Katrā uzņēmumā ir kāds, kas atbild par IT. Viņš labo datorus, uzrauga serverus, atbild uz darbinieku jautājumiem un parasti savu darbu zina labi. Taču, kad klients atsūta drošības anketu ar simts jautājumiem, kad valde jautā „vai mēs esam droši?”, kad kādam jāizlemj, vai uz mums attiecas NIS2, izrādās, ka šāda cilvēka nav. IT atbalsts un drošības pārvaldība ir dažādi darbi, un vienam cilvēkam reti pietiek laika abiem.
Lielie uzņēmumi to risina, pieņemot darbā informācijas drošības direktoru (CISO). Vidēja lieluma uzņēmumam tas reti ir reāli: šādu speciālistu tirgū trūkst, viņu atalgojums ir salīdzināms ar vadītāju atalgojumu, un pilnai slodzei darba bieži nepietiek.
Šajā rakstā skaidrojam, ko drošības vadītājs patiesībā dara, kāpēc vidēja lieluma uzņēmumam pakalpojums ir lietderīgāks par štata darbinieku, ko pakalpojums ietver un kā tas saderas ar jūsu esošo IT.
Ko drošības vadītājs patiesībā dara
Drošības vadītājs nav labāks IT administrators. Viņš neuzstāda antivīrusu un nekonfigurē ugunsmūrus. Viņa uzdevums ir panākt, lai uzņēmums zinātu savus riskus, pieņemtu lēmumus par tiem un spētu to pierādīt.
Praksē tās ir četras funkcijas. Pirmā – riski: saprast, kas uzņēmumam ir vissvarīgākais, kas to apdraud un cik lielu risku vadība ir gatava pieņemt. Otrā – noteikumi: sagatavot politikas un procedūras, ko patiešām ievēro, un rūpēties, lai tās nenoveco. Trešā – kontrole: pārbaudīt, vai IT dara to, ko apsolījis, un vai tas darbojas. Ceturtā – atskaitīšanās: bez tehniska žargona izskaidrot vadībai, klientiem un auditoriem, kāds ir stāvoklis.
IT administrators atbild uz jautājumu „kā mēs to darām”. Drošības vadītājs atbild uz jautājumu „kas jādara un kāpēc”. Tie ir dažādi skatpunkti, un ir veselīgi, ja tos pārstāv dažādi cilvēki, jo drošības vadītājs, cita starpā, pārbauda IT darbu.
Kāpēc štata darbinieks ir pārāk dārgs uzņēmumam ar 50–300 darbiniekiem
Šāda lieluma uzņēmumā drošības vadītāja darbs ir daži darba dienas mēnesī. Politikas jāuzraksta vienreiz un reizi gadā jāpārskata. Risku reģistru atjaunina katru ceturksni. Auditu koordinē reizi gadā. Klientu anketas aizpilda dažas reizes gadā. Ziņojumu valdei sagatavo katru ceturksni.
Štata amats ar šādu slodzi nozīmē, ka dārgs speciālists lielāko daļu laika pavadīs darbā, kas nav viņa, vai arī garlaikosies un aizies. Mūsu pieredzē bieži sastopams scenārijs: uzņēmums pieņem darbā drošības speciālistu, un pēc gada šis cilvēks kļūst par IT vadītāju, jo tā darba ir vairāk, un drošības pārvaldībai atkal nav īpašnieka.
Otrā problēma ir pieredze. Viens cilvēks karjeras laikā redz vien dažus uzņēmumus. Pakalpojuma komanda vienlaikus strādā ar daudziem klientiem dažādās nozarēs, tāpēc problēmas atpazīst ātrāk un zina, ko vaicās auditori, jo ar tiem saskaras nepārtraukti.
Trešā ir nepārtrauktība. Algots speciālists dodas atvaļinājumā, saslimst vai maina darbu, un visas zināšanas aiziet kopā ar viņu. Pakalpojumu sniedz komanda, tāpēc zināšanas ir dokumentētas un paliek uzņēmumā.
Ko ietver CISO kā pakalpojums
CISO kā pakalpojums (saukts arī par vCISO, virtuālo CISO) ir drošības vadītāja funkcija, ko saskaņotā apjomā nodrošina ārēja komanda. Mūsu gadījumā tā ietver šādus darbus.
Politikas un procedūras
Tiek sagatavots un uzturēts politiku kopums, pielāgots uzņēmuma lielumam un prasībām: informācijas drošība, piekļuves kontrole, rezerves kopijas, incidenti, piegādātāji, pieņemama lietošana. Politikas raksta īsi un tā, lai tās patiešām ievērotu, nevis tikai lai pārsteigtu auditoru.
Risku reģistrs
Tiek veikta sākotnējā risku novērtēšana un uzturēts risku reģistrs: katrs risks ar īpašnieku, pasākumiem un termiņiem. Reģistru kopā ar vadību pārskata katru ceturksni, lai lēmumi par riskiem tiktu pieņemti apzināti, nevis pēc noklusējuma.
