Įmonėje yra žmogus, kuris atsako už IT. Jis sutvarko kompiuterius, prižiūri serverius, atsako į darbuotojų klausimus ir dažniausiai gerai išmano savo darbą. Bet kai klientas atsiunčia saugumo klausimyną su šimtu klausimų, kai valdyba paklausia „ar mes saugūs?“, kai reikia nuspręsti, ar TIS2 mums taikoma, paaiškėja, kad to žmogaus nėra. IT priežiūra ir saugumo valdymas – skirtingi darbai, ir vieną žmogų už abu daryti dažniausiai neužtenka laiko.
Didelės įmonės šią problemą sprendžia pasamdydamos informacijos saugumo vadovą (CISO, angl. Chief Information Security Officer). Vidutinei Lietuvos įmonei tai retai realu: tokių specialistų rinkoje mažai, jų atlygis prilygsta vadovų atlygiui, o darbo pilnam etatui dažnai nėra.
Šiame straipsnyje paaiškinsime, ką iš tikrųjų daro saugumo vadovas, kodėl vidutinei įmonei prasmingesnė paslauga nei etatas, ką ta paslauga apima ir kaip ji dera su esamu IT.
Ką iš tikrųjų daro saugumo vadovas
Saugumo vadovas nėra geresnis IT administratorius. Jis nediegia antivirusinės ir nekonfigūruoja ugniasienės. Jo darbas – kad įmonė žinotų savo rizikas, priimtų sprendimus dėl jų ir galėtų tai įrodyti.
Praktiškai tai reiškia keturias funkcijas. Pirma – rizikos: suprasti, kas įmonei svarbiausia, kas tam gresia ir kiek rizikos vadovybė sutinka prisiimti. Antra – taisyklės: paruošti politikas ir procedūras, kurių realiai laikomasi, ir prižiūrėti, kad jos nepasentų. Trečia – kontrolė: tikrinti, ar IT daro tai, ką pažadėjo, ir ar tai veikia. Ketvirta – atskaitomybė: paaiškinti vadovybei, klientams ir auditoriams, kokia yra padėtis, be techninio žargono.
IT administratorius atsako į klausimą „kaip tai padaryti“. Saugumo vadovas atsako į klausimą „ką reikia daryti ir kodėl“. Tai skirtingos perspektyvos, ir sveika, kai jas atstovauja skirtingi žmonės, nes saugumo vadovas, be kita ko, tikrina IT darbą.
Kodėl 50–300 darbuotojų įmonei etatas per brangus
Tokio dydžio įmonėje saugumo vadovo darbo realiai yra keletui dienų per mėnesį. Politikas reikia parašyti kartą ir peržiūrėti kasmet. Rizikų registrą atnaujinti kas ketvirtį. Auditą koordinuoti kartą per metus. Klientų klausimynus pildyti keletą kartų per metus. Valdybai atsiskaityti kas ketvirtį.
Pilnas etatas tokiai apimčiai reiškia, kad brangus specialistas didžiąją laiko dalį dirbs ne savo darbą arba nuobodžiaus ir išeis. Mūsų praktikoje dažnas scenarijus: įmonė pasamdo saugumo specialistą, po metų jis tampa IT vadovu, nes to darbo daugiau, o saugumo valdymas vėl lieka be šeimininko.
Antra problema – patirtis. Vienas žmogus per karjerą mato kelias įmones. Paslaugos komanda tuo pačiu metu dirba su daugeliu klientų skirtinguose sektoriuose, todėl atpažįsta problemas greičiau ir žino, ko klaus auditoriai, nes su jais susiduria nuolat.
Trečia – tęstinumas. Etatinis specialistas išeina atostogų, suserga, keičia darbą, ir kartu su juo išeina visos žinios. Paslaugą teikia komanda, todėl žinios dokumentuojamos ir lieka įmonėje.
Ką apima CISO paslauga
CISO paslauga (dar vadinama vCISO, angl. virtual CISO) – tai saugumo vadovo funkcija, kurią pagal sutartą apimtį teikia išorinė komanda. Mūsų atveju ji apima šiuos darbus.
Politikos ir procedūros
Parengiamas ir prižiūrimas politikų rinkinys, pritaikytas įmonės dydžiui ir reikalavimams: informacijos saugumo, prieigos valdymo, kopijų, incidentų, tiekėjų, priimtino naudojimo. Politikos rašomos trumpai ir taip, kad jomis realiai būtų vadovaujamasi, o ne kaip skirtos tik auditoriui.
Rizikų registras
Atliekamas pradinis rizikų vertinimas ir vedamas rizikų registras: kiekviena rizika su savininku, priemonėmis ir terminais. Registras peržiūrimas kas ketvirtį kartu su vadovybe, kad sprendimai dėl rizikų būtų priimami sąmoningai, o ne pagal nutylėjimą.
