Fib.Code
Pełnomocnik ds. bezpieczeństwa informacji - w nomenklaturze międzynarodowej znany jako vCISO, czyli virtual Chief Information Security Officer - to odpowiedź na dwa równoczesne wyzwania: rosnące wymogi regulacyjne (NIS-2, KRI, DORA, ISO 27001) i deficyt specjalistów cyberbezpieczeństwa na rynku. Zapewniamy ciągły nadzór nad bezpieczeństwem informacji w Państwa organizacji, z kompetencjami całego zespołu, a nie pojedynczej osoby.
Średnie firmy (50–500 pracowników), które podlegają regulacjom, ale nie potrzebują etatowego CISO
Jednostki samorządu terytorialnego zobowiązane do spełnienia wymogów KRI i NIS-2
Spółki komunalne - wodociągi, ciepłownie, zakłady komunalne podlegające regulacjom
Organizacje w trakcie certyfikacji ISO 27001 potrzebujące doświadczonego koordynatora
Firmy po incydencie bezpieczeństwa, które potrzebują natychmiastowego wsparcia
Trzy warstwy kompetencji - strategia, operacje i komunikacja - realizowane przez wielodyscyplinarny zespół
Rozpoznanie - wstępny przegląd organizacji: struktura, systemy IT, dokumentacja, ryzyka. Efekt: raport z priorytetami na pierwsze 3 miesiące.
Ustalenie zasad współpracy - zakres odpowiedzialności, kanały komunikacji, częstotliwość raportowania, zasady eskalacji incydentów.
Quick wins - szybkie, widoczne działania: uporządkowanie dokumentacji, zamknięcie najbardziej oczywistych luk, uruchomienie monitoringu.
Budowa systemu - systematyczna praca nad SZBI: analiza ryzyka, polityki, procedury, szkolenia, audyt wewnętrzny.
Operacja ciągła - monitoring, przeglądy, reagowanie na incydenty, aktualizacja dokumentacji, raportowanie do zarządu.
Tak - pod warunkiem braku konfliktu interesów. W mniejszych organizacjach łączenie ról jest częste i uzasadnione ekonomicznie. W większych organizacjach rekomendujemy rozdzielenie funkcji.
Tak - żadna polska regulacja (KRI, UoKSC, RODO, ISO 27001) nie wymaga, aby osoba odpowiedzialna za bezpieczeństwo informacji była zatrudniona na etacie. Wymóg dotyczy funkcji, nie formy zatrudnienia.
Zależy od wielkości i dojrzałości organizacji. Typowo od kilku do kilkunastu godzin miesięcznie w fazie operacji ciągłej, więcej w fazie wdrożenia. Obecność fizyczna: 1–2 dni w miesiącu plus stała dostępność zdalna.
Faza rozpoznania trwa około tygodnia. Pierwsze quick wins są widoczne w ciągu 2–4 tygodni. Pełna operacyjność modelu - po 4–6 tygodniach.
Tak - ustalamy z góry kanały awaryjne i maksymalny czas reakcji. W przypadku incydentu bezpieczeństwa vCISO koordynuje reakcję, raportowanie i komunikację.