Nie mamy nikogo od bezpieczeństwa informacji, a przepisy wymagają

Sytuacja

Bezpieczeństwem informacji zajmuje się "informatyk", czyli osoba, która jednocześnie utrzymuje sieć, drukarki i system kadrowy. Albo dostawca IT, który odpowiada za działanie systemów, ale nie za politykę, ryzyka i zgłaszanie incydentów. Zarząd wie, że przepisy wymagają osoby odpowiedzialnej, i nie wie, skąd ją wziąć.

Co to naprawdę znaczy

uoKSC i NIS2 nie wymagają etatu. Wymagają, żeby ktoś wykonywał określone obowiązki: nadzór nad SZBI, zarządzanie ryzykiem, koordynację incydentów, raportowanie do kierownictwa, kontakt z CSIRT. Ta osoba musi mieć kompetencje i czas. Informatyk ma zwykle jedno z dwóch, dostawca IT ma konflikt interesów (audytuje sam siebie).

Co robimy w takiej sytuacji

1. Pełnomocnik ds. Bezpieczeństwa Informacji w abonamencie: dedykowany ekspert FortCyber, który koordynuje działania zespołu, prowadzi audyty wewnętrzne, raportuje do zarządu i reprezentuje organizację wobec instytucji zewnętrznych. Głównie zdalnie, z cyklicznymi spotkaniami u was.
2. Jeśli oprócz osoby brakuje też procesu, Cyber Care: Zgodność 24/7 daje Pełnomocnika plus Biuro SZBI, czyli utrzymanie dokumentacji, przeglądy i szkolenia w jednym abonamencie.
3. Jeśli SZBI nie ma w ogóle, najpierw je wdrażamy (Cyber SZBI), bo Pełnomocnik musi mieć system, który prowadzi.

Dlatego w FortCyber

Pełnomocnik ma za sobą zespół: audytorów z uprawnieniami wg ustawy o KSC, konsultantów ISO 27001, kancelarię prawną. Nie kupujecie jednej osoby na część etatu. Kupujecie osobę z zapleczem, które sama nie zbudowałaby żadna organizacja poniżej kilkuset pracowników.