Organizácia môže mať vypracované bezpečnostné smernice, zakúpené moderné technológie a určené zodpovedné osoby. Napriek tomu nemusí mať dostatočný prehľad o svojich bezpečnostných rizikách alebo o tom, či prijaté opatrenia skutočne fungujú.
Práve tu má manažér kybernetickej bezpečnosti svoje miesto.
Ako externý manažér kybernetickej bezpečnosti (MKB) pomáham organizáciám systematicky riadiť bezpečnostné riziká, plniť legislatívne požiadavky a zavádzať účinné opatrenia. Mojou úlohou nie je iba upozorňovať na nedostatky. Dôležité je určiť priority, vysvetliť dôvody navrhovaných opatrení a v spolupráci s vedením a IT tímom pomáhať pri ich realizácii.
Kybernetická bezpečnosť sa nezlepšuje počtom vypracovaných dokumentov, ale tým, čo sa v organizácii reálne zmení.
Čo riešim v praxi
Každá organizácia má iné technológie, procesy a prevádzkové potreby. Niektoré bezpečnostné problémy sa však opakujú bez ohľadu na odvetvie či veľkosť organizácie.
Technológie sú zavedené. Funguje však bezpečnosť ako celok?
Firewall, antivírusový systém či zálohovanie sú dôležitou súčasťou ochrany. Samotná existencia týchto technológií však ešte neznamená, že organizácia má bezpečnostné riziká pod kontrolou.
V praxi je potrebné preverovať napríklad správu používateľských a privilegovaných účtov, segmentáciu siete, dostupnosť systémov z internetu, aktuálnosť bezpečnostných aktualizácií alebo možnosti obnovy po incidente.
Organizácia môže pravidelne vytvárať zálohy, ale až úspešný test obnovy preukáže, že sa na ne dokáže v prípade potreby spoľahnúť.
Úlohou MKB je pomáhať identifikovať tieto riziká, stanovovať priority a koordinovať potrebné opatrenia.
Bezpečnostná dokumentácia existuje. Používa sa však aj v praxi?
Vypracovanie smerníc a bezpečnostných politík je dôležité. Ich skutočný význam sa však prejaví až vtedy, keď sú premietnuté do procesov a každodennej prevádzky.
Napríklad pravidlá riadenia prístupov by mali zodpovedať tomu, ako organizácia v skutočnosti prideľuje, mení a odoberá používateľské oprávnenia.
Podobne nestačí mať spracovaný postup riešenia bezpečnostných incidentov, ak pracovníci nevedia, komu majú podozrivú udalosť oznámiť a ako má organizácia následne postupovať.
MKB pomáha prepájať dokumentáciu, technické opatrenia a organizačné procesy tak, aby tvorili funkčný systém riadenia bezpečnosti.
Vedenie a IT tím majú spoločný cieľ, ale rozdielne pohľady
Vedenie potrebuje poznať bezpečnostné riziká, ich možné dopady a náklady na potrebné opatrenia.
IT tím zabezpečuje každodennú prevádzku, dostupnosť systémov a riešenie technických problémov. Nové bezpečnostné požiadavky preto môžu predstavovať ďalšie úlohy, technické zmeny alebo potrebu dodatočných kapacít.
Práve preto považujem otvorenú komunikáciu za nevyhnutnú súčasť riadenia kybernetickej bezpečnosti.
MKB má vedeniu poskytovať odborné podklady na rozhodovanie a zároveň rozumieť technickým možnostiam organizácie. Jeho úlohou je navrhovať primerané opatrenia, vysvetľovať ich význam a koordinovať ich zavádzanie.
Dobrý manažér kybernetickej bezpečnosti nemá byť pre IT tím iba kontrolórom, ale predovšetkým odborným partnerom.
Čo zahŕňa externý výkon funkcie MKB?
Rozsah spolupráce sa prispôsobuje potrebám organizácie, jej veľkosti, bezpečnostnému prostrediu a legislatívnym povinnostiam. Medzi hlavné činnosti patria:
- Riadenie kybernetickej bezpečnosti. Koordinácia bezpečnostných činností, stanovovanie priorít a pravidelné vyhodnocovanie stavu bezpečnosti.
- Riadenie rizík. Identifikácia informačných aktív, analýza bezpečnostných rizík a návrh opatrení na ich ošetrenie.
- Legislatívny súlad. Odborná podpora pri plnení požiadaviek zákona o kybernetickej bezpečnosti a relevantných vykonávacích predpisov.
- Bezpečnostné opatrenia. Návrh opatrení, koordinácia ich zavádzania a sledovanie plnenia a účinnosti.
- Bezpečnostná dokumentácia. Koordinácia tvorby, aktualizácie a uplatňovania bezpečnostných politík, smerníc a postupov.
- Bezpečnostné incidenty. Odborná podpora pri nastavení postupov, koordinácii riešenia incidentov a vyhodnocovaní nápravných opatrení.
