Čo robí manažér kybernetickej bezpečnosti a čo od neho má požadovať vedenie firmy

Krátka odpoveď

Manažér kybernetickej bezpečnosti (MKB) riadi kybernetické riziká firmy ako manažérsku disciplínu: zisťuje, aké riziká firma má, navrhuje a prioritizuje opatrenia, dohliada na ich zavedenie, koordinuje IT a dodávateľov, pripravuje firmu na incidenty a pravidelne reportuje vedeniu. Nie je to technik, ktorý nastavuje firewall, ani autor šanónov so smernicami. Vedenie má od MKB požadovať konkrétne výstupy: register rizík, bezpečnostnú roadmapu, plán reakcie na incident, pravidelný report a podklady na rozhodnutia. Ak MKB vedenie nevidí, nepočuje a neprináša mu rozhodnutia, nefunguje — bez ohľadu na to, koľko hodín odpracuje.

Komu je článok určený

Konateľom a členom vedenia, ktorí musia alebo chcú určiť MKB, uvažujú o externom MKB, alebo majú MKB „na papieri“ a nie sú si istí, či rola reálne funguje.

Prečo na tom záleží

Vedenie teda nemôže bezpečnosť jednoducho „delegovať na IT“. Potrebuje niekoho, kto mu dá zrozumiteľný obraz o rizikách a pripraví podklady na rozhodnutia. To je úloha MKB.

Čo MKB robí

Riadenie rizík

• vedie register aktív a rizík — čo je pre firmu kritické a čo ho ohrozuje,
• posudzuje riziká podľa pravdepodobnosti a dopadu,
• navrhuje opatrenia a ich priority.

Roadmapa a opatrenia

• pripravuje bezpečnostnú roadmapu so zodpovednými osobami, termínmi a rozpočtom,
• dohliada na zavedenie opatrení — technických (napr. MFA, zálohy, správa prístupov) aj organizačných (napr. pravidlá, školenia),
• kontroluje ich účinnosť, nie iba existenciu.

Incidenty

• pripravuje plán reakcie na incident a kontaktnú maticu,
• organizuje cvičenia,
• koordinuje riešenie incidentu a jeho hlásenie podľa požiadaviek zákona.

Dodávatelia

• eviduje dodávateľov s prístupom do systémov a k dátam,
• definuje bezpečnostné požiadavky do zmlúv,
• kontroluje plnenie.

Governance a reporting

• pravidelne reportuje vedeniu,
• pripravuje podklady na rozhodnutia (rozpočet, akceptácia rizika, priority),
• pripravuje firmu na kontrolu alebo audit.

Čo má vedenie od MKB požadovať

Výstup	Frekvencia	Prečo
Register aktív a rizík	aktualizácia aspoň pri zmenách, revízia pravidelne	vedenie vie, čo chráni a pred čím
Bezpečnostná roadmapa	ročne, s priebežnou aktualizáciou	priority, rozpočet a zodpovednosti
Report pre vedenie	pravidelne (napr. mesačne alebo štvrťročne)	stav, trendy, rozhodnutia
Plán reakcie na incident	ročná revízia + po incidente	aby firma vedela, čo robiť v prvej hodine
Prehľad dodávateľov a prístupov	pravidelná kontrola	veľká časť rizika je u tretích strán
Záznam o cvičení / teste obnovy	aspoň ročne	overenie, že plány fungujú

Interný alebo externý MKB?

Interný MKB dáva zmysel, ak je firma väčšia, má zložité prostredie a dokáže zabezpečiť kvalifikovaného človeka s mandátom a nezávislosťou od prevádzky IT.

Externý MKB dáva zmysel, ak firma nemá dostatočnú internú kapacitu alebo odbornosť, potrebuje rýchlo začať, alebo chce nezávislý pohľad. Rizikom externého MKB je, že funguje „na hodiny“ — príde, napíše dokument a odíde.

Pri výbere externého MKB sa pýtajte:

1. Aké výstupy dostaneme a v akej frekvencii?
2. Ako bude MKB reportovať vedeniu?
3. Kto bude riešiť incident a v akom čase reakcie?
4. Ako bude MKB koordinovať IT a dodávateľov?
5. Akú má MKB kvalifikáciu a prax a ako to vie preukázať?
6. Čo sa stane, ak MKB nebude dostupný — existuje zástup?

Ilustratívny príklad

Ilustratívny príklad, nie konkrétny klient. Firma má MKB formálne určeného — je to IT manažér, ktorý podpísal dokumentáciu od externej firmy. Vedenie nikdy nedostalo report. Po zmene na riadený model dostáva vedenie štvrťročne dvojstranový report s top rizikami, stavom roadmapy a tromi rozhodnutiami, ktoré od neho MKB potrebuje. Prvé rozhodnutie: rozpočet na MFA a test obnovy záloh.

Riziká a trade-offs

• MKB bez mandátu nemá ako presadiť opatrenia.
• MKB = IT manažér vytvára konflikt záujmov medzi zavádzaním a kontrolou.
• Externý MKB na hodiny môže viesť k papierovej compliance bez reálnej zmeny.
• Prílišná dokumentácia odvádza pozornosť od opatrení s najväčším vplyvom na riziko.

Ako vyzerá dobrý report MKB pre vedenie

Report by sa mal dať prečítať za desať minút. Odporúčaná štruktúra:

1. Zhrnutie — tri vety: aký je stav, čo sa zmenilo, čo potrebujeme od vedenia.
2. Top riziká — 3 až 5 rizík s trendom (zlepšuje sa / bez zmeny / zhoršuje sa).
3. Stav roadmapy — ktoré opatrenia sú hotové, v realizácii, oneskorené a prečo.
4. Incidenty a udalosti — čo sa stalo, aký bol dopad, čo sme sa naučili.
5. Dodávatelia — zmeny v prístupoch, problémy, plánované kontroly.
6. Rozhodnutia pre vedenie — konkrétne otázky s odporúčaním (napr. schválenie rozpočtu, akceptácia rizika, zmena priority).

Varovné signály, že rola MKB nefunguje

• vedenie nedostalo report viac ako štvrťrok,
• MKB nevie vymenovať top riziká firmy bez prípravy,
• dokumentácia vznikla raz a odvtedy sa nemenila,
• o incidentoch sa vedenie dozvedá od zamestnancov alebo zákazníkov, nie od MKB,
• MKB nemá prístup k informáciám o dodávateľoch a prístupoch,
• opatrenia sa posudzujú podľa toho, či existuje smernica, nie či opatrenie funguje.

Ako začať: prvých 30 dní s novým MKB

• 1. týždeň: úvodné stretnutie s vedením — ciele, mandát, frekvencia reportingu, kontaktné osoby.
• 2. týždeň: zoznam kritických služieb, systémov, dát a dodávateľov.
• 3. týždeň: rýchla analýza rizík a gap analýza voči požiadavkám.
• 4. týždeň: prvý report vedeniu s top rizikami, návrhom roadmapy a prvými rozhodnutiami.

Odporúčanie pre vedenie

Ak chcete MKB ako riadenú službu s jasnými výstupmi, pozrite si program NEXEL Managed MKB.