Manažér kybernetickej bezpečnosti: kto ho musí mať, čo robí a interný verzus externý

Firma dostane pokutu väčšinou nie preto, že nemá firewall. Dostane ju preto, že nikto u nej nenesie zodpovednosť za kybernetickú bezpečnosť ako celok. Znie to prísne? Je to realita, ktorú zákon o kybernetickej bezpečnosti a smernica NIS2 priniesli do stoviek slovenských firiem. A presne tu prichádza na scénu manažér kybernetickej bezpečnosti.

Čo je manažér kybernetickej bezpečnosti?

Manažér kybernetickej bezpečnosti je osoba zodpovedná za riadenie, plánovanie a kontrolu kybernetickej bezpečnosti vo firme, vrátane politík, rizík, incidentov a súladu s predpismi ako NIS2. Nemusí byť programátor ani technik. Je to skôr koordinátor, ktorý prepája vedenie firmy, IT oddelenie a externých dodávateľov do jedného fungujúceho systému.

• Tvorba a aktualizácia bezpečnostných politík a smerníc
• Riadenie rizík a pravidelné hodnotenie zraniteľností
• Dohľad nad plánom reakcie na incidenty
• Komunikácia s dozorným orgánom a hlásenie incidentov
• Školenie zamestnancov v oblasti kybernetickej hygieny
• Kontrola bezpečnosti dodávateľov a tretích strán
• Pravidelný reporting pre vedenie firmy

Kto musí mať manažéra kybernetickej bezpečnosti zo zákona

Povinnosť mať určenú osobu zodpovednú za kybernetickú bezpečnosť sa týka najmä firiem, ktoré spadajú pod kategóriu základných alebo dôležitých subjektov podľa zákona o kybernetickej bezpečnosti a smernice NIS2. Reč je o energetike, zdravotníctve, doprave, finančných službách, ale aj o výrobe, digitálnej infraštruktúre či verejnej správe. Ak sa vás NIS2 netýka priamo, môže sa vás dotýkať nepriamo, napríklad ako dodávateľa väčšej firmy, ktorá si bezpečnosť svojich partnerov overuje.

Presné zaradenie a povinnosti si overíte u Národného bezpečnostného úradu, ktorý je na Slovensku gestorom tejto legislatívy. Podrobnejšie sme sa téme venovali aj v článku NIS2 na Slovensku: koho sa týka a čo treba mať pripravené.

Čo presne robí manažér kybernetickej bezpečnosti v praxi

Teória je pekná, ale konateľa zaujíma najmä jedno: čo táto osoba reálne robí celý rok?

Stratégia a riadenie rizík

Manažér pravidelne vyhodnocuje, kde má firma slabé miesta. Opiera sa pritom o IT audit, výsledky penetračných testov a stav firewallu. Výsledkom je plán, čo opraviť ako prvé a koľko to bude stáť z hľadiska času aj peňazí.

Súlad s predpismi, čiže práca NIS2 manažéra

Ak firma spadá pod NIS2, manažér kybernetickej bezpečnosti funguje prakticky ako NIS2 manažér. Pripravuje dokumentáciu, hodnotí riziká dodávateľského reťazca a dohliada, aby boli splnené technické aj organizačné opatrenia zo zákona.

Riadenie incidentov a komunikácia

Keď sa niečo pokazí, napríklad útočník prenikne cez falošný e-mail účtovníčke (podobný prípad sme rozoberali v článku Falošná faktúra od šéfa), práve manažér kybernetickej bezpečnosti koordinuje reakciu, komunikuje s úradom a vedie záznamy pre prípad kontroly.

Interný verzus externý manažér kybernetickej bezpečnosti

Toto je otázka, pri ktorej sa väčšina konateľov zasekne. Interný zamestnanec pozná firmu dôkladne, ale vyžaduje plný úväzok a nájsť kvalifikovaného človeka na túto pozíciu je na malom trhu ťažké. Externý manažér kybernetickej bezpečnosti, teda model CISO as a service, prináša skúsenosti z viacerých firiem za zlomok nákladov na plný úväzok.

Rýchlosť reakcie nie je jediné, čo rozhoduje. Dôležitá je aj IT bezpečnosť ako celok, teda to, či firma má nastavené procesy ešte predtým, než sa incident vôbec stane.

Aké riešenie manažéra kybernetickej bezpečnosti odporúčate pre malú firmu?

Pre malú firmu do približne 50 zamestnancov odporúčame externého manažéra kybernetickej bezpečnosti formou niekoľkých hodín mesačne namiesto plného úväzku. Takýto model pokryje tvorbu politík, dohľad nad incidentmi aj komunikáciu s úradom, pričom firma neplatí za kapacitu, ktorú celý mesiac nevyužije. Interný manažér sa oplatí spravidla až pri stovkách zamestnancov alebo pri priamej povinnosti vyplývajúcej z NIS2.

Prečo je to dôležité pre vašu firmu

Viete, koľko stojí jeden deň, keď sa po incidente nevie, kto má čo robiť? Chaos je vždy drahší ako príprava. Manažér kybernetickej bezpečnosti nie je papierová funkcia pre úrady, je to poistka proti zmätku v momente, keď naozaj záleží na rýchlosti a presnosti.

Okrem toho firma bez jasne určenej zodpovednosti ťažko preukáže súlad pri kontrole. A to môže znamenať sankcie, stratu dôvery partnerov alebo vylúčenie z verejných súťaží. Investícia do školení o IT bezpečnosti pre zamestnancov je pritom len jedna časť skladačky, ktorú má manažér kybernetickej bezpečnosti na starosti ako celok.

Kedy to firma sama už nezvládne

Ak máte interné IT oddelenie, ktoré rieši bežnú prevádzku, pridávať mu ešte agendu okolo NIS2, dokumentácie a plánov reakcie na incidenty nie je fér ani reálne. Práve vtedy má zmysel externý manažér kybernetickej bezpečnosti, ktorý prinesie hotové procesy a skúsenosť z iných firiem namiesto toho, aby sa všetko vymýšľalo od nuly.

Čo by vás ešte mohlo zaujímať

Musí mať firma manažéra kybernetickej bezpečnosti?

Áno, ak firma spadá pod zákon o kybernetickej bezpečnosti alebo NIS2 ako základný či dôležitý subjekt. Pre ostatné firmy to zo zákona priamo nevyplýva, ale v praxi ide o rozumný krok hneď, ako firma spracúva citlivé dáta alebo je súčasťou dodávateľského reťazca väčšieho partnera. Zodpovednosť bez konkrétnej osoby totiž v praxi neexistuje.

Môže byť manažér kybernetickej bezpečnosti externý?

Áno, legislatíva vyžaduje len určenú zodpovednú osobu, nie nutne zamestnanca na plný úväzok. Model CISO as a service je bežný spôsob, ako túto povinnosť pokryť efektívne aj v malej či strednej firme. Výhodou je okamžitá dostupnosť skúseností bez dlhého náboru.

Aké má manažér kybernetickej bezpečnosti povinnosti?

Medzi jeho hlavné povinnosti patrí riadenie rizík, tvorba bezpečnostných politík, dohľad nad incidentmi a komunikácia s dozorným orgánom. Ďalej ide o školenie zamestnancov a kontrolu bezpečnosti dodávateľov. Konkrétny rozsah sa líši podľa veľkosti firmy a toho, či spadá pod NIS2.