W każdej firmie jest ktoś, kto odpowiada za IT. Naprawia komputery, opiekuje się serwerami, odpowiada na pytania pracowników i zwykle dobrze zna swoją robotę. Ale gdy klient przysyła kwestionariusz bezpieczeństwa ze stoma pytaniami, gdy zarząd pyta „czy jesteśmy bezpieczni?”, gdy ktoś musi zdecydować, czy dotyczy nas NIS2, okazuje się, że takiej osoby nie ma. Wsparcie IT i zarządzanie bezpieczeństwem to różne zawody, a jedna osoba rzadko ma czas na oba.
Duże firmy rozwiązują to, zatrudniając dyrektora ds. bezpieczeństwa informacji (CISO). Dla średniej firmy rzadko jest to realne: tacy specjaliści są na rynku deficytowi, ich wynagrodzenia są porównywalne z zarobkami członków zarządu, a pracy często nie wystarcza na pełny etat.
W tym artykule wyjaśniamy, czym faktycznie zajmuje się lider bezpieczeństwa, dlaczego dla średniej firmy usługa ma większy sens niż zatrudnienie, co obejmuje i jak współgra z Twoim obecnym IT.
Czym faktycznie zajmuje się lider bezpieczeństwa
Lider bezpieczeństwa to nie lepszy administrator IT. Nie instaluje antywirusa i nie konfiguruje zapór sieciowych. Jego zadaniem jest dopilnować, żeby firma znała swoje ryzyka, podejmowała w ich sprawie decyzje i potrafiła to udowodnić.
W praktyce oznacza to cztery funkcje. Po pierwsze, ryzyka: zrozumienie, co jest dla firmy najważniejsze, co jej zagraża i ile ryzyka zarząd jest gotów zaakceptować. Po drugie, zasady: przygotowanie polityk i procedur, które faktycznie są przestrzegane, i pilnowanie, żeby się nie dezaktualizowały. Po trzecie, kontrola: sprawdzanie, czy IT robi to, co obiecało, i czy to działa. Po czwarte, rozliczalność: wyjaśnianie zarządowi, klientom i audytorom, jak wygląda sytuacja, bez technicznego żargonu.
Administrator IT odpowiada na pytanie „jak to zrobić”. Lider bezpieczeństwa odpowiada na pytanie „co trzeba zrobić i dlaczego”. To różne perspektywy i dobrze, gdy reprezentują je różne osoby, bo lider bezpieczeństwa, między innymi, sprawdza pracę IT.
Dlaczego etat jest zbyt drogi dla firmy z 50–300 pracownikami
W firmie tej wielkości praca lidera bezpieczeństwa to kilka dni w miesiącu. Polityki trzeba napisać raz i przeglądać co roku. Rejestr ryzyk aktualizuje się co kwartał. Audyt koordynuje się raz w roku. Kwestionariusze klientów wypełnia się kilka razy w roku. Raport dla zarządu powstaje co kwartał.
Pełny etat przy takim obciążeniu oznacza, że drogi specjalista większość czasu spędzi na pracy, która nie jest jego, albo się znudzi i odejdzie. Częsty scenariusz z naszego doświadczenia: firma zatrudnia specjalistę ds. bezpieczeństwa, a rok później ta osoba zostaje szefem IT, bo tej pracy jest więcej, i zarządzanie bezpieczeństwem znowu zostaje bez właściciela.
Drugi problem to doświadczenie. Jedna osoba w całej karierze widzi garstkę firm. Zespół świadczący usługę pracuje jednocześnie z wieloma klientami z różnych branż, więc szybciej rozpoznaje problemy i wie, o co zapytają audytorzy, bo ma z nimi do czynienia na co dzień.
Trzeci to ciągłość. Etatowy specjalista idzie na urlop, choruje albo zmienia pracę i cała wiedza odchodzi razem z nim. Usługę realizuje zespół, więc wiedza jest udokumentowana i zostaje w firmie.
Co obejmuje CISO jako usługa
CISO jako usługa (zwane też vCISO, wirtualnym CISO) to funkcja lidera bezpieczeństwa realizowana przez zewnętrzny zespół w uzgodnionym zakresie. U nas obejmuje następujące prace.
Polityki i procedury
Przygotowujemy i utrzymujemy zestaw polityk dopasowanych do wielkości i wymagań firmy: bezpieczeństwo informacji, kontrola dostępu, kopie zapasowe, incydenty, dostawcy, dopuszczalne użycie. Polityki piszemy krótko i tak, żeby były naprawdę przestrzegane, a nie tylko robiły wrażenie na audytorze.
Rejestr ryzyk
Przeprowadzamy wstępną ocenę ryzyka i prowadzimy rejestr ryzyk: każde ryzyko ma właściciela, środki zaradcze i terminy. Rejestr jest co kwartał przeglądany razem z zarządem, żeby decyzje o ryzykach zapadały świadomie, a nie domyślnie.
