NIS2 READY
Dobrý report pre vedenie neukazuje všetko, čo sa v kybernetickej bezpečnosti deje. Ukazuje to, čo vedenie potrebuje vedieť, aby mohlo riadiť riziká a prijímať rozhodnutia.
Kybernetická bezpečnosť nie je iba technickou témou. Výpadok dôležitého systému, bezpečnostný incident, problém u dodávateľa alebo nesplnenie povinnosti môžu ovplyvniť fungovanie celej organizácie. Úlohou CISO je preto vysvetliť vedeniu, čo bezpečnostné riziká znamenajú pre fungovanie organizácie a kde je potrebné jeho rozhodnutie.
Pre organizácie, na ktoré sa vzťahujú požiadavky NIS2, má táto komunikácia aj širší kontext. NIS2 posilňuje úlohu riadiacich orgánov pri riadení kybernetických rizík – vedenie má schvaľovať opatrenia na ich riadenie a dohliadať na ich zavádzanie. Za riadenie kybernetických rizík zároveň nesie zodpovednosť a jeho členovia sú povinní absolvovať odbornú prípravu v tejto oblasti. Aj preto vedenie potrebuje zrozumiteľné a aktuálne informácie, na základe ktorých môže rozhodovať.
Pravidelný reporting a situácie, ktoré nepočkajú
Komunikácia CISO s vedením má spravidla dve roviny.
Pravidelný manažérsky reporting môže prebiehať napríklad mesačne alebo štvrťročne podľa potrieb organizácie. Poskytuje stručný pohľad na stav a vývoj kybernetických rizík, významné incidenty, plnenie bezpečnostných opatrení, compliance, pripravenosť na výpadky a ďalšie oblasti dôležité pre rozhodovanie.
Druhou rovinou je ad hoc eskalácia. Na najbližší report sa nečaká, ak nastane závažný incident, objaví sa kritické riziko alebo významná zraniteľnosť, vznikne problém s dôležitým dodávateľom alebo situácia vyžaduje bezodkladné rozhodnutie vedenia.
Organizácia by preto mala mať jasno v tom, ktoré situácie sa eskalujú, komu a pri akom stupni závažnosti. Pri organizáciách v pôsobnosti zákona o kybernetickej bezpečnosti treba myslieť aj na lehoty na hlásenie závažných incidentov. Interná eskalácia musí byť nastavená tak, aby ich organizácia stihla dodržať.
Pravidelný reporting dáva vedeniu prehľad. Ad hoc eskalácia mu umožňuje reagovať včas.
Čo by malo vedenie pravidelne vedieť?
Presný obsah reportingu závisí od veľkosti a typu organizácie, jej rizík, povinností a spôsobu riadenia.
1. Aké sú naše najvýznamnejšie riziká?
Vedenie nepotrebuje prechádzať celý register rizík. Malo by však poznať riziká, ktoré môžu významne ovplyvniť služby, prevádzku, údaje, financie, zákazníkov či používateľov alebo plnenie povinností organizácie.
CISO by mal upozorniť najmä na nové a rastúce riziká, významné zmeny a riziká, o ktorých organizácia potrebuje rozhodnúť alebo ktoré potrebuje ďalej riešiť.
Dôležitý je kontext. Informácia „na serveri bola identifikovaná kritická zraniteľnosť“ má pre vedenie inú hodnotu ako vysvetlenie: „Zraniteľnosť sa týka systému podporujúceho jednu z našich kľúčových služieb a jej zneužitie môže spôsobiť nedostupnosť služby.“
CISO by mal vysvetliť, čo riziko znamená pre organizáciu, aká je jeho súčasná úroveň, čo ju už znižuje a aký výsledok možno očakávať po realizácii ďalších opatrení.
2. Čo s týmito rizikami robíme?
Samotná identifikácia rizika nestačí. Vedenie potrebuje vedieť, čo organizácia robí pre jeho zvládnutie – čo už bolo zavedené, čo sa plánuje, čo mešká a kde chýbajú zdroje alebo zodpovednosť.
Užitočná je jednoduchá väzba:
riziko → opatrenie → zodpovednosť → termín → stav
Pri plánovaných opatreniach môže byť dôležitá aj informácia o predpokladaných nákladoch a o tom, aké zníženie rizika sa od opatrenia očakáva.
