Kibernetinio saugumo rolės įmonėje: ką iš tiesų būtina turėti?

Kibernetinis saugumas tapo esmine įmonių veiklos dalimi, tačiau dažnai neaišku, kur baigiasi viena saugumo rolė ir prasideda kita, bei ar visoms funkcijoms tikrai turi būti atskiri žmonės.

Šiame straipsnyje aiškiai ir paprastai paaiškiname, kuo skiriasi pagrindinės saugumo ir IT rolės, kada užtenka vieno specialisto, o kada reikia komandos, ir kokius įgūdžius įmonė privalo užtikrinti, kad veiktų saugiai ir be perteklinio resursų švaistymo.

1. Saugumas organizacijoje = atsakomybės, ne tik pareigos pavadinimas

Saugumą sudaro ne rolės pavadinimas, o darbai, kurie turi būti atliekami:

• Saugumo krypties sudarymas ir sprendimų parinkimas

• Rizikų numatymas ir jų kontrolės planas

• Incidentų suvaldymas ir reakcijos koordinavimas

• IT aplinkos (tinklo, įrenginių) stebėjimas

• IT turto ir prieigų tvarka

• Darbuotojų parengimas atpažinti grėsmes ir veikti krizių metu

• Verslo tęstinumo testavimas - kas vyksta, jei sustoja IT ar kritiniai procesai

• Tiekėjų, rangovų ir partnerių saugumo priežiūra

• Pratybos, incidentų imitacijos ir pasirengimo testai

Įmonės dydis lemia, kiek žmonių tai darys, bet ne ar tai bus daroma.

2. Kuo skiriasi pagrindinės rolės?

CISO (kibernetinio saugumo vadovas)

CISO atsako už kibernetinio saugumo planą ir jo valdymą. Jis dirba su vadovybe ir užtikrina, kad saugumo sprendimai būtų sistemingi, pamatuoti ir atitiktų verslo poreikius bei teisinius reikalavimus.

Pagrindinės CISO atsakomybės:

• saugumo politikų ir taisyklių sudarymas,

• rizikų identifikavimas ir jų mažinimo planas,

• veiklos poveikio analizė (BIA) - kritinių veiklų priklausomybės nuo IT,

• tęstinumo testavimas ir planai, jeigu sustoja IT procesai,

• incidentų koordinavimas ir komunikacijos valdymas, kai kažkas įvyksta,

• tiekėjų ir trečiųjų šalių saugumo vertinimas ir registro priežiūra,

• pratybų organizavimas ir saugumo brandos auginimas,

• ataskaitų pateikimas vadovams ir auditams.

Svarbu: CISO nėra techninis IT ūkio tvarkytojas - jo darbas yra ne konfigūruoti serverius, o užtikrinti, kad jie būtų valdomi saugiai.

CIO (IT vadovas)

CIO yra atsakingas už IT ūkį ir skaitmeninę įmonės plėtrą, technologijų parinkimą, sistemų veikimą ir IT komandos valdymą.

Jo darbai apima:

• IT strategiją ir architektūrą,

• sistemų veikimą ir IT komandos priežiūrą,

• IT investicijų planavimą,

• technologijų plėtros projektus,

• IT turto ir sistemų inventorizaciją.

Skirtumas nuo CISO:
CIO rūpinasi „kad veiktų“, CISO - „kad veiktų saugiai ir nelūžtų“.

SOC specialistas (arba SOC kaip paslauga)

Tai - grėsmių ir incidentų stebėjimo funkcija, kurios esmė - kuo anksčiau pastebėti įtartiną veiklą tinkle ir sistemose, ją analizuoti bei perduoti atsakingiems asmenims.

Dažniausiai dirba su įrankiais kaip Microsoft Sentinel, EDR/XDR platformomis.

Svarbu: net ir didelė dalis Lietuvos įmonių neturi SOC viduje, o šią funkciją perka kaip paslaugą iš partnerių, nes pilnas 24/7 monitoringas įmonės viduje yra brangus modelis.

CSO (bendros saugos vadovas)

CSO atsako už plataus spektro saugumo valdymą, kuris dažniau apima fizinę saugą, žmonių apsaugą, krizių parengties planus, saugumo procedūras, tačiau nebūtinai techninį kibernetinės saugos įgyvendinimą.

IT administratorius / IT komandos vadovas

Tai – techninis IT žmogus, atsakingas už tinklus, serverius, kompiuterius, atsargines kopijas, naudotojų paskyras ir IT „ūkį“. Saugos klausimais jis vykdo užduotis, kurias suformuoja CISO arba saugos pareigūnas.

3. Ar įmonei reikalingi visi šie žmonės atskirai?

Dažniausiai - ne, tačiau įmonėje turi būti atsakcijų savininkas už visas saugumo sritis, kartais padengiant kelias funkcijas vienam specialistui arba perkant stebėseną, testus ir dalį rizikos valdymo iš išorės.

Rekomenduojamas modelis:

4. Kokių įgūdžių įmonėje tikrai turi netrūkti?

Nepriklausomai nuo dydžio, įmonė turi turėti (viduje arba per partnerius):

• Rizikų vertinimą ir sąrašą

• Veiklos poveikio analizę (BIA)

• Incidentų valdymo, eskalavimo ir reporting’o planą

• IT turto ir prieigų tvarką

• Tiekėjų ir partnerių saugumo priežiūrą

• Darbuotojų mokymus ir pasirengimo testus

• IT aplinkos stebėseną (dažniausiai išorėje)

Jeigu tai padengta - įmonė funkcionuoja saugiai.

5. Dažniausi mitai, kuriuos sutinkame realybėje

• „CISO turi tvarkyti mano serverį“ - ne, tai IT darbas.

• „Neturime SOC, tai nesame saugūs“ - SOC funkcija dažniausiai išorėje, tai normalu.

• „Jeigu netvarkom IT, CISO nepadės“ - taip, jis ne „gaisrininkas“, jis - kapitonas.

• „Reguliatoriai tikrins tik sertifikatus“ - tikrins procesus, ar atlikti saugos testai, ar yra aiškus atsakomybės savininkas.

6. Išvada vadovui

Įmonė privalo turėti CISO arba kibernetinės saugos pareigūną, jeigu jai taikomi tokie teisiniai reikalavimai kaip NIS2, DORA, o saugumas organizacijoje bus vertinamas ne tik pagal rolės egzistavimą, bet ir pagal tai, kaip efektyviai atliekamos saugos, rizikų, IT turto, incidentų koordinavimo, tiekėjų priežiūros ir darbuotojų parengimo funkcijos.

7. Praktinė rekomendacija

Vadovas turi ne klausti „kiek reikia žmonių?“, o klausti „kas už ką atsako?“ ir turėti tikrumą, kad visos kritinės saugumo sritys turi savo savininką - net jeigu dalį jų padeda atlikti partneriai ar automatizuoti įrankiai.