- Vzdelávanie a bezpečnostné povedomie. Podpora pri príprave školení a zvyšovaní povedomia zamestnancov.
- Príprava na audity a kontroly. Posudzovanie pripravenosti, identifikácia nedostatkov a koordinácia potrebných nápravných opatrení.
- Komunikácia s vedením a IT. Pravidelné informovanie o bezpečnostných rizikách, stave opatrení a oblastiach vyžadujúcich rozhodnutia vedenia.
Kedy je vhodné využiť externého MKB?
Externý manažér kybernetickej bezpečnosti je vhodným riešením pre organizácie, ktoré potrebujú zabezpečiť výkon tejto funkcie, ale nemajú vlastné odborné kapacity alebo ich chcú doplniť o nezávislý pohľad.
Nie každá organizácia potrebuje manažéra kybernetickej bezpečnosti na plný pracovný úväzok. Externá spolupráca umožňuje nastaviť pravidelný rozsah poskytovaných služieb podľa reálnych potrieb a bezpečnostných rizík.
Využitie externého MKB má význam aj vtedy, keď organizácia potrebuje zlepšiť existujúce procesy, pripraviť sa na bezpečnostný audit alebo systematicky riešiť zistené nedostatky.
Čo vyžaduje slovenská legislatíva?
Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti v § 20 ods. 4 písm. a) ustanovuje v rámci bezpečnostných opatrení požiadavku určenia manažéra kybernetickej bezpečnosti, ktorý spĺňa znalostné štandardy pre výkon tejto roly.
Zároveň požaduje, aby bol MKB pri návrhu, prijímaní a presadzovaní bezpečnostných opatrení nezávislý od štruktúry riadenia prevádzky a vývoja služieb informačných technológií.
Táto požiadavka je dôležitá pre objektívne posudzovanie bezpečnostných rizík a predchádzanie konfliktom záujmov.
Neznamená však, že MKB má byť oddelený od IT pracovníkov. Naopak, účinné riadenie kybernetickej bezpečnosti vyžaduje aktívnu spoluprácu s ľuďmi, ktorí zodpovedajú za prevádzku a rozvoj informačných systémov.
Konkrétne povinnosti organizácie závisia od jej právneho postavenia a príslušných legislatívnych požiadaviek. Nie na každú organizáciu sa vzťahuje rovnaký rozsah povinností.
Ako prebieha naša spolupráca?
Oboznámenie sa s organizáciou
Na začiatku sa oboznámim s prevádzkovým prostredím, informačnými systémami, bezpečnostnou dokumentáciou, existujúcimi opatreniami a spôsobom riadenia bezpečnosti.
Dôležitou súčasťou sú rozhovory s vedením a zodpovednými pracovníkmi IT. Pomáhajú pochopiť nielen technické prostredie, ale aj jeho každodenné fungovanie.
Stanovenie priorít
Na základe zisteného stavu a identifikovaných rizík pripravujem odborné odporúčania a návrhy opatrení.
V spolupráci s vedením a IT tímom pomáham určiť priority, ktoré zohľadňujú bezpečnostné potreby, prevádzkové požiadavky a dostupné kapacity organizácie.
Pravidelná spolupráca
V dohodnutom rozsahu zabezpečujem výkon funkcie MKB, koordinujem bezpečnostné činnosti, sledujem plnenie prijatých opatrení a primerane vyhodnocujem ich účinnosť.
Vedenie tak získava prehľad o bezpečnostných rizikách, aktuálnom stave opatrení a témach, ktoré si vyžadujú ďalšie rozhodnutia.
Odbornosť podložená skúsenosťami
Informačným technológiám sa profesionálne venujem od roku 2004 a riadeniu kybernetickej bezpečnosti od roku 2018.
Som držiteľom medzinárodných odborných certifikácií CISM, CISSP a CompTIA Security+ a certifikátu manažéra kybernetickej bezpečnosti podľa certifikačnej schémy Národného bezpečnostného úradu.
Skúsenosti som získal pri spolupráci s organizáciami z oblasti výroby, potravinárstva, distribúcie, komunálnych služieb, kultúry, verejného sektora a zdravotníctva.
Pred pôsobením v oblasti bezpečnostného manažmentu som dlhé roky pracoval priamo v IT. Rozumiem preto tomu, že zavádzanie bezpečnostných opatrení musí zohľadňovať aj stabilitu prevádzky, technické možnosti a kapacity IT tímu.
Odbornosť, praktické skúsenosti a otvorená komunikácia sú základom môjho prístupu k spolupráci.
Hľadáte externého manažéra kybernetickej bezpečnosti?
Ak potrebujete zabezpečiť výkon funkcie MKB alebo odbornú podporu pri riadení kybernetickej bezpečnosti, rád s vami prediskutujem možnosti spolupráce.
Spoločne posúdime potreby vašej organizácie a navrhneme primeraný rozsah služieb.