Čo zákon od vedenia chce
- preukázateľný záväzok štatutárneho orgánu dodržiavať povinnosti v kybernetickej bezpečnosti,
- schvaľovanie bezpečnostných opatrení a dohľad nad ich zavedením,
- rozhodnutie, ktoré riziká firma prijíma,
- účinný mechanizmus, ako sa vedenie včas dozvie o bezpečnostných problémoch,
- oznámenie zmeny štatutárneho orgánu Národnému bezpečnostnému úradu,
- vzdelávanie v kybernetickej bezpečnosti aj pre vedenie.
Ako to zvládnuť prakticky
Vedenie nepotrebuje rozumieť firewallom. Potrebuje každý štvrťrok jednu stranu s odpoveďami na štyri otázky:
- Kde sme oproti zákonu? (čo máme, čo chýba)
- Aké sú najväčšie riziká a čo s nimi robíme?
- Stalo sa niečo? (incidenty, takmer incidenty)
- Čo potrebujeme schváliť? (rozpočet, ľudia, termíny)
Presne takéto zhrnutie na jednu stranu je súčasťou našej GAP analýzy.
Ako vedenie preukáže, že konalo
- Podpísaná bezpečnostná politika a záväzok vedenia
- Zápisnice zo stretnutí, kde vedenie schvaľovalo opatrenia a riziká
- Pravidelné správy od manažéra kybernetickej bezpečnosti
- Záznam o školení vedenia
- Rozpočet a plán s termínmi