Plan reagowania na incydenty
Przygotowujemy procedurę zarządzania incydentami z jasnymi rolami, kontaktami, wzorami zgłoszeń i terminami, w tym zgłoszeniami do organów na podstawie NIS2 lub DORA. Plan jest co najmniej raz w roku sprawdzany w ćwiczeniu, żeby podczas prawdziwego incydentu nikt nie czytał dokumentu po raz pierwszy.
Raportowanie dla zarządu
Co kwartał zarząd otrzymuje krótki raport: jaki jest stan bezpieczeństwa, co się zmieniło, które ryzyka są największe i jakie decyzje są potrzebne. Lider bezpieczeństwa uczestniczy w spotkaniu i odpowiada na pytania. Spełnia to także wymóg NIS2 dotyczący zaangażowania kierownictwa.
Koordynacja audytów i kwestionariuszy
Lider bezpieczeństwa koordynuje audyty zewnętrzne, kwestionariusze bezpieczeństwa od klientów oraz przygotowanie do certyfikacji lub kontroli organu nadzoru. Wie, gdzie są wszystkie dokumenty, i odpowiada audytorowi w imieniu firmy, zamiast przekazywać pytania administratorowi IT.
Nadzór nad dostawcami
Prowadzimy listę dostawców IT i chmury, oceniamy ich ryzyka i przeglądamy umowy, żeby zawierały postanowienia o bezpieczeństwie, zgłaszaniu incydentów i prawie do audytu.
Jak mierzyć korzyści
Korzyść z bezpieczeństwa trudno zmierzyć, bo sukces oznacza, że nic się nie stało. Są jednak konkretne wskaźniki, które proponujemy śledzić od pierwszego kwartału.
- Stan rejestru ryzyk: ile ryzyk wysokich jest otwartych, ile zamknięto w kwartale, czy są ryzyka bez właściciela.
- Zamykanie ustaleń z audytów: ile ustaleń krytycznych i wysokich naprawiono w wyznaczonym terminie.
- Czas odpowiedzi na kwestionariusze klientów: ile dni zajmuje wypełnienie kwestionariusza oceny dostawcy. Z naszego doświadczenia spada z tygodni do dni, bo odpowiedzi są już przygotowane.
- Wskaźniki incydentów: ile incydentów odnotowano, jak szybko je rozpoznano, czy dotrzymano terminów zgłoszeń.
- Testy odtwarzania: ile ich wykonano i czy osiągnięto założony czas odtwarzania.
- Szkolenia: jaki odsetek pracowników ukończył szkolenie i jak zmienia się reakcja na symulowane wiadomości phishingowe.
Te wskaźniki tworzą kwartalny raport dla zarządu. Po roku można jasno powiedzieć, co się zmieniło.
Jak usługa współpracuje z Twoim obecnym IT
Najczęstsze pytanie kadry zarządzającej: czy lider bezpieczeństwa nie wejdzie w konflikt z naszym informatykiem lub dostawcą IT? Odpowiedź brzmi: nie, o ile role są wyraźnie rozdzielone.
Lider bezpieczeństwa decyduje, co trzeba zrobić, i sprawdza, czy zostało zrobione. Administrator lub dostawca IT to wykonuje. Jeśli IT obsługuje firma zewnętrzna, lider bezpieczeństwa staje się przedstawicielem po stronie klienta, który formułuje wymagania bezpieczeństwa wobec dostawcy i sprawdza ich spełnianie. Wielu dostawców IT uważa to za wygodne: dostają jasne zadania zamiast mglistego „zadbajcie o bezpieczeństwo”.
Gdy wsparcie IT świadczy MDP CLOUD, celowo oddzielamy funkcję lidera bezpieczeństwa od zespołu wsparcia, żeby kontrola nie była tylko formalnością. Gdy IT obsługuje inna firma, współpracujemy z nią jak partnerzy: wspólne spotkania, wspólny plan działań i jasny podział odpowiedzialności.
Od czego zacząć
- Odpowiedz na pytanie, kto w firmie odpowiada dziś za decyzje dotyczące bezpieczeństwa, a nie za ich wykonanie. Jeśli odpowiedź brzmi „wszyscy po trochu” albo „IT”, funkcja lidera bezpieczeństwa jest nieobsadzona.
- Wypisz wymagania zewnętrzne: kwestionariusze klientów, NIS2 lub DORA, planowane przetargi, certyfikaty. To one wyznaczą zakres usługi.
- Zacznij od oceny ryzyka lub audytu bezpieczeństwa IT: dadzą Ci punkt wyjścia, względem którego zmierzysz postępy.
- Ustal role z obecnym IT: kto decyduje, kto wykonuje, kto sprawdza.
- Wybierz zakres usługi: od kilku dni w miesiącu po stałe zaangażowanie. Więcej o tym, jak to wygląda w praktyce, przeczytasz na stronie CISO jako usługa.
Nasi liderzy bezpieczeństwa mają ważne certyfikaty ISACA (CISM, CISA, CRISC, CGEIT) i pracują zgodnie z wymaganiami ISO 27001. Podczas pierwszej rozmowy uczciwie powiemy, czy potrzebujesz usługi ciągłej, czy wystarczy kilka jednorazowych projektów.
