Nowe wymagania związane z KSC i NIS2 nie powinny kończyć się na dokumentacji. W tym artykule eksperci wyjaśniają jak podejść do inwentaryzacji zasobów, analizy ryzyka, roli zarządu, dostawców i technologii, aby compliance przełożył się na realne bezpieczeństwo biznesu.

W rozmowie występują:

• Tomasz Gładkowski, Pełnomocnik Zarządu KIGC ds. Cyberbezpieczeństwa oraz COO w 4Prime IT Security;

• Dariusz Czerniawski, ekspert ds. cyberbezpieczeństwa i governance, KIGC, oraz CISO w Nordasys i członek władz ISACA Warsaw Chapter;

• Jakub Betka, ekspert ds cyberbezpieczeństwa i bezpieczeństwa informacji w KIGC, współzałożyciel CyberHabit firmy specjalizującej się w budowaniu cyberodpornych organizacji, oraz prezes zarządu w Ogólnopolskim Stowarzyszeniu ochrony danych osobowych w sektorze medycznym.

TL;DR

Zgodność z KSC i NIS2 nie powinna kończyć się na dokumentach. Realne cyberbezpieczeństwo zaczyna się od inwentaryzacji zasobów, analizy ryzyka i zrozumienia procesów biznesowych. Dopiero na tej podstawie organizacja może dobrać adekwatne środki techniczne, uporządkować odpowiedzialność, zadbać o bezpieczeństwo dostawców i mierzyć skuteczność wdrożonych zabezpieczeń. Kluczowe jest zaangażowanie zarządu, właściwe kompetencje oraz traktowanie bezpieczeństwa jako procesu, a nie jednorazowego projektu compliance.

KSC i NIS2: zgodność czy realna odporność?

"Cyberatak to nie jest abstrakcyjny problem działu IT. To może być zatrzymanie produkcji, brak dostępu