NIS2 READY
Dobrý report pro vedení neukazuje vše, co se v kybernetické bezpečnosti děje. Ukazuje to, co vedení potřebuje vědět, aby mohlo řídit rizika a přijímat rozhodnutí.
Kybernetická bezpečnost není pouze technickým tématem. Výpadek důležitého systému, bezpečnostní incident, problém u dodavatele nebo nesplnění povinnosti mohou ovlivnit fungování celé organizace. Úkolem CISO je proto vysvětlit vedení, co bezpečnostní rizika znamenají pro fungování organizace a kde je potřeba jeho rozhodnutí.
Pro organizace, na které se vztahují požadavky NIS2, má tato komunikace také širší kontext. NIS2 posiluje roli řídicích orgánů při řízení kybernetických rizik – vedení má schvalovat opatření k jejich řízení a dohlížet na jejich zavádění. Za řízení kybernetických rizik zároveň nese odpovědnost a jeho členové jsou povinni absolvovat odborné školení v této oblasti. I proto vedení potřebuje srozumitelné a aktuální informace, na jejichž základě může rozhodovat.
Pravidelný reporting a situace, které nepočkají
Komunikace CISO s vedením má zpravidla dvě roviny.
Pravidelný manažerský reporting může probíhat například měsíčně nebo čtvrtletně podle potřeb organizace. Poskytuje stručný pohled na stav a vývoj kybernetických rizik, významné incidenty, plnění bezpečnostních opatření, compliance, připravenost na výpadky a další oblasti důležité pro rozhodování.
Druhou rovinou je ad hoc eskalace. Na nejbližší report se nečeká, pokud nastane závažný incident, objeví se kritické riziko nebo významná zranitelnost, vznikne problém s důležitým dodavatelem nebo situace vyžaduje bezodkladné rozhodnutí vedení.
Organizace by proto měla mít jasno v tom, které situace se eskalují, komu a při jakém stupni závažnosti. U organizací spadajících do působnosti právních předpisů o kybernetické bezpečnosti je třeba myslet také na lhůty pro hlášení závažných incidentů. Interní eskalace musí být nastavena tak, aby je organizace stihla dodržet.
Pravidelný reporting poskytuje vedení přehled. Ad hoc eskalace mu umožňuje reagovat včas.
Co by mělo vedení pravidelně vědět?
Přesný obsah reportingu závisí na velikosti a typu organizace, jejích rizicích, povinnostech a způsobu řízení.
1. Jaká jsou naše nejvýznamnější rizika?
Vedení nepotřebuje procházet celý registr rizik. Mělo by však znát rizika, která mohou významně ovlivnit služby, provoz, data, finance, zákazníky či uživatele nebo plnění povinností organizace.
CISO by měl upozornit zejména na nová a rostoucí rizika, významné změny a rizika, o kterých organizace potřebuje rozhodnout nebo která potřebuje dále řešit.
Důležitý je kontext. Informace „na serveru byla identifikována kritická zranitelnost“ má pro vedení jinou hodnotu než vysvětlení: „Zranitelnost se týká systému podporujícího jednu z našich klíčových služeb a její zneužití může způsobit nedostupnost služby.“
CISO by měl vysvětlit, co riziko znamená pro organizaci, jaká je jeho současná úroveň, co ji již snižuje a jaký výsledek lze očekávat po realizaci dalších opatření.
2. Co s těmito riziky děláme?
Samotná identifikace rizika nestačí. Vedení potřebuje vědět, co organizace dělá pro jeho zvládnutí – co již bylo zavedeno, co se plánuje, co má zpoždění a kde chybějí zdroje nebo odpovědnost.
Užitečná je jednoduchá vazba:
riziko → opatření → odpovědná osoba → termín → stav
U plánovaných opatření může být důležitá také informace o předpokládaných nákladech a o tom, jaké snížení rizika se od opatření očekává.
3. Plníme své povinnosti?
Organizace může mít povinnosti vyplývající z legislativy, smluv, interních pravidel nebo používaných standardů.
