Potrebujeme aj MKB?
IT oddelenie zabezpečuje prevádzku systémov, sietí, pracovných staníc a používateľských služieb. Riadenie kybernetickej bezpečnosti však zahŕňa aj hodnotenie rizík, nastavenie zodpovedností, tvorbu pravidiel, koordináciu opatrení a komunikáciu s vedením.
IT pracovníci a MKB nemajú byť konkurentmi. Ich úlohy sa dopĺňajú. IT tím najlepšie pozná infraštruktúru a prevádzkové obmedzenia. MKB pomáha určiť priority a vysvetliť, ktoré riziká opatrenia znižujú. Bez vzájomnej komunikácie nemôže ani dobre navrhnuté opatrenie fungovať optimálne.
Kedy je určenie MKB zákonnou povinnosťou?
Niektoré organizácie musia funkciu manažéra kybernetickej bezpečnosti zabezpečiť podľa zákona. Pri prevádzkovateľoch základnej služby, na ktorých sa vzťahujú príslušné bezpečnostné opatrenia, zákon č. 69/2018 Z. z. v § 20 ods. 4 písm. a) požaduje určenie MKB. Tento manažér musí spĺňať znalostné štandardy a pri návrhu, prijímaní a presadzovaní opatrení byť nezávislý od štruktúry riadenia prevádzky a vývoja IT služieb.
Funkciu preto nie je vhodné bez ďalšieho prideliť ľubovoľnému IT pracovníkovi. Posúdiť treba odbornosť, postavenie aj možný konflikt záujmov. Jednou z možností je externý MKB. Zodpovednosť za plnenie povinností tým však z organizácie neprechádza na dodávateľa. Aktuálne znenie zákona o kybernetickej bezpečnosti ↗
Kedy má externý MKB zmysel?
Externá spolupráca môže byť prínosná, ak organizácia nemá vlastného odborníka, IT oddeleniu chýbajú kapacity na systematické riadenie bezpečnosti alebo vedenie potrebuje nezávislé posúdenie rizík a jasný plán ďalších krokov. Rozsah spolupráce možno prispôsobiť od úvodného posúdenia stavu až po dlhodobú koordináciu bezpečnostných opatrení.
Rozhoduje pritom nielen veľkosť organizácie, ale aj jej závislosť od informačných systémov, charakter služieb, bezpečnostné riziká a konkrétne zákonné povinnosti. Externé zabezpečenie funkcie samo osebe automaticky neznamená splnenie regulácie.
Najskôr treba organizáciu dôkladne spoznať
Spolupráca sa podľa môjho názoru nezačína zoznamom smerníc, ale rozhovorom. Potrebujem poznať kľúčové služby, infraštruktúru, zodpovednosti, prevádzkové procesy aj existujúce opatrenia. Dôležitá je otvorená komunikácia s vedením, IT pracovníkmi a ďalšími zodpovednými ľuďmi. Často práve rozhovory ukážu súvislosti, ktoré z dokumentácie nevidno.
GAP analýza: viac než kontrola dokumentácie
Jedným z nástrojov, ktoré pri úvodnom posúdení používam, je podrobná GAP analýza kybernetickej bezpečnosti. Vykonávam ju do hĺbky porovnateľnej s rozsahom preverovania pri zákonnom audite. Hodnotím nielen existenciu dokumentov, ale aj reálne fungovanie infraštruktúry, procesov, opatrení a zodpovedností.
Prínos je obojstranný. Ja detailne spoznám prostredie zákazníka a jeho možnosti. Zákazník získa podrobnú GAP analýzu a zrozumiteľnú záverečnú správu s identifikovanými nesúladmi, ich významom a odporúčaniami na odstránenie.
Záverečná správa ako praktická „kuchárka“
Záleží mi na tom, aby výsledkom nebol ďalší dokument odložený v zásuvke. Záverečná správa má vysvetliť, čo už organizácia spĺňa, kde sú nedostatky, aké sú priority a ktoré kroky jej pomôžu postupne dosahovať súlad s relevantnou reguláciou.
GAP analýza by nemala iba pomenovať nedostatky. Mala by organizácii ukázať aj cestu, ako ich odstrániť.
Takýto návod môže zákazník použiť aj pri realizácii opatrení vlastnými kapacitami. Ak následne pokračujeme v spolupráci, už poznám jeho technické prostredie a môžeme sa sústrediť na konkrétne priority. Podrobná GAP analýza však nenahrádza zákonný audit, ak ho právne predpisy vyžadujú.
MKB a IT tím musia byť partneri
IT sa profesionálne venujem od roku 2004 a riadeniu kybernetickej bezpečnosti od roku 2018. Poznám preto situácie, keď IT pracovníci popri prevádzke riešia nové povinnosti, zmeny procesov alebo požiadavky, ktorých prínos nie je na prvý pohľad zrejmý.
Staviam na otvorenej komunikácii, vzájomnom rešpekte a spoločnom hľadaní riešení. Neznamená to ustupovať od potrebných opatrení, ale vysvetliť ich význam a hľadať realizovateľný postup. Rovnako dôležité je, aby vedenie rozumelo rizikám a vytváralo podmienky na ich zvládanie.
Súčasťou dlhodobej spolupráce je aj vzdelávanie
Technické a organizačné opatrenia potrebujú dopĺňať ľudia, ktorí rozumejú rizikám. Preto pri spolupráci venujem pozornosť školeniam zamestnancov, vedeniu aj IT administrátorom. Obsah prispôsobujem veľkosti, odvetviu a prostrediu konkrétnej organizácie.
Pri školeniach využívam anonymizované skúsenosti z praxe, známe incidenty a modelové situácie. Súčasťou môže byť krátke cvičenie s ilustračným phishingovým e-mailom vytvoreným pre dané prostredie alebo vopred schválená simulovaná phishingová kampaň. Cieľom nie je hľadať vinníkov, ale pomôcť ľuďom rozpoznať riziká a reagovať správne.
Téme, prečo majú školenia účastníkov zaujať a ako môžu pomôcť phishingové simulácie, sa venujem podrobnejšie v samostatnom článku o bezpečnostnom vzdelávaní.
Od posúdenia stavu k dlhodobému zlepšovaniu
Po úvodnom posúdení treba zistenia premeniť na uskutočniteľné kroky. Niektoré sú rýchle, iné si vyžiadajú investície alebo zmenu procesov. Externý MKB môže koordinovať priority, komunikovať s vedením a IT tímom a priebežne vyhodnocovať fungovanie opatrení.
Dobrý manažér kybernetickej bezpečnosti má byť pre IT tím partnerom. Bezpečnosť, ktorej ľudia rozumejú a na ktorej spolupracujú, má oveľa väčšiu šancu fungovať aj v každodennej prevádzke.