3. Plníme svoje povinnosti?
Organizácia môže mať povinnosti vyplývajúce z legislatívy, zmlúv, interných pravidiel alebo používaných štandardov.
Vedenie nepotrebuje prechádzať každú jednotlivú požiadavku. Malo by však vedieť, kde existujú významné nedostatky, aké nápravné opatrenia zostávajú otvorené a či hrozí nesplnenie dôležitej povinnosti.
Súčasťou prehľadu môžu byť aj významné zistenia z auditov, stav ich nápravy, pripravované kontroly či bezpečnostné záväzky voči zákazníkom a partnerom.
Podstatný nie je počet nesplnených bodov, ale ich význam a možné dôsledky.
4. Stalo sa niečo významné?
Pravidelný report by mal zachytiť významné bezpečnostné incidenty za sledované obdobie, najmä ich dopad, spôsob riešenia a opatrenia, ktoré z nich vyplynuli.
Nie každý zablokovaný e-mail, neúspešné prihlásenie alebo bezpečnostná udalosť však patrí na stôl vedenia.
Vedenie potrebuje poznať najmä dopad incidentu, stav jeho riešenia a opatrenia na zníženie rizika opakovania. Závažný incident sa však musí eskalovať bezodkladne.
5. Dokážeme fungovať aj pri výpadku?
Vedenie by malo vedieť, ktoré služby sú pre organizáciu najdôležitejšie, ako dlho môžu byť nedostupné, či existujú potrebné zálohy a spôsob obnovy a či sú pripravené plány kontinuity.
Dôležité je aj to, či boli postupy obnovy a kontinuity otestované a či z testovania vyplynuli problémy, ktoré treba riešiť.
6. Fungujú naše bezpečnostné opatrenia?
Metriky majú význam vtedy, keď pomáhajú pochopiť stav bezpečnosti alebo jeho vývoj.
Vedenie zvyčajne nepotrebuje vedieť, koľko tisíc udalostí zachytil firewall alebo antivírus. Užitočnejšie môže byť vedieť, či sa kritické zraniteľnosti odstraňujú v stanovených termínoch, ako organizácia zvláda incidenty alebo či sa určitý problém opakovane vracia.
Namiesto informácie „Firewall zablokoval tisíce pokusov o útok“ môže byť pre vedenie užitočnejšie vedieť, že kritické zraniteľnosti na systémoch podporujúcich dôležité služby sa nedarí odstraňovať v stanovených termínoch a časť z nich zostáva otvorená.
Podobne samotná informácia, že všetci zamestnanci absolvovali školenie, ešte nehovorí, či dokážu správne reagovať na phishing alebo inú hrozbu.
Má zmysel sledovať ukazovatele, ktoré súvisia s konkrétnymi rizikami organizácie a pomáhajú posúdiť, či prijaté opatrenia fungujú.
7. Máme na bezpečnosť dostatok ľudí a zdrojov?
Súčasťou reportingu môže byť aj stav významných bezpečnostných aktivít, dostupné personálne kapacity, rozpočet a potreba ďalších investícií.
CISO by mal vedieť vysvetliť nielen to, čo chce kúpiť alebo zaviesť, ale najmä aké riziko tým organizácia rieši a čo sa stane, ak sa opatrenie nerealizuje.
8. Čo potrebujeme od vedenia?
Jedna z najdôležitejších častí reportingu môže byť zároveň najkratšia.
CISO môže identifikovať problém a navrhnúť riešenie, ale nie všetky rozhodnutia patria do jeho právomoci.
Môže byť potrebné schváliť investíciu, určiť prioritu, prideliť kapacity, rozhodnúť o odstávke služby alebo vedome akceptovať určité riziko.
Preto by malo byť z reportu jednoznačné, čo je informácia pre vedenie a o čom má vedenie rozhodnúť.
Rozhodnutia vedenia, najmä o akceptácii rizika, by mali byť zaznamenané – kto rozhodol, kedy a na základe akých informácií. Pri audite aj pri neskoršom incidente je to dôležitý doklad.
Čo do reportu pre vedenie nepatrí
- Surové technické údaje bez vysvetlenia dopadu – počty udalostí, logy, výpisy zo skenerov.
- Úplný register rizík alebo zoznam všetkých požiadaviek – vedenie potrebuje výber toho podstatného.
