Zewnętrzny pełnomocnik SZBI i obsługa systemu bezpieczeństwa informacji
Po przygotowaniu polityk i procedur pozostaje codzienna praca: przeglądy, aktualizacja ryzyka, nadzór nad zadaniami i reagowanie na zmiany. Pomagamy organizacjom utrzymywać system zarządzania bezpieczeństwem informacji w praktyce.
Możemy pełnić funkcję pełnomocnika SZBI w Twojej organizacji albo wspierać osobę, która już ją sprawuje. Zakres zadań i uprawnień ustalamy na początku współpracy.
Współpracujemy z kierownictwem, osobą odpowiedzialną za SZBI, właścicielami procesów i działem IT.
Kiedy potrzebne jest stałe wsparcie
Gdy dokumentacja już istnieje, ale nie ma jasnego harmonogramu przeglądów. Gdy zadania są rozproszone między działami. Gdy pełnomocnik potrzebuje dodatkowej pomocy albo organizacja przygotowuje się do nowych wymagań. Gdy w organizacji nie ma osoby, która mogłaby objąć tę funkcję.
Dwie formy współpracy
Pełnimy funkcję pełnomocnika SZBI
Przejmujemy prowadzenie systemu zarządzania bezpieczeństwem informacji: utrzymanie dokumentacji, harmonogram przeglądów, analizę ryzyka, nadzór nad realizacją zadań i przygotowanie informacji dla kierownictwa. Zakres powierzonych zadań oraz uprawnień zapisujemy w umowie i w dokumencie powołania. Decyzje zastrzeżone dla kierownictwa pozostają po jego stronie.
Wspieramy pełnomocnika, który już działa
Jeżeli funkcję sprawuje pracownik, pracujemy obok niego: porządkujemy zadania, przygotowujemy materiały na przeglądy, pomagamy w analizie ryzyka oraz w uzgodnieniach z IT i dostawcami. Odpowiedzialność za funkcję zostaje w organizacji.
Rola pełnomocnika nie jest obowiązkowa w każdym przypadku — wynika z przyjętego modelu zarządzania bezpieczeństwem informacji albo z wymagań normy, na którą zdecydowała się organizacja. Formę współpracy dobieramy do tego modelu.
Zakres współpracy
Zakres może obejmować:
- pełnienie funkcji pełnomocnika SZBI na podstawie umowy i dokumentu powołania;
- uporządkowanie zadań i odpowiedzialności;
- opracowanie planu utrzymania systemu;
- przegląd dokumentacji po zmianach organizacyjnych;
- wsparcie analizy ryzyka i planowania działań;
- porządkowanie ewidencji aktywów i relacji z dostawcami;
- przygotowanie ćwiczeń oraz przeglądów ciągłości działania;
- szkolenia i komunikaty dla pracowników;
- przygotowanie informacji o stanie realizacji prac dla kierownictwa.
Częstotliwość spotkań i przeglądów ustalamy w zależności od potrzeb organizacji.
Współpraca z IT i kierownictwem
Wsparcie SZBI wymaga informacji o rzeczywistym działaniu systemów i procesów. Zespół IT odpowiada za uzgodnione zadania techniczne, a kierownictwo podejmuje decyzje wymagające jego uprawnień.
Pomagamy opisać wymagania, zaplanować działania i uporządkować dowody ich wykonania. Administracja systemami, testy penetracyjne i całodobowe monitorowanie nie są automatyczną częścią tej usługi.
Jasny podział ról
Na początku ustalamy model współpracy. Zakres obowiązków, uprawnienia i sposób raportowania powinny być jednoznacznie określone.
Jeżeli ta sama osoba wykonuje również inne zadania, oceniamy możliwość ich połączenia oraz ryzyko konfliktu interesów. Dotyczy to w szczególności łączenia zadań zarządczych z niezależnym monitorowaniem zgodności.
Jak rozpoczynamy
Przeglądamy istniejące materiały, poznajemy podział odpowiedzialności i ustalamy najważniejsze zaległości. Następnie proponujemy plan działań oraz sposób bieżącej współpracy.
Jeżeli organizacja dopiero przygotowuje system, zobacz wsparcie przy wdrożeniu NIS2 i KSC. Jeżeli nie masz pewności co do obowiązków, zacznij od analizy podlegania KSC.
Najczęstsze pytania
Czy pełnomocnikiem SZBI może być osoba z zewnątrz?
Tak. Zakres zadań i uprawnień określa umowa oraz dokument powołania. Decyzje zastrzeżone dla kierownictwa pozostają po jego stronie.
Czy można zamówić obsługę systemu wdrożonego przez inną firmę?
Tak. Najpierw sprawdzamy stan materiałów i sposób korzystania z nich.
Czy usługa obejmuje certyfikację ISO 27001?
Nie jest usługą wydania certyfikatu. Ewentualne przygotowanie do certyfikacji wymaga uzgodnienia odrębnego zakresu.
Czy współpraca może być zdalna?
Tak, w zakresie pozwalającym na rzetelne wykonanie zadań. Potrzebę wizyt ustalamy osobno.
Porozmawiajmy o utrzymaniu SZBI
Opisz, jak wygląda dziś system w Twojej organizacji i czego brakuje. Na tej podstawie zaproponujemy zakres i częstotliwość współpracy.