Vedení nepotřebuje procházet každý jednotlivý požadavek. Mělo by však vědět, kde existují významné nedostatky, jaká nápravná opatření zůstávají otevřená a zda hrozí nesplnění důležité povinnosti.
Součástí přehledu mohou být také významná zjištění z auditů, stav jejich nápravy, připravované kontroly či bezpečnostní závazky vůči zákazníkům a partnerům.
Podstatný není počet nesplněných požadavků, ale jejich význam a možné důsledky.
4. Stalo se něco významného?
Pravidelný report by měl zachytit významné bezpečnostní incidenty za sledované období, zejména jejich dopad, způsob řešení a opatření, která z nich vyplynula.
Ne každý zablokovaný e-mail, neúspěšné přihlášení nebo bezpečnostní událost však patří na stůl vedení.
Vedení potřebuje znát především dopad incidentu, stav jeho řešení a opatření ke snížení rizika opakování. Závažný incident se však musí eskalovat bezodkladně.
5. Dokážeme fungovat i při výpadku?
Vedení by mělo vědět, které služby jsou pro organizaci nejdůležitější, jak dlouho mohou být nedostupné, zda existují potřebné zálohy a postupy obnovy a zda jsou připraveny plány kontinuity provozu.
Důležité je také to, zda byly postupy obnovy a kontinuity otestovány a zda z testování vyplynuly problémy, které je třeba řešit.
6. Fungují naše bezpečnostní opatření?
Metriky mají význam tehdy, když pomáhají pochopit stav bezpečnosti nebo jeho vývoj.
Vedení zpravidla nepotřebuje vědět, kolik tisíc událostí zachytil firewall nebo antivirus. Užitečnější může být vědět, zda se kritické zranitelnosti odstraňují ve stanovených termínech, jak organizace zvládá incidenty nebo zda se určitý problém opakovaně vrací.
Namísto informace „Firewall zablokoval tisíce pokusů o útok“ může být pro vedení užitečnější vědět, že kritické zranitelnosti v systémech podporujících důležité služby se nedaří odstraňovat ve stanovených termínech a část z nich zůstává nevyřešená.
Podobně samotná informace, že všichni zaměstnanci absolvovali školení, ještě neznamená, že dokážou správně reagovat na phishing nebo jinou hrozbu.
Smysl má sledovat ukazatele, které souvisejí s konkrétními riziky organizace a pomáhají posoudit, zda přijatá opatření fungují.
7. Máme na bezpečnost dostatek lidí a zdrojů?
Součástí reportingu může být také stav významných bezpečnostních aktivit, dostupné personální kapacity, rozpočet a potřeba dalších investic.
CISO by měl umět vysvětlit nejen to, co chce koupit nebo zavést, ale především jaké riziko tím organizace řeší a co se stane, pokud se opatření nerealizuje.
8. Co potřebujeme od vedení?
Jedna z nejdůležitějších částí reportingu může být zároveň nejkratší.
CISO může identifikovat problém a navrhnout řešení, ale ne všechna rozhodnutí spadají do jeho pravomoci.
Může být potřeba schválit investici, určit prioritu, přidělit kapacity, rozhodnout o odstávce služby nebo vědomě akceptovat určité riziko.
Proto by mělo být z reportu jednoznačné, co je informace pro vedení a o čem má vedení rozhodnout.
Rozhodnutí vedení, zejména o akceptaci rizika, by měla být zaznamenána – kdo rozhodl, kdy a na základě jakých informací. Při auditu i při pozdějším incidentu jde o důležitý doklad.
Co do reportu pro vedení nepatří
- Surová technická data bez vysvětlení dopadu – počty událostí, logy, výstupy ze skenerů.
- Úplný registr rizik nebo seznam všech požadavků – vedení potřebuje výběr toho podstatného.
- Odborný žargon a zkratky, které je nutné vysvětlovat.
