Rolę ds. bezpieczeństwa można wynająć. Odpowiedzialności nie

Dlaczego tak trudno obsadzić tę rolę?

Ponieważ nie chodzi o jedną specjalizację, lecz o połączenie kilku. Menedżer cyberbezpieczeństwa musi rozumieć technikę na tyle, by ocenić środki, procesy na tyle, by umieć je wdrożyć, i regulacje na tyle, by poradzić sobie w rozmowach z urzędem. Ludzi, którzy łączą to wszystko, jest na rynku mało, a firma, która znajdzie taką osobę, zwykle nie potrzebuje jej na pełen etat.

Tak powstaje pułapka: obowiązek jest niepodzielny, ale praca ma charakter skokowy. Szczyt przypada na wdrażanie środków, audyt i incydent, a pomiędzy nimi chodzi raczej o utrzymanie.

Czym ta rola właściwie się zajmuje?

Czterema różnymi zadaniami, które zwykle kryją się pod jedną nazwą. Menedżer bezpieczeństwa prowadzi cały obszar: decyduje o środkach, obsługuje incydenty, odpowiada za zgodność z przepisami, rozmawia z urzędem i zwołuje komitet oraz szkolenia. Architekt zajmuje się techniką, czyli środowiskiem ICT i sieciami, pisze standardy i uczestniczy w audytach oraz przetargach. Audytor siedzi po drugiej stronie stołu: sprawdza, jak firma naprawdę wypada, i prowadzi ją do certyfikacji ISO 27001. IOD odpowiada za dane osobowe, czyli rejestr czynności przetwarzania i umowy z tymi, którzy pracują z danymi.

Których z nich Państwo potrzebują i w jakim zakresie, zależy od tego, do jakiego reżimu obowiązków należy Państwa organizacja. To zresztą powód, dla którego nie można zacząć od rekrutacji: dopóki kwalifikacja nie jest jasna, nie są jasne także zadania dla tej osoby.

Jak wygląda wynajem w praktyce?

Jak bieżąca obsługa, a nie konsultacja. Governance oznacza, że rola jest obsadzona zewnętrznie i z miesiąca na miesiąc wykonuje się u klienta to samo, co robiłby pracownik: przygotowanie lub przegląd dokumentacji nadzorowanej, komunikację z NÚKIB, organizację komitetu ds. cyberbezpieczeństwa, szkolenia pracowników i dostawców oraz raportowanie dla zarządu.

Namacalne staje się to w tym, co po niej zostaje w firmie:

• Mapa aktywów i rejestr ryzyk, czyli przegląd tego, co właściwie Państwo chronią i przed czym.
• Deklaracja stosowania: które środki wdrożono, których nie i dlaczego.
• Plan działań wdrożeniowych z kolejnością kroków.
• Plany ciągłości działania i odtwarzania na wypadek, gdyby coś się stało.
• Rejestry menedżera cyberbezpieczeństwa, na podstawie których podczas kontroli wykazuje się, że obszar jest prowadzony.

Te dokumenty pozostają Państwa również wtedy, gdy zmieni się dostawca. Właśnie dlatego przy wyborze warto pytać o nie wcześniej niż o stawkę godzinową.

Czego nie można wynająć?

Odpowiedzialności. Obowiązki ustawowe pozostają po stronie Państwa organizacji, niezależnie od tego, kto je faktycznie wykonuje, więc wynajem roli nie jest przeniesieniem ryzyka na dostawcę. To sposób, by ta praca była wykonana, a nie sposób, by się jej pozbyć.

Nie da się też wynająć znajomości Państwa firmy. Zewnętrzny menedżer bezpieczeństwa wie, jak powinno być, ale tego, co w firmie faktycznie działa, dowie się tylko od Państwa ludzi. Firmy, u których to nie działa, łączy zwykle to, że nikt od środka nie ma czasu na współpracę, a dokumentacja opisuje wtedy środowisko istniejące tylko na papierze.

O co zapytać przed wynajęciem roli?

O cztery rzeczy, a żadna z nich nie jest stawką godzinową. Kto konkretnie będzie u nas pełnił tę rolę i czy zobaczymy tę osobę, czy tylko nazwę firmy. Kto ją zastąpi, gdy będzie niedostępna, bo incydent nie pyta o urlopy. Z iloma dniami w miesiącu się liczy, aby obsługa nie utknęła na braku przepustowości. I co z tej współpracy zostanie nasze, czyli czy dokumentacja powstaje u nas, czy w szablonie dostawcy, który zabierze go ze sobą po zakończeniu współpracy.

Piąte pytanie jest niewygodne, ale warto je zadać: co się stanie, gdy Państwa zarząd zdecyduje inaczej, niż zaleci rola. Dobra odpowiedź brzmi, że zapisuje się zarówno zalecenie, jak i decyzję. Tym właśnie różni się rola odpowiadająca za wykonanie od doradcy, który odpowiada za opinię.

Kiedy większy sens ma rekrutacja?

Gdy obszar jest tak duży, że rola zewnętrzna i tak pracowałaby na pełen etat, albo gdy środowisko jest na tyle specyficzne, że ktoś musi mu się przyglądać każdego dnia. Typowo w większych organizacjach z własnym działem IT, gdzie menedżer bezpieczeństwa nie jest jedynym, kto rozumie tę problematykę.

Trzeci przypadek to firma, która już raz miała rolę zewnętrzną i skończyła z dokumentacją opisującą cudze środowisko. Tam nie pomoże zmiana dostawcy: najpierw trzeba wewnątrz ustalić, kto w imieniu firmy odpowiada na pytania o to, co w niej faktycznie działa.

Najczęstsze bywa połączenie: własny człowiek do bieżącej eksploatacji i rola zewnętrzna do compliance, audytów i rozmów z urzędem. Jak takie rozmowy wyglądają i jakie terminy przy tym biegną, omawia artykuł o ustawie o cyberbezpieczeństwie; wynajem ról i governance zapewnia Securent, a nadzorem nad infrastrukturą i urządzeniami końcowymi zajmują się usługi ICT.