Bezpečnostní roli lze pronajmout. Odpovědnost ne

Proč se ta role tak těžko obsazuje?

Protože nejde o jednu odbornost, ale o průnik několika. Manažer kybernetické bezpečnosti musí rozumět technice natolik, aby posoudil opatření, procesům natolik, aby je uměl zavést, a regulaci natolik, aby obstál při jednání s úřadem. Lidí, kteří tohle mají dohromady, je na trhu málo a firma, která takového člověka najde, ho zpravidla nepotřebuje na plný úvazek.

Tím vzniká past: povinnost je nedělitelná, ale práce je nárazová. Vrcholí při zavádění opatření, při auditu a při incidentu, mezi tím běží spíš na údržbě.

Co ta role vlastně dělá?

Čtyři různé práce, které se běžně schovají pod jedno jméno. Manažer bezpečnosti agendu vede: rozhoduje o opatřeních, řeší incidenty, odpovídá za soulad s předpisy, mluví s úřadem a svolává výbor i školení. Architekt se dívá na techniku, tedy na prostředí ICT a sítě, píše standardy a bývá u auditů i u výběrových řízení. Auditor stojí na druhé straně stolu: ověřuje, jak na tom firma doopravdy je, a vede ji k certifikaci podle ISO 27001. DPO má na starosti osobní údaje, tedy evidenci zpracování a smlouvy s těmi, kdo s daty pracují.

Které z nich potřebujete a v jakém rozsahu, závisí na tom, do jakého režimu povinností vaše organizace spadá. To je mimochodem důvod, proč se nedá začít náborem: dokud není jasné zařazení, není jasné ani zadání pro toho člověka.

Jak vypadá pronájem v praxi?

Jako běžící agenda, ne jako konzultace. Governance znamená, že role je obsazená externě a měsíc co měsíc se u zákazníka dělá totéž, co by dělal zaměstnanec: příprava nebo revize řízené dokumentace, komunikace s NÚKIB, organizace výboru kybernetické bezpečnosti, vzdělávání zaměstnanců i dodavatelů a reporting pro management.

Hmatatelné je to na tom, co po ní ve firmě zůstane:

• Mapa aktiv a registr rizik, tedy přehled o tom, co vlastně chráníte a před čím.
• Prohlášení o aplikovatelnosti: která opatření jsou zavedená, která ne a proč.
• Akční implementační plán s pořadím kroků.
• Plány kontinuity provozu a obnovy pro případ, že se něco stane.
• Evidence manažera kybernetické bezpečnosti, ze kterých se při kontrole dokládá, že agenda běží.

Tyhle dokumenty jsou to, co zůstane vaše i ve chvíli, kdy se dodavatel vymění. Právě proto je dobré se na ně při výběru ptát dřív než na hodinovou sazbu.

Co se pronajmout nedá?

Odpovědnost. Zákonné povinnosti zůstávají vaší organizaci, ať je fakticky plní kdokoli, takže pronájem role není přenesení rizika na dodavatele. Je to způsob, jak tu práci mít odvedenou, ne způsob, jak ji mít z krku.

Nepronajme se ani znalost vašeho provozu. Externí manažer bezpečnosti ví, co má být, ale co ve firmě skutečně běží, se dozví jen od vašich lidí. Firmy, kterým to nefunguje, mají obvykle společné to, že nikdo zevnitř nemá na spolupráci čas, a dokumentace pak popisuje prostředí, které existuje jen na papíře.

Na co se ptát, než roli pronajmete?

Na čtyři věci, a žádná z nich není hodinová sazba. Kdo konkrétně tu roli u nás povede a uvidíme toho člověka, nebo jen jméno firmy. Kdo ho zastoupí, když bude nedostupný, protože incident se neptá na dovolené. V jakém rozsahu dní v měsíci se počítá, aby se agenda nezasekla na kapacitě. A co z té spolupráce zůstane naše, tedy jestli dokumentace vzniká u nás, nebo v dodavatelově šabloně, kterou si po skončení odvezou.

Pátá otázka je nepříjemná a stojí za to ji položit: co se stane, když si vaše vedení rozhodne jinak, než role doporučí. Dobrá odpověď zní, že se doporučení i rozhodnutí zapíše. Tím se totiž liší role, která nese odpovědnost za výkon, od poradce, který nese odpovědnost za názor.

Kdy dává větší smysl nábor?

Když je agenda tak velká, že by externí role stejně běžela na plný úvazek, nebo když je prostředí natolik specifické, že se na něj člověk musí dívat každý den. Typicky větší organizace s vlastním IT oddělením, kde bezpečnostní manažer není jediným, kdo té problematice rozumí.

Třetí případ je firma, která už externí roli jednou měla a skončila u dokumentace popisující cizí prostředí. Tam nepomůže vyměnit dodavatele: nejdřív se musí uvnitř určit, kdo za firmu odpovídá na otázky o tom, co v ní skutečně běží.

Kombinace bývá nejčastější: vlastní člověk na provoz a externí role na compliance, audity a jednání s úřadem. Jak takové jednání vypadá a jaké lhůty přitom běží, rozebírá článek o zákonu o kyberbezpečnosti; pronájem rolí i governance dodává Securent, dohled nad infrastrukturou a koncovými zařízeními řeší ICT služby.