- Problémy bez návrhu řešení nebo bez jasné otázky, o čem má vedení rozhodnout.
Tyto informace mají své místo v práci CISO a IT. Vedení se předkládají tehdy, když z nich vyplývá něco, co potřebuje vědět nebo o čem musí rozhodnout.
Reporting nemusí vypadat všude stejně
Ve velké společnosti může CISO připravovat formální report pro představenstvo a mít pravidelný harmonogram prezentací.
V malém či středním podniku (SME), obci, škole nebo menší veřejné organizaci může bezpečnostní roli vykonávat interní pracovník vedle dalších povinností nebo externí odborník. I reporting proto může být jednodušší – například stručný přehled, dashboard nebo pravidelné setkání s vedením.
Odlišné budou také priority. Pro výrobní společnost může být zásadní dostupnost výroby a závislost na dodavatelích, pro obec kontinuita služeb občanům, pro školu dostupnost informačních systémů a ochrana údajů.
Neexistuje ani jedna správná frekvence reportingu – důležitá je pravidelnost a pravidlo, že závažná změna nečeká na další plánovaný termín.
Jak může vypadat stručný report pro vedení?
I jednostránkový přehled může být užitečný, pokud obsahuje informace potřebné pro rozhodování:
- Nejvýznamnější rizika – co je aktuálně nejdůležitější a co se od posledního reportu změnilo.
- Stav klíčových opatření – co bylo dokončeno, co probíhá a co má zpoždění.
- Významné incidenty – co se stalo, jaký byl dopad a jaká opatření z toho vyplynula.
- Compliance a kontinuita – významné nedostatky, zjištění nebo změny, o kterých by vedení mělo vědět.
- Rozhodnutí vedení – co je potřeba schválit, prioritizovat, zajistit potřebnými zdroji nebo vědomě akceptovat.
Nejde o univerzální šablonu. Rozsah a obsah reportu by měly odpovídat rizikům a potřebám konkrétní organizace.
Tazilla jako zdroj podkladů pro reporting
Informace, které CISO potřebuje při komunikaci s vedením, často nevznikají na jednom místě.
Tazilla pomáhá tyto informace spravovat ve společném prostředí. CISO tak může při přípravě reportingu vycházet z údajů o službách a aktivech, rizicích a opatřeních, compliance, incidentech a dalších registrech, řízení kontinuity provozu či vzdělávání zaměstnanců.
Konkrétním příkladem je Risk Management Report, který propojuje výsledky analýzy rizik s jejich dalším řízením.
Umožňuje zobrazit rizika určená k akceptaci nebo dalšímu řízení, existující a plánovaná opatření a také související odpovědnosti, termíny či náklady.
Důležitý je i pohled na vývoj rizika:
počáteční riziko → riziko po stávajících opatřeních → očekávané riziko po plánovaných opatřeních
Report zároveň obsahuje prostor pro zaznamenání rozhodnutí vedení o předložených rizicích a opatřeních, včetně případných připomínek.
Vytváří tak propojení mezi odbornou analýzou CISO a manažerským rozhodováním – od identifikovaného rizika přes navrhovaná opatření až po jejich schválení nebo rozhodnutí o akceptaci rizika.
Risk Management Report však není kompletním manažerským reportem CISO. Je jedním z jeho možných podkladů.
Podle potřeb organizace může CISO doplnit informace z dalších oblastí Tazilly – například compliance, incidentů a dalších registrů, kontinuity provozu, dodavatelů nebo vzdělávání.
Na závěr
Dobrý report pro vedení nemusí být dlouhý ani plný technických ukazatelů. Měl by však poskytnout jasný obraz o tom, jaká jsou nejvýznamnější rizika, co se od posledního reportovacího období změnilo, co organizace dělá pro jejich zvládnutí a kde potřebuje rozhodnutí vedení.
Cílem není reportovat co nejvíce. Cílem je dostat relevantní informace k lidem, kteří podle nich mohou jednat a rozhodovat.