- Odborný žargón a skratky, ktoré treba vysvetľovať.
- Problémy bez návrhu riešenia alebo bez jasnej otázky, o čom má vedenie rozhodnúť.
Tieto informácie majú svoje miesto v práci CISO a IT. Vedeniu sa predkladajú až vtedy, keď z nich vyplýva niečo, čo treba vedieť alebo rozhodnúť.
Reporting nemusí vyzerať všade rovnako
Vo veľkej spoločnosti môže mať CISO formálny report pre predstavenstvo a pravidelný harmonogram prezentácií.
V SME, obci, škole alebo menšej verejnej organizácii môže bezpečnostnú rolu vykonávať interný pracovník popri ďalších povinnostiach alebo externý odborník. Aj reporting preto môže byť jednoduchší – napríklad stručný prehľad, dashboard alebo pravidelné stretnutie s vedením.
Rozdielne budú aj priority. Pre výrobnú spoločnosť môže byť zásadná dostupnosť výroby a závislosť od dodávateľov, pre obec kontinuita služieb občanom, pre školu dostupnosť informačných systémov a ochrana údajov.
Neexistuje ani jedna správna frekvencia reportingu – dôležitá je pravidelnosť a pravidlo, že závažná zmena nečaká na ďalší plánovaný termín.
Ako môže vyzerať stručný report pre vedenie?
Aj jednostranový prehľad môže byť užitočný, ak obsahuje informácie potrebné na rozhodovanie:
- Najvýznamnejšie riziká – čo je aktuálne najdôležitejšie a čo sa od posledného reportu zmenilo.
- Stav kľúčových opatrení – čo bolo dokončené, čo prebieha a čo mešká.
- Významné incidenty – čo sa stalo, aký bol dopad a aké opatrenia z toho vyplynuli.
- Compliance a kontinuita – významné nedostatky, zistenia alebo zmeny, ktoré by vedenie malo poznať.
- Rozhodnutia vedenia – čo je potrebné schváliť, prioritizovať, zabezpečiť zdrojmi alebo vedome akceptovať.
Nejde o univerzálnu šablónu. Rozsah a obsah reportu by mali zodpovedať rizikám a potrebám konkrétnej organizácie.
Tazilla ako zdroj podkladov pre reporting
Informácie, ktoré CISO potrebuje pri komunikácii s vedením, často nevznikajú na jednom mieste.
Tazilla pomáha tieto informácie spravovať v spoločnom prostredí. CISO tak môže pri príprave reportingu vychádzať z údajov o službách a aktívach, rizikách a opatreniach, compliance, incidentoch a ďalších registroch, kontinuitnom riadení či vzdelávaní zamestnancov.
Konkrétnym príkladom je Risk Management Report, ktorý prepája výsledky analýzy rizík s ďalším riadením rizík.
Umožňuje ukázať riziká určené na akceptovanie alebo ďalšie riadenie, existujúce a plánované opatrenia a pri nich aj zodpovednosti, termíny či náklady.
Dôležitý je aj pohľad na vývoj rizika:
počiatočné riziko → riziko po existujúcich opatreniach → očakávané riziko po plánovaných opatreniach
Report zároveň obsahuje priestor na zaznamenanie rozhodnutí vedenia o predložených rizikách a opatreniach vrátane prípadných pripomienok.
Vytvára tak prepojenie medzi odbornou analýzou CISO a manažérskym rozhodovaním – od identifikovaného rizika cez navrhované opatrenia až po ich schválenie alebo rozhodnutie o akceptácii rizika.
Risk Management Report však nie je celý manažérsky report CISO. Je jedným z jeho možných podkladov.
Podľa potrieb organizácie môže CISO doplniť informácie z ďalších oblastí Tazilly – napríklad compliance, incidentov a ďalších registrov, kontinuity, dodávateľov alebo vzdelávania.
Na záver
Dobrý report pre vedenie nemusí byť dlhý ani plný technických ukazovateľov. Mal by však poskytnúť jasný obraz o tom, aké sú najvýznamnejšie riziká, čo sa od posledného obdobia zmenilo, čo organizácia robí na ich zvládnutie a kde potrebuje rozhodnutie vedenia.
Cieľom nie je reportovať čo najviac. Cieľom je dostať relevantné informácie k ľuďom, ktorí podľa nich môžu konať a rozhodovať.