Mamy dokumentację bezpieczeństwa, ale nikt jej nie prowadzi

Sytuacja

Kiedyś ktoś wdrożył SZBI albo politykę bezpieczeństwa: firma zewnętrzna, poprzedni informatyk, projekt unijny. Dokumenty są w segregatorze albo na dysku sieciowym. Od tego czasu zmienili się ludzie, systemy i przepisy. Rejestr incydentów jest pusty, co nie znaczy, że incydentów nie było.

Co to naprawdę znaczy

Dokumentacja bez opiekuna jest gorsza niż jej brak. Przy kontroli udowadnia, że wiedzieliście, co trzeba robić, i tego nie robiliście. Audytor pyta o dowody: kiedy był ostatni przegląd zarządzania, kto zatwierdził aktualną analizę ryzyka, gdzie jest zapis z ostatniego testu odtworzenia backupu.

To nie jest problem braku dokumentów. To problem braku osoby, której obowiązkiem jest je prowadzić, i czasu, którego ta osoba nie ma.

Co robimy w takiej sytuacji

1. Cyber Audyt sprawdza, co z dokumentacji jest aktualne, co wymaga poprawy, a co można wyrzucić. Wynik to roadmapa, nie kolejny segregator.
2. Pełnomocnik ds. Bezpieczeństwa Informacji przejmuje prowadzenie SZBI: rejestry, przeglądy, audyty wewnętrzne, raporty dla zarządu. Od 1800 zł miesięcznie, czyli mniej niż ułamek etatu.
3. Jeśli potrzebujecie więcej niż koordynacji, Cyber Care: Zgodność 24/7 dokłada Biuro SZBI, cykliczne audyty, testy podatności i szkolenia pracowników. Dokumentacja jest utrzymywana na dedykowanej platformie, więc przy kontroli wszystko jest w jednym miejscu.

Dlatego w FortCyber

Nie sprzedajemy nowej dokumentacji organizacji, która już ją ma. Sprzedajemy prowadzenie tego, co istnieje, z osobą, która za to odpowiada i podpisuje się pod kwartalnym raportem.