Mnoho regulovaných firem a organizací dnes přistupuje ke kybernetické bezpečnosti velmi pragmaticky. Splnit, co ukládá legislativa, a jít dál.

U organizací v nižším režimu povinností je to pochopitelné. Požadavky nejsou tak rozsáhlé, regulatorní tlak je nižší a kapacity na nějaké sofistikovanější řízení bezpečnosti omezené.

A přestože tento pragmatismus je z pohledu firmy, která má přece jiné starosti než kyberbezpečnost, efektivní, může mít i nežádoucí vedlejší efekt. Zákazníci a obchodní partneři totiž mohou vnímat rozdíl mezi zaškrtnutým checkboxem a skutečným řízením kybernetické bezpečnosti

A pokud chce firma dosáhnout skutečné důvěryhodnosti a z ní vyplývajících výhod, musí jít často nad rámec požadavků ZoKB a nechat se certifikovat dle ISO.

ZoKB vs. ISO/IEC 27001: rozdíl není jen v rozsahu

Nový ZoKB (a související vyhlášky) definuje konkrétní povinnosti vycházející z celosvětově uznávaných best practices systému řízení bezpečnosti informací (SŘBI nebo anglicky ISMS, viz můj předchozí článek).

V praxi po firmách v nižším režimu ale požaduje jen část toho, co pokrývá mezinárodní standard pro zavedení SŘBI, tedy ISO/IEC 27001.

To znamená, že firma může být v souladu se ZoKB, ale zároveň:

  • nemá plně rozvinutý systém řízení bezpečnosti (má zaškrtnuty checkboxy ale neřídí bezpečnost jako celek)
  • nemá jasně definované procesy práce s riziky, odpovědnosti a procesy vedoucí ke zlepšování,
  • nemá nezávislé ověření toho, že bezpečnost funguje tak, jak má.

V nižším režimu organizace nemusí mít ustanoveny role jako manažer kybernetické bezpečnosti nebo její architekt. Bezpečnost tak běžně zůstává „na bedrech IT“, typicky na administrátorovi nebo vedoucím IT.

Soulad se ZoKB se navíc často dokládá jen čestným prohlášením firmy nebo interním auditem. To může být z hlediska zákona dostatečné, dokud se na firmu nezačne dívat někdo zvenčí.

Důvěryhodnost jako konkurenční výhoda

S rostoucí regulací i s tlakem na bezpečnost dodavatelských řetězců stále častěji zaznívá otázka „můžu věřit, že má můj obchodní partner bezpečnost svých dat a systémů skutečně pod kontrolou?“ Pokud je odpovědí interní audit nebo čestné prohlášení, důvěra vzniká obtížněji.

Certifikace ISO/IEC 27001 naopak představuje externí, nezávislé ověření. Neříká jen „tvrdíme, že to splňujeme“, ale „máme ověření třetí strany“.

To s sebou nese konkrétní výhody:

  • vyšší důvěra ze strany stávajících zákazníků a partnerů,
  • lepší pozice ve výběrových řízeních,
  • snazší vstup do dodavatelských řetězců větších firem (je běžné, že větší firmy po svých partnerech ISO, SOC2, TISAX i jiné certifikace vyžadují).

Velké firmy totiž už neřeší jen vlastní bezpečnost, ale i zabezpečení svých partnerů. Chtějí vidět, že rizika řídí systematicky. A „splňujeme ZoKB“ nemusí být dostatečná odpověď, protože neříká, jakým způsobem firma bezpečnost skutečně řídí.

Pro menší nebo střední firmu to může znamenat velmi konkrétní věc: pokud chce dodávat do určitých segmentů, je pro ni obchodně naprosto zásadní plnit TISAX nebo ISO než pouze legislativní minimum.

Jinými slovy, bezpečnost se stává nejen technickým nebo compliance tématem, ale i faktorem, který přímo ovlivňuje obchodní příležitosti.

Pro a proti

Častý protiargument zní, že ISO je složitější a nákladnější.

To je pravda.

Na druhou stranu ale přináší strukturu, která dlouhodobě snižuje chaos a improvizaci. Organizace, které mají ISMS dobře nastavené, typicky lépe rozumí svým rizikům, rychleji reagují na incidenty a mají jasně definované procesy v případě, že se něco skutečně stane.

Zajímavé je, že tento princip funguje i opačně. U organizací ve vyšším režimu povinností se ISO/IEC 27001 často stává základem, na kterém se staví splnění ZoKB. Standard poskytne strukturu a legislativa se na něj „dovrství“ o specifické požadavky, jako jsou definované role nebo nepřetržitý dohled.

ISO tedy není alternativa k zákonu, ale spíše praktický způsob, jak ho zvládnout systematicky.

Zavedení ISO, resp SŘBI je samozřejmě náročný proces, často na několik měsíců. Znamená to projít analýzou rizik, pochopit dopady na business, nastavit procesy, zapojit lidi a dlouhodobě systém řídit. Nemluvě o nákladech souvisejících s certifikací.

Právě proto dává smysl mít vedle interního týmu k ruce i externí odborníky. Například TNS pomáhá firmám celý proces projít, od návrhu a implementace až po přípravu na certifikaci. Důležitou roli sehrává i jako nezávislý auditor, který pomůže odhalit slepá místa, která interně často zůstávají skrytá.

Certifikace jako investice

ZoKB definuje minimum, které je potřeba splnit. ISO/IEC 27001 pomáhá vybudovat systém, kterému ostatní věří.

Firmy, které zůstanou pouze u „minima podle ZoKB“, sice:

  • splní zákon,
  • ale zůstávají hůře čitelné pro trh,
  • a v důsledku budou mít složitější pozici vůči náročnějším zákazníkům.

Naopak organizace, které investují do ISO/IEC 27001 certifikace nezávislou autoritou získají nejen strukturovaný přístup k bezpečnosti, ale i konkurenční výhodu.

A právě rozdíl mezi „splňujeme“ a „jsme důvěryhodní“ dnes v byznysu rozhoduje víc než samotná legislativa.