Organizácia kybernetickej bezpečnosti a informačnej bezpečnosti – § 20 ods. 3 písm. a) ZoKB

Ak sa organizácia rozhodne vziať pod kontrolu bezpečnosť svojich dát a informácií, je na samom začiatku tejto cesty potrebná identifikácia úloh, ktoré môžu potenciálne súvisieť s ochranou informačných aktív. Následne je dôležité zaručiť, aby zodpovednosť za výkon špecifických bezpečnostných procesov bola jednoznačne priradená konkrétnym pracovným roliam. Prirodzene, nedá sa očakávať, že by organizácia bezprostredne presmerovala väčšinu zdrojov na bezpečnosť ako činnosť, ktorá nie je typicky jej hlavným produktom. Preto je akceptovateľné, ak sa vedenie spočiatku prikloní k minimalistickému riešeniu, pričom zodpovednosť, pôsobnosť a právomoci je vždy možné upraviť aj neskôr. Samozrejme, všetko je potrebné ošetriť vhodnými politikami. O tých však budem podrobnejšie písať v inej časti tejto série článkov.

Čo však znamená termín „organizácia informačnej bezpečnosti“? Zriadenie určitých pracovných rolí nie je ultimátnym cieľom informačnej a kybernetickej bezpečnosti a vzhľadom na rôznorodosť činností podnikov by ani nebolo efektívne, aby boli bezpečnostné roly vynucované prostredníctvom legislatívy. Konkrétne roly v bezpečnosti sú vždy závislé od hospodárskeho odvetvia, v ktorom organizácia pôsobí, a aj od miery jej závislosti od kvality spracúvaných informácií.

Zodpovednosť vedenia

Informačná a kybernetická bezpečnosť by sa mala stať štandardnou súčasťou prevádzkových procesov organizácie, aby ochrana informácií nebola len formálne deklarovaná, ale aby bolo možné zabezpečiť jej reálne vykonávanie v každodennej praxi. Začlenenie bezpečnosti do prevádzkových procesov si vyžaduje dobrú spoluprácu zo strany vedenia spoločnosti, manažmentu IT, bezpečnostného manažmentu, personálu zodpovedného za samotnú informačnú bezpečnosť, vlastníkov informačných systémov, vlastníkov prevádzkových procesov, ale aj dodávateľov služieb.

Začať je potrebné u štatutárneho vedenia, ktoré riadi spoločnosť a koná v jej mene. Pokiaľ má organizácia úprimný záujem o ochranu kritických informácií, záväzok štatutárov podporovať informačnú a kybernetickú bezpečnosť je základom pre implementáciu a trvalo udržateľný rozvoj procesu ochrany citlivých informačných aktív. Štatutári sú v zmysle zákona povinní vykonávať svoju funkciu s odbornou starostlivosťou a v ...