Zarządzanie cyberbezpieczeństwem. Certyfikat ISO 27001

1. Zarząd chce wdrożyć system zarządzania bezpieczeństwem informacji „tylko dla certyfikatu”. Jak do tego podchodzisz?

Pokazuję, że certyfikat jest efektem, a celem jest realna ochrona informacji, i proszę kierownictwo o wyznaczenie celów oraz zasobów. Przygotowuję dokumentację, która spełni oczekiwania audytora. Kupuję gotowy komplet procedur i wdrażam go bez zmian.

2. Od czego zaczynasz szacowanie ryzyka w systemie zarządzania bezpieczeństwem informacji?

Od inwentaryzacji aktywów informacyjnych, wskazania ich właścicieli i oceny zagrożeń oraz podatności. Od listy najczęstszych cyberataków. Od zakupu nowego oprogramowania zabezpieczającego.

3. Pracownik zgłasza, że kliknął w podejrzany link w wiadomości e-mail. Co robisz?

Dziękuję za szybkie zgłoszenie, uruchamiam procedurę obsługi incydentu, a wnioski wykorzystuję w szkoleniach. Zlecam przeskanowanie komputera i zamykam sprawę. Udzielam pracownikowi nagany i nie analizuję sprawy dalej.

4. Przygotowujesz audyt wewnętrzny systemu. Jak go prowadzisz?

Planuję go na podstawie ryzyk, zbieram dowody, rozmawiam z pracownikami i formułuję niezgodności wraz z rekomendacjami. Sprawdzam, czy istnieją wszystkie wymagane dokumenty. Pomijam go, bo i tak przyjdzie audytor zewnętrzny.

5. Dział sprzedaży uważa nowe zasady dotyczące haseł i dostępu za utrudnienie. Jak reagujesz?

Wyjaśniam, przed czym chronią, proponuję wygodne rozwiązania, np. menedżer haseł czy logowanie wieloskładnikowe, i zbieram opinie użytkowników. Wprowadzam zasady odgórnie, bez dyskusji. Robię wyjątek dla działu sprzedaży.

6. Firma powierza dane zewnętrznemu dostawcy usług w chmurze. Jak dbasz o bezpieczeństwo?

Oceniam ryzyko związane z dostawcą, zapisuję wymagania bezpieczeństwa w umowie i monitoruję ich realizację. Sprawdzam, czy dostawca ma certyfikaty. Uznaję, że za bezpieczeństwo odpowiada dostawca.

7. Czy łatwo Ci łączyć perspektywę techniczną z zarządczą — rozmawiać zarówno z administratorami systemów, jak i z zarządem?

Tak — potrafię przełożyć zagadnienia techniczne na język ryzyka biznesowego. Raczej tak, choć lepiej czuję się w jednym z tych światów. Nie, wolę pracę wyłącznie techniczną albo wyłącznie biznesową.

8. Kilka miesięcy po certyfikacji część procedur przestaje być stosowana. Co robisz?

Monitoruję skuteczność zabezpieczeń, wykorzystuję przeglądy zarządzania i działania korygujące, by system stale się doskonalił. Przypominam o procedurach tuż przed audytem nadzoru. Uznaję, że skoro certyfikat jest, sprawa jest zamknięta.

9. Jak budujesz świadomość bezpieczeństwa wśród pracowników?

Prowadzę krótkie, regularne szkolenia na realnych przykładach, organizuję testy phishingowe i doceniam dobre praktyki. Od czasu do czasu rozsyłam instrukcję bezpieczeństwa. Uważam, że wystarczą zabezpieczenia techniczne.

10. Co najbardziej motywuje Cię do podjęcia studiów podyplomowych „Zarządzanie cyberbezpieczeństwem. Certyfikat ISO 27001”?

Chęć budowania w organizacji skutecznego systemu ochrony informacji i przeprowadzenia go przez proces certyfikacji. Potrzeba uporządkowania wiedzy o normie, z którą spotykam się w obecnej pracy. Nie jestem pewien/pewna, czy to dla mnie

⇑Zarządzanie cyberbezpieczeństwem. Certyfikat ISO 27001 na Uniwersytecie WSB Merito Gdańsk

⇑Test: sprawdź czy Zarządzanie cyberbezpieczeństwem. Certyfikat ISO 27001 to studia dla Ciebie

⇑Definicje i cytaty

Przejdź do:

Kontakt: