BEZPIECZEŃSTWO
Cyberbezpieczeństwo bez dekoracji
Dokument może być poprawny. Kontrola musi jeszcze działać.
Organizacja może posiadać polityki, procedury, rejestry ryzyka i certyfikaty, a mimo to pozostawać słabo chroniona. Różnica między dokumentem a bezpieczeństwem zaczyna się tam, gdzie pojawia się pytanie: co dokładnie działa, dla kogo, w jakim zakresie, z jakim wynikiem i jak można to udowodnić?
Polityka bezpieczeństwa została zatwierdzona.
Właściciel kontroli, zakres, termin przeglądu i dowód stosowania są znane.
DLP działa w trybie monitoringu.
Reguły obejmują właściwe kanały, a organizacja potrafi przejść od obserwacji do blokowania.
MFA jest wdrożone.
Wiadomo, jaki jest rzeczywisty zakres pokrycia, wyjątki i sytuacja kont uprzywilejowanych.
SOC zbiera logi.
Logi mają właściciela, retencję, scenariusze detekcji i ścieżkę reakcji na zdarzenie.
Dostawca podpisał umowę.
Ryzyko koncentracji, exit plan, możliwość migracji danych i zasobów oraz test ciągłości są rozpoznane.
Ryzyko jest wpisane do rejestru.
Ma ocenę, właściciela, termin, działanie mitygujące i dowód zamknięcia.
1. Kontrola musi mieć właściciela
Jeżeli za działanie odpowiada „wszyscy”, w praktyce często nie odpowiada nikt. Każda istotna kontrola powinna mieć właściciela, zakres, częstotliwość, kryterium skuteczności, ścieżkę eskalacji i dowód wykonania.
2. Monitoring to nie jeszcze ochrona
Reguła DLP w trybie monitoringu może dostarczyć wiedzy, ale nie zatrzyma wysyłki. Log zebrany w SIEM nie jest jeszcze detekcją, a alert bez właściciela i procedury nie jest reakcją. Warto świadomie określić, które kontrole mają obserwować, które ostrzegać, a które blokować.
3. Ryzyko musi prowadzić do działania
Rejestr ryzyka jest użyteczny wtedy, gdy łączy ocenę z decyzją: co robimy, kto jest właścicielem, do kiedy, jak zmniejszymy ryzyko i jaki dowód zamknięcia przedstawimy. Samo przeniesienie ryzyka do tabeli nie zmienia poziomu zagrożenia.
4. Mierz skuteczność, nie liczbę dokumentów
- pokrycie kontroli i liczba uzasadnionych wyjątków;
- czas wykrycia, potwierdzenia i reakcji na zdarzenie;
- liczba działań po terminie oraz ryzyk bez właściciela;
- wyniki testów odtworzeniowych, ćwiczeń i przeglądów;
- powtarzalność dowodów, a nie jednorazowa deklaracja na potrzeby audytu.
5. Najprostsze pytanie audytowe
„Proszę pokazać, że to działa” powinno prowadzić do konkretnego dowodu: konfiguracji, raportu, biletu, logu, wyniku testu, protokołu decyzji albo zapisu reakcji. Jeżeli dowodu nie ma, trzeba uczciwie określić, czy kontrola nie działa, czy tylko nie została właściwie udokumentowana.
Ramy odniesienia: GRC, DLP, SOC/SIEM, IAM, MFA, PKI, zarządzanie ryzykiem i ciągłość działania. Materiał ma charakter ekspercki i informacyjny.