Wdrażanie uKSC: wersja papierowa kontra praktyczna

Wdrażanie ustawy o krajowym systemie cyberbezpieczeństwa - wersja papierowa kontra praktyczna. Do's and dont's. Jeżeli jesteś podmiotem ważnym lub kluczowym pod banderą ustawy o krajowym systemie cyberbezpieczeństwa (uKSC) lub pomagasz wdrażać przepisy, to pewnie masz wątpliwości. Zastanawiasz się jak właściwie powinno to wyglądać i czy Twoje wyobrażenie o tym jak powinno to potem działać będzie zbieżne z audytorami? To naturalne, szczególnie jeżeli robisz to po raz pierwszy. Mam więc kilka wskazówek dla tych, którzy na kwiecień przyszłego roku chcą być gotowi nie tylko na papierze. Wdrożyć uKSC to z głową to nie przeczytanie stosu książek, ale umiejętność przełożenia tego na praktykę. Poniżej kilka wskazówek z projektów wdrożeniowych: ✅ najpierw określ swój poziom ryzyka w obszarze cyberbezpieczeństwa uwzględniając to jakie usługi lub produkty dostarczasz - to pomoże Ci dopasować poziom intensywności rozwiązań, które wdrożysz i jednocześnie nie zbankrutować, ✅ w kolejnym kroku wyznacz swój cel, który chcesz osiągnąć tworząc politykę zarządzania bezpieczeństwem informacji i wyraźnie to w niej zaznacz, ✅ następnie zastanów się kto będzie Ci potrzebny, aby ten cel osiągnąć, a więc jasno pokaż ludzi i zespoły, które mają być zaangażowane w cały proces i nakreśl im jak zmienią się ich obowiązki, ✅ wyznacz lidera, który będzie ogarniał tematy związane z funkcjonowaniem systemu zarządzania cyberbezpieczeństwem (SZBI) - bez zaangażowania takiej osoby na samym początku możesz natrafić na dużo przeszkód, ✅ zastanów się czy przypadkiem wdrażając uKSC nie powinieneś uwzględnić także dobrych praktyk czy wytycznych, które wesprą operacjonalizację; dla przykładu ENISA, OWASP, MITRE czy ISO (w szczególności 27090 i 27001/22301) produkują bardzo wartościowe standardy bez których "zaangażowania" nasze SZBI pozostaje Słabo Zarządzanym Bezpieczeństwem Informacji, ✅ uświadom sobie, że SZBI ma współdziałać z modelem biznesowym i naszymi innymi systemami zarządzania, a więc stwórz - choćby prostą - mapę zależności (architektoniczną), która pozwoli ocenić wpływ na różne procesy czy systemy, ✅ określ budżet wdrożeniowy i operacyjny - nie może to być wyłącznie 1/8 etatu "bezpiecznika" - to też inne koszty, które musimy ponieść, aby zapewnić nam i naszym danym bezpieczeństwo. Wskazówek jest pewnie więcej, ale te dają nam wyraźną przewagę i pozwolą rozłożyć pracę na etapy, a także być przygotowanym/ą na wyzwania, które nas czekają. SZBI nie jest kolejnym obciążeniem dla organizacji, ale naszą polisą. Masz problem z wdrożeniem? To normalne. Nie ulegaj "presji" otoczenia i AI'owym rekomendacjom. Dobrze zaplanowany proces wdrożeniowy i utrzymania to więcej niż połowa sukcesu.