Incidentų planas
Parengiama incidentų valdymo procedūra su aiškiomis rolėmis, kontaktais, pranešimo šablonais ir terminais, įskaitant pranešimus institucijoms pagal TIS2 ar DORA. Planas bent kartą per metus išbandomas pratybų metu, kad per tikrą incidentą niekam nereikėtų skaityti dokumento pirmą kartą.
Atskaitomybė valdybai
Kas ketvirtį vadovybė gauna trumpą ataskaitą: kokia saugumo būklė, kas pasikeitė, kokios rizikos didžiausios, kokių sprendimų reikia. Saugumo vadovas dalyvauja posėdyje ir atsako į klausimus. Tai tenkina ir TIS2 reikalavimą vadovybės įsitraukimui.
Auditų ir klausimynų kuravimas
Saugumo vadovas koordinuoja išorinius auditus, klientų saugumo klausimynus, pasiruošimą sertifikavimui ar priežiūros institucijos patikrai. Jis žino, kur yra visi dokumentai, ir atsako auditoriui už įmonę, o ne perduoda klausimus IT administratoriui.
Tiekėjų priežiūra
Vedamas IT ir debesijos tiekėjų sąrašas, vertinamos jų rizikos, peržiūrimos sutartys, kad jose būtų saugumo, incidentų pranešimo ir audito teisės sąlygos.
Kaip matuoti naudą
Saugumo nauda sunkiai matuojama, nes sėkmė yra tai, kad niekas nenutiko. Vis dėlto yra konkrečių rodiklių, kuriuos siūlome stebėti nuo pirmo ketvirčio.
- Rizikų registro būklė: kiek aukštų rizikų atidaryta, kiek uždaryta per ketvirtį, ar nėra rizikų be savininko.
- Audito radinių šalinimas: kiek kritinių ir aukštų radinių pašalinta per nustatytą terminą.
- Klientų klausimynų laikas: kiek dienų užtrunka atsakyti į tiekėjo vertinimo klausimyną. Mūsų praktikoje tai sutrumpėja nuo savaičių iki dienų, nes atsakymai jau paruošti.
- Incidentų rodikliai: kiek incidentų užregistruota, per kiek laiko atpažinti, ar laikytasi pranešimo terminų.
- Atstatymo testai: kiek atlikta, ar pasiektas nustatytas atkūrimo laikas.
- Mokymai: kokia dalis darbuotojų išklausė mokymus, kaip keičiasi reakcija į bandomuosius sukčiavimo laiškus.
Šie rodikliai ir sudaro ketvirtinę ataskaitą valdybai. Po metų galima aiškiai pasakyti, kas pasikeitė.
Kaip paslauga dirba su esamu IT
Dažniausias vadovų klausimas: ar saugumo vadovas nekonfliktuos su mūsų IT žmogumi ar IT tiekėju? Atsakymas – ne, jei rolės aiškiai atskirtos.
Saugumo vadovas sprendžia, kas turi būti padaryta, ir tikrina, ar padaryta. IT administratorius arba tiekėjas daro. Jei IT prižiūri išorinė įmonė, saugumo vadovas tampa užsakovo pusės atstovu, kuris formuluoja saugumo reikalavimus tiekėjui ir tikrina jų vykdymą. Daugeliui IT tiekėjų tai patogu: jie gauna aiškias užduotis vietoj neapibrėžto „padarykite, kad būtų saugu“.
Kai IT priežiūrą teikia MDP CLOUD, saugumo vadovo funkciją sąmoningai atskiriame nuo priežiūros komandos, kad kontrolė nebūtų formali. Kai IT prižiūri kita įmonė, dirbame su ja kaip partneriai: bendri susitikimai, bendras veiksmų planas, aiškus atsakomybių pasiskirstymas.
Nuo ko pradėti
- Atsakykite į klausimą, kas šiandien įmonėje atsako už saugumo sprendimus, ne už jų vykdymą. Jei atsakymas „visi po truputį“ arba „IT“, saugumo vadovo funkcija neužimta.
- Surašykite išorinius reikalavimus: klientų klausimynai, TIS2 ar DORA, planuojami konkursai, sertifikatai. Tai nustatys paslaugos apimtį.
- Pradėkite nuo rizikų vertinimo arba IT saugumo audito – jie duoda pradinį tašką, nuo kurio matuosite pažangą.
- Sutarkite su esamu IT dėl rolių: kas sprendžia, kas daro, kas tikrina.
- Pasirinkite paslaugos apimtį: nuo kelių dienų per mėnesį iki nuolatinio dalyvavimo. Daugiau apie tai, kaip tai atrodo praktiškai, rasite CISO paslaugos puslapyje.
Mūsų saugumo vadovai turi galiojančius ISACA sertifikatus (CISM, CISA, CRISC, CGEIT) ir dirba pagal ISO 27001 reikalavimus. Pirmo pokalbio metu sąžiningai pasakysime, ar jums reikia nuolatinės paslaugos, ar užtenka kelių vienkartinių darbų.
