Čo manažér robí
- riadi analýzu rizík a jej ročnú revíziu,
- navrhuje opatrenia a dohliada, aby sa zavádzali,
- drží bezpečnostnú dokumentáciu aktuálnu,
- pripravuje informácie pre vedenie,
- zastrešuje hlásenie incidentov,
- robí samohodnotenie, ak ho firma môže použiť namiesto auditu,
- komunikuje s Národným bezpečnostným úradom a audítorom.
Prečo nie ajťák
Manažér má byť nezávislý od toho, kto IT prevádzkuje. Ak by kontroloval sám seba, ťažko nájde vlastné chyby. Ajťák alebo dodávateľ IT je preto dôležitý partner manažéra, nie jeho náhrada.
Aké vzdelanie a prax
Národný bezpečnostný úrad odporúča kombináciu vzdelania a praxe v IT:
| Vzdelanie | Prax v IT | z toho v bezpečnosti |
|---|---|---|
| vysokoškolské 2. stupňa | 3 roky | 1 rok |
| vysokoškolské 1. stupňa | 5 rokov | 3 roky |
| stredoškolské | 7 rokov | 5 rokov |
Ide o odporúčané minimá z metodiky Národného bezpečnostného úradu. Medzinárodný certifikát, napríklad CISSP alebo CISM, sa ráta ako 1 rok praxe. Skúšku manažéra kybernetickej bezpečnosti ponúkajú akreditované organizácie.
Vlastný alebo externý manažér
| Vlastný zamestnanec | Externý manažér | |
|---|---|---|
| Vhodné pre | veľké firmy s vlastným IT oddelením | stredné firmy a mestá bez bezpečnostného špecialistu |
| Náklady | plat, školenia, zastupovanie | mesačný paušál podľa rozsahu |
| Nezávislosť | treba ju zabezpečiť v organizačnej štruktúre | prirodzená |
| Riziko | odchod človeka = strata know-how | závislosť od dodávateľa, rieši sa zmluvou |
