Zarządzanie bezpieczeństwem informacji to nie tylko dział IT. To sposób działania całej organizacji

Autorem artykułu Zarządzanie bezpieczeństwem informacji – jest nasz ekspert, Tomasz Gaszyński, Dyrektor IT w Direct IT. W wielu firmach temat bezpieczeństwa nadal bywa traktowany bardzo wąsko. Najczęściej sprowadza się go do sprzętu, systemów, haseł, kopii zapasowych, firewalla czy monitoringu. To oczywiście ważne elementy, ale same w sobie nie tworzą jeszcze bezpieczeństwa. Mogą pomagać, czasem są wręcz niezbędne, ale nie załatwiają całego tematu.

Prawdziwe zarządzanie bezpieczeństwem informacji zaczyna się dopiero wtedy, gdy organizacja patrzy szerzej. Nie tylko na technologię, ale też na ludzi, procesy, odpowiedzialność, sposób podejmowania decyzji i codzienną praktykę działania. Dopiero połączenie tych elementów daje realną ochronę, a nie tylko wrażenie, że wszystko jest pod kontrolą.

Bezpieczeństwo to proces, nie zestaw urządzeń

W praktyce bezpieczeństwo informacji nie polega na jednorazowym wdrożeniu kilku rozwiązań i zamknięciu tematu. Organizacja się zmienia. Dochodzą nowe systemy, nowi pracownicy, nowe usługi, nowi dostawcy, nowe ryzyka. To oznacza, że bezpieczeństwo też nie może być ustawione raz na zawsze.

Dlatego mówimy o zarządzaniu bezpieczeństwem, a nie tylko o zabezpieczeniach. Chodzi o planowanie, organizowanie, wdrażanie, nadzorowanie i poprawianie działań, które mają chronić informację i wspierać stabilne funkcjonowanie firmy. To właśnie słowo „zarządzanie” robi tu dużą różnicę. Pokazuje, że nie chodzi o pojedynczy zakup ani o samą technologię, tylko o stały, uporządkowany proces.

Dlaczego nie można zrzucić całego bezpieczeństwa na IT

To jeden z najczęstszych błędów w myśleniu o bezpieczeństwie. Skoro dział IT zajmuje się systemami, dostępami, sprzętem i awariami, to łatwo uznać, że za bezpieczeństwo odpowiada właśnie on. Problem w tym, że IT nie podejmuje za organizację decyzji o tym, co jest naprawdę najważniejsze, jakie ryzyko firma akceptuje, ile środków chce przeznaczyć na ochronę i jakie zasady mają obowiązywać pracowników czy dostawców.

Dział IT ma bardzo ważną rolę, ale nie jest jedynym właścicielem tego obszaru. Może wdrażać rozwiązania techniczne, utrzymywać środowisko, reagować na zdarzenia i wskazywać zagrożenia. Nie zastąpi jednak zarządu, kierowników obszarów biznesowych ani samych użytkowników.

Bezpieczeństwo działa dobrze tylko wtedy, gdy odpowiedzialność jest rozłożona szerzej i każdy zna swój zakres.

Rola zarządu i kierownictwa

Bez zaangażowania zarządu bezpieczeństwo bardzo często kończy się na poziomie deklaracji. To właśnie kierownictwo decyduje, jakie obszary są krytyczne, czego organizacja nie może utracić, jaki poziom ryzyka uznaje za dopuszczalny i na co przeznacza budżet. To także zarząd wyznacza priorytety, oczekuje raportowania, wspiera działania naprawcze i nadaje bezpieczeństwu realną rangę.

Jeżeli te decyzje nie zapadają na poziomie kierowniczym, bezpieczeństwo staje się zbiorem rozproszonych działań bez wspólnego kierunku. Wtedy łatwo o chaos, pozorne wdrożenia i rozwiązania, które istnieją tylko formalnie.

IT jest kluczowe, ale nie wystarczy

Nie chodzi o umniejszanie roli IT. Wręcz przeciwnie. To właśnie po stronie IT leży duża część działań technicznych: zabezpieczenia systemów, monitoring, kopie zapasowe, kontrola dostępu, aktualizacje, administracja środowiskiem czy wsparcie odtwarzania działania po awarii.

Trzeba jednak jasno powiedzieć, że nawet najlepszy dział IT nie zbuduje bezpieczeństwa samodzielnie. Nie zrobi tego bez jasnych decyzji zarządu, bez współpracy z obszarami biznesowymi i bez zaangażowania użytkowników. Można mieć dobre narzędzia, a mimo to działać ryzykownie, jeśli pracownicy obchodzą procedury, kierownicy nie pilnują swoich procesów, a organizacja nie ma ustalonych priorytetów.

Bezpieczeństwo tworzą także kierownicy procesów i pracownicy

W praktyce bardzo dużo zależy od osób, które na co dzień nie są kojarzone z cyberbezpieczeństwem. HR, finanse, sprzedaż, obsługa klienta, logistyka, administracja, każdy z tych obszarów przetwarza informacje, korzysta z systemów i podejmuje decyzje, które mają wpływ na bezpieczeństwo.

