Delegowanie cyberbezpieczeństwa nie deleguje odpowiedzialności kierownika
Zarząd może zlecić skanowanie administratorowi, monitoring dostawcy SOC i dokumentację pełnomocnikowi. Nie może jednak zlecić komuś swojej odpowiedzialności ustawowej.
Oficjalne FAQ do znowelizowanej ustawy o KSC mówi wprost: powierzenie wykonywania obowiązków innej osobie nie zwalnia kierownika podmiotu z odpowiedzialności. To ważniejsze niż schemat organizacyjny, bo zmienia pytanie z "kto robi cyberbezpieczeństwo?" na "jak kierownik nadzoruje, że jest robione?".
Co można delegować
Można delegować pracę operacyjną: skany, analizę alertów, instalowanie aktualizacji, obsługę rejestrów, przygotowanie raportów czy współpracę z CSIRT. W małej firmie większość tych zadań może wykonywać zewnętrzny partner.
Delegacja powinna jednak określać zakres, odpowiedzialne osoby, oczekiwane wyniki, częstotliwość raportowania oraz sposób eskalacji ryzyka. Sam zapis "IT odpowiada za bezpieczeństwo" jest zbyt ogólny.
Czego kierownik potrzebuje do nadzoru
Minimalny pakiet nadzorczy nie musi być rozbudowany. Powinien odpowiadać na pięć pytań:
- jakie zasoby obejmuje proces,
- jakie istotne ryzyka są obecnie otwarte,
- które terminy zostały przekroczone,
- jakie wyjątki zaakceptowano i do kiedy,
- jakie decyzje wymagają udziału kierownika.
Do tego dochodzi wymagane co najmniej raz w roku szkolenie kierownika. Ustawa przewiduje też możliwość kary do 300 procent miesięcznego wynagrodzenia w podmiocie prywatnym albo do 100 procent w publicznym. To limity, nie automatyczna sankcja.
Narzędzie nie podpisze decyzji za człowieka
Secvalis może zebrać podatności, terminy, właścicieli i historię decyzji. Nie może zatwierdzić środków bezpieczeństwa za kierownika ani przejąć jego odpowiedzialności. Wartość platformy polega na tym, że kierownik dostaje aktualny materiał do świadomej decyzji, zamiast prezentacji składanej raz na kwartał z kilku arkuszy.
Jeśli chcesz zobaczyć taki ślad nadzoru na fikcyjnych danych, otwórz demo Secvalis.
Źródła
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.