Incidentu plāns
Tiek sagatavota incidentu pārvaldības procedūra ar skaidrām lomām, kontaktiem, paziņojumu veidnēm un termiņiem, tostarp paziņojumiem iestādēm saskaņā ar NIS2 vai DORA. Plānu vismaz reizi gadā pārbauda mācībās, lai īsta incidenta laikā neviens dokumentu nelasītu pirmo reizi.
Ziņojumi valdei
Katru ceturksni vadība saņem īsu pārskatu: kāds ir drošības stāvoklis, kas mainījies, kuri riski ir lielākie un kādi lēmumi nepieciešami. Drošības vadītājs piedalās sapulcē un atbild uz jautājumiem. Tas arī izpilda NIS2 prasību par vadības iesaisti.
Auditu un anketu koordinēšana
Drošības vadītājs koordinē ārējos auditus, klientu drošības anketas un gatavošanos sertifikācijai vai regulatora pārbaudei. Viņš zina, kur atrodas visi dokumenti, un atbild auditoram uzņēmuma vārdā, nevis pārsūta jautājumus IT administratoram.
Piegādātāju uzraudzība
Tiek uzturēts IT un mākoņpakalpojumu piegādātāju saraksts, novērtēti viņu riski un pārskatīti līgumi, lai tajos būtu noteikumi par drošību, ziņošanu par incidentiem un audita tiesībām.
Kā mērīt ieguvumu
Drošības ieguvumu ir grūti izmērīt, jo panākums nozīmē, ka nekas nenotika. Tomēr ir konkrēti rādītāji, ko iesakām sekot no pirmā ceturkšņa.
- Risku reģistra stāvoklis: cik augstu risku ir atvērti, cik tika slēgti ceturkšņa laikā, vai ir riski bez īpašnieka.
- Audita atzinumu novēršana: cik kritisku un augstu atzinumu tika novērsti noteiktajā termiņā.
- Klientu anketu laiks: cik dienu nepieciešams, lai atbildētu uz piegādātāja novērtēšanas anketu. Mūsu pieredzē tas samazinās no nedēļām līdz dienām, jo atbildes jau ir sagatavotas.
- Incidentu rādītāji: cik incidentu reģistrēts, cik ātri tie tika atpazīti, vai ziņošanas termiņi tika ievēroti.
- Atjaunošanas testi: cik veikti un vai sasniegts noteiktais atjaunošanas laiks.
- Apmācība: cik liela darbinieku daļa apmācību pabeigusi un kā mainās reakcija uz simulētiem pikšķerēšanas e-pastiem.
Šie rādītāji veido ceturkšņa ziņojumu valdei. Pēc gada var skaidri pateikt, kas ir mainījies.
Kā pakalpojums darbojas ar jūsu esošo IT
Biežākais vadītāju jautājums: vai drošības vadītājs nonāks konfliktā ar mūsu IT darbinieku vai IT pakalpojumu sniedzēju? Atbilde ir nē, kamēr lomas ir skaidri nodalītas.
Drošības vadītājs nosaka, kas jādara, un pārbauda, vai tas izdarīts. IT administrators vai pakalpojumu sniedzējs to izpilda. Ja IT uztur ārējs uzņēmums, drošības vadītājs kļūst par klienta puses pārstāvi, kas formulē drošības prasības pakalpojumu sniedzējam un pārbauda to izpildi. Daudziem IT pakalpojumu sniedzējiem tas ir ērti: viņi saņem skaidrus uzdevumus, nevis neskaidru „padariet to drošu”.
Kad IT atbalstu sniedz MDP CLOUD, drošības vadītāja funkciju apzināti turam atsevišķi no atbalsta komandas, lai kontrole nebūtu tikai formalitāte. Kad IT uztur cits uzņēmums, strādājam ar to kā ar partneri: kopīgas sapulces, kopīgs rīcības plāns un skaidrs atbildības sadalījums.
Ar ko sākt
- Atbildiet uz jautājumu, kurš uzņēmumā šobrīd atbild par lēmumiem drošības jomā, nevis par to izpildi. Ja atbilde ir „visi mazliet” vai „IT”, drošības vadītāja funkcija ir vakanta.
- Uzskaitiet ārējās prasības: klientu anketas, NIS2 vai DORA, plānotie konkursi, sertifikāti. Tās noteiks pakalpojuma apjomu.
- Sāciet ar risku novērtēšanu vai IT drošības auditu: tie dod sākumpunktu, pret kuru mērīsiet progresu.
- Vienojieties par lomām ar esošo IT: kas lemj, kas dara, kas pārbauda.
- Izvēlieties pakalpojuma apjomu: no dažām dienām mēnesī līdz pastāvīgai iesaistei. Vairāk par to, kā tas izskatās praksē, varat izlasīt lapā par CISO kā pakalpojumu.
Mūsu drošības vadītājiem ir spēkā esoši ISACA sertifikāti (CISM, CISA, CRISC, CGEIT), un viņi strādā atbilstoši ISO 27001 prasībām. Pirmajā sarunā godīgi pateiksim, vai jums vajadzīgs pastāvīgs pakalpojums, vai pietiks ar dažiem vienreizējiem projektiem.
