Často narážím na otázku, proč nový ZoKB ukládá povinnost jmenovat manažera kybernetické bezpečnosti (MKB) a jaký má tato role reálný přínos.

Není pochyb o tom, že nový ZoKB představuje pro regulované organizace velký skok oproti dosavadní praxi. Pro mnohé to bude výzva jak po technické, tak i po organizační stránce. O potřebě alokovat značné zdroje (peníze, čas, úsilí) ani nemluvě.

Je tedy legitimní se ptát, proč do toho všeho ještě přidávat úplně novou organizační funkci. Názory mohou být různé. Od toho, že se jedná o další zbytečnou povinnost, až po obhajobu, že bez odpovědného řízení bude zavádění nových bezpečnostních systémů a procesů jen vyhazováním peněz.

Důležitější otázkou tedy je: „Co má manažer kybernetické bezpečnosti skutečně přinést, aby nebyl jen povinností navíc, ale reálnou posilou organizace?“

Kybermanažer s byznysovým přesahem. Seznamte se.

Ti, co doposud řešili bezpečnost tak nějak bokem v rámci IT oddělení, tedy bez jasného vlastníka a přímé vazby na strategické cíle firmy, budou muset zásadně změnit přístup.

Nový zákon totiž dává explicitně najevo, že ochrana důležitých systémů a dat už není záležitostí IT oddělení, ale celé organizace, včetně vedení. Zavedení povinnosti mít v týmu člověka, který na to dohlédne a zároveň propojí kyberbezpečnost s celou firmou, jejím byznysem, cíli a procesy, je toho jasným důkazem.

V režimu nižších povinností bude stačit mít odpovědnou osobu za kybernetickou bezpečnost. Organizace ve vyšším režimu to budou mít o něco složitější. Budou muset určit a obsadit tzv. bezpečnostní role. Konkrétně manažera kybernetické bezpečnosti, architekta kybernetické bezpečnosti, garanta aktiv a auditora kybernetické bezpečnost (§ 5 Vyhlášky o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinnost).

Manažer kybernetické bezpečnosti bude mít v této hierarchii výsadní postavení, protože bude zodpovědný za systém řízení bezpečnosti informací (ISMS) a komunikaci s vedením. Konkrétně:

  • bude koordinovat zavádění a řízení bezpečnostních opatření,
  • propojí byznysové požadavky s IT,
  • zajistí důvěryhodnost firmy jako subjektu, který kybernetickou bezpečnost bere vážně.

Nejedná se přitom o nic nového. Firmy a organizace, které neberou security na lehkou váhu, už manažery kybernetické bezpečnosti nebo jim podobné pozice dávno mají. Nový zákon se tak v podstatě snaží přenést, nebo chcete-li vynutit, osvědčené postupy i do těch subjektů, kde dosud chyběly, ale kde dávají smysl.

Jak to bude v praxi vypadat?

Ustanovení role MKB bude pro většinu organizací nejspíše prvním krokem k naplnění souladu s novým zákonem. Vždy je totiž lepší začít systematicky, než nahodile. Obzvlášť v případě povinností, jejichž neplnění může organizaci stát hodně peněz.

Co ale tato role prakticky obnáší?

Ponechme teď stranou technický výčet povinností MKB dle zákona, ty si nakonec každý může přečíst v příslušné vyhlášce.

Z vlastní zkušenosti v TNS vím, že manažer kybernetické bezpečnosti v první řadě musí rozumět prostředí a cílům povinné organizace. To je základ, aby následně:

  • Dal dohromady jasný přehled o tom, jaká aktiva máte a jak souvisí s poskytováním regulovaných služeb.
  • Zmapoval současný stav kybernetické bezpečnosti a našel mezery.
  • Nastavil proces řízení rizik. Identifikovat, co vás může ohrozit, a vyhodnotí, jak velký dopad by to mělo.
  • Připravil plán, jak s riziky pracovat, a přehled opatření, která je potřeba zavést – bezpečnostní strategie plus co se musí stát krok za krokem.
  • Spolupracoval na zavádění a testování procesů, jako je reakce na incidenty nebo řízení přístupů.
  • Radil s výběrem technologických partnerů a řešení (EDR, SIEM, log management, …,zkrátka vše, co bude potřeba).
  • Komunikoval s NÚKIBem a CERTem a byl garantem toho, že organizace plní své povinnosti.
  • Organizoval školení zaměstnanců o kyberbezpečnosti.
  • A v neposlední řadě, pravidelně reportoval a zodpovídal se vedení organizace.

MKB na toto vše zpravidla nebývá, a neměl by být sám. Technologie a kybernetická bezpečnost jsou natolik komplexní, že se neobejde jednak bez expertů zajišťujících další stanovené role, i specialistů z oblastí, jako je právo či audit.

Jak vypadá a kde ho najít?

Profilu ideálního manažera kybernetické bezpečnosti a jeho povinnostem věnuje vyhláška celou jednu stranu.

Mimo jiné by měl znát normy řady ISO/IEC 27000, měl by mít přehled v oblasti ICT, zkušenosti s prosazováním systému řízení bezpečnosti informací, měl by rozumět řízení rizik, znát relevantní právní a regulatorní požadavky a tak dále.

To není málo a najít člověka s takovou expertízou nemusí být snadné.

Jako již tradičně v IT, možnosti jsou v zásadě dvě. Obsadit roli interně, nebo outsourcovat.

Interní expert má ze startu několik nezanedbatelných výhod. Zná organizaci. Pravděpodobně má povědomí o tom, jak komunikovat s vedením. Jako kolega může mít větší důvěru zaměstnanců. Pro vedení firmy může být obsazení role manažera kybernetické bezpečnosti interním člověkem příslib určité stability, předpoklad kontinuálního budování bezpečnosti organizace.

Na druhou stranu, najít ve svých řadách člověka, který dokáže obsáhnout všechny povinnosti MKB, může být složité. Zvláště pak pro organizace, které doposud nespadaly pod regulaci nebo nemají dostatečně vyvinuté řízení IT.

Ale i větší organizace s vyspělým IT nemusí chtít zatížit klíčového člověka dalšími povinnostmi. V takových případech dává smysl outsourcing, a to především kvůli:

  • Okamžitému přístupu k expertíze. Externí odborníci mají zkušenosti a umí rychle nastavit procesy podle best practices.
  • Flexibilitě nákladů. Platíte za službu, ne za plný úvazek. To se hodí především organizacím s omezeným budgetem v obou režimech povinností.
  • Nestrannému pohledu. Externista snáz odhalí mezery nebo slepá místa, která interní tým může nevědomky přehlížet.

MKB jako první krok na cestě k naplnění zákona

Tvůrci směrnice NIS2, ze které nový zákon o kybernetické bezpečnosti vychází, si byli dobře vědomi toho, že prosté nahrnutí povinností na regulované firmy může skončit chaosem. Proto je jeho součástí i povinnost mít někoho, kdo se o to vše bude svědomitě starat.

Věřím, že organizace, které nebudou brát MKB jako nadiktovanou zátěž, ale jako investici do své odolnosti, získají konkurenční výhodu v podobě vyšší bezpečnosti a důvěrhodnosti podnikání. A že na cestě k naplnění požadavků zákona by nalezení správného MKB mělo být prvním krokem.

Jak se na manažery kybernetické bezpečnosti díváte vy? Povinnost, nebo dobrá investice?