To kierownicy procesów najlepiej wiedzą, co w ich obszarze jest najważniejsze, które dane są szczególnie wrażliwe, gdzie organizacja jest zależna od usług zewnętrznych i co może sparaliżować pracę zespołu. Z kolei użytkownicy decydują o bardzo wielu rzeczach w codziennej praktyce. Czy ktoś sprawdzi odbiorcę wiadomości przed wysłaniem dokumentu. Czy zgłosi podejrzany mail. Czy zabezpieczy urządzenie. Czy nie ominie procedury, bo tak jest szybciej.

Właśnie dlatego bezpieczeństwo nie istnieje wyłącznie w dokumentach ani w serwerowni. Ono wychodzi w codziennych zachowaniach.

Dostawcy też są częścią układanki

Współczesna firma rzadko działa całkowicie samodzielnie. Korzysta z chmury, hostingu, systemów SaaS, wsparcia serwisowego, usług księgowych, integratorów, operatorów telekomunikacyjnych i wielu innych partnerów. To oznacza, że część ryzyka pojawia się razem z relacją zewnętrzną.

Błędem jest założenie, że skoro usługę realizuje dostawca, to odpowiedzialność automatycznie przechodzi na niego. Tak to nie działa. Organizacja nadal musi wiedzieć, z czego korzysta, od kogo zależy, jakie są skutki ewentualnej awarii po stronie partnera i czy ma przygotowany plan działania na wypadek problemu. Zarządzanie bezpieczeństwem obejmuje więc także nadzór nad dostawcami i rozsądne układanie współpracy.

Po czym poznać, że bezpieczeństwo jest tylko pozorne

Są firmy, które mają dokumenty, procedury i narzędzia, a mimo to nie można powiedzieć, że realnie zarządzają bezpieczeństwem. Zwykle widać to po kilku rzeczach. Nikt nie wie dokładnie, kto za co odpowiada. Zabezpieczenia istnieją, ale nie ma spójnych zasad ich używania. Procedury są zapisane, ale nikt z nich nie korzysta. O bezpieczeństwie zaczyna się mówić dopiero wtedy, gdy pojawi się incydent. Każdy zakłada, że „tym zajmuje się IT”.

Taki model przez jakiś czas może wyglądać poprawnie, bo nic spektakularnego się nie dzieje. Problem wychodzi dopiero przy pierwszym poważniejszym zakłóceniu. Wtedy okazuje się, że role nie były jasno ustalone, działania nie były nadzorowane, a część rozwiązań istniała głównie na papierze.

Co daje dobrze ułożone zarządzanie bezpieczeństwem

Dobrze zorganizowane bezpieczeństwo nie polega na tym, że firma ma więcej zakazów i więcej dokumentów. Chodzi raczej o to, żeby organizacja działała stabilniej, przewidywalniej i była lepiej przygotowana na problemy.

To oznacza mniejsze ryzyko przestojów, lepszą kontrolę nad informacją, sprawniejsze reagowanie na incydenty, większą przejrzystość odpowiedzialności i lepszą współpracę między biznesem a IT. Z punktu widzenia zarządu oznacza to także bardziej świadome podejmowanie decyzji, bo łatwiej ocenić, które ryzyka są naprawdę istotne i gdzie warto inwestować.

Jak do tego podchodzi Direct IT

W Direct IT patrzymy na bezpieczeństwo szerzej niż tylko przez pryzmat narzędzi. Oczywiście technologia ma ogromne znaczenie, ale sama nie wystarczy. Dlatego pomagamy organizacjom nie tylko we wdrażaniu rozwiązań technicznych, ale też w porządkowaniu procesów, odpowiedzialności i praktycznego podejścia do bezpieczeństwa informacji.

Pracujemy z firmami tak, żeby bezpieczeństwo nie było osobnym światem odciętym od codziennego działania biznesu. Zależy nam na tym, by rozwiązania były realnie użyteczne, dopasowane do organizacji i możliwe do utrzymania w praktyce.

Podsumowanie

Bezpieczeństwo informacji to nie jest temat, który można zamknąć w dziale IT. To nie tylko sprzęt, systemy i zabezpieczenia techniczne. To sposób działania całej organizacji.

Zarząd wyznacza kierunek i priorytety. Kierownicy obszarów pilnują bezpieczeństwa w swoich procesach. IT odpowiada za techniczne wdrożenie i utrzymanie rozwiązań. Pracownicy stosują zasady w codziennej pracy. Dostawcy również wpływają na poziom bezpieczeństwa, więc oni także muszą być uwzględnieni w całym modelu.

Dopiero wtedy można mówić o realnym zarządzaniu bezpieczeństwem, a nie tylko o pojedynczych zabezpieczeniach.

Direct IT wspiera firmy w budowaniu bezpieczeństwa, które działa w praktyce, a nie tylko dobrze wygląda w dokumentacji.

Chcesz dowiedzieć się więcej?

Skontaktuj się z nami, a przygotujemy dla Ciebie szczegółową ofertę przygotowaną indywidualnie do Twojej firmy: KONTAKT

Odwiedź nas także na: Facebook
Polecamy: Acronis Cyber Protect – kompleksowa ochrona danych i zabezpieczenie przed cyberzagrożeniami. Dlaczego warto wdrożyć go z Direct IT?