Zarząd pyta, czy jesteśmy bezpieczni, i nikt nie umie odpowiedzieć

Sytuacja

Po głośnym ataku na podobną organizację, po pytaniu rady nadzorczej albo po prostu przy zatwierdzaniu budżetu ktoś z zarządu pyta: czy jesteśmy bezpieczni? Informatyk mówi, że robi, co może. Dostawca mówi, że wszystko działa. Nikt nie ma dokumentu, który dałoby się pokazać.

Co to naprawdę znaczy

NIS2 przeniosło odpowiedzialność na zarząd osobiście. Zarząd nie musi znać się na firewallach. Musi umieć wykazać, że znał ryzyka, podjął decyzje i przydzielił środki. "Nie wiedziałem" przestało być obroną. Pytanie "czy jesteśmy bezpieczni" jest więc pytaniem o dowody, nie o poczucie.

Co robimy w takiej sytuacji

1. Cyber Starter: 2-3 godziny z zarządem. Tłumaczymy ryzyka w języku biznesu, oceniamy dojrzałość i wychodzimy z listą pięciu decyzji. To spotkanie, nie projekt.
2. Cyber Check 360: jeśli zarząd chce faktów, w 1-2 dni dostaje checklistę zgodności, listę luk i krótki raport menedżerski. Ten raport jest odpowiedzią na pytanie.
3. Cyber Pentesty: jeśli pytanie dotyczy techniki ("czy da się nas zhakować"), testy penetracyjne dają listę podatności z oceną ryzyka i omówienie z decydentami. Bez ingerencji w produkcję.

Dlatego w FortCyber

Każda z tych usług kończy się spotkaniem z zarządem, na którym mówimy, co jest ryzykiem biznesowym, a co tylko formalnością. Bez presji na kolejny etap. Jeśli wynik jest dobry, mówimy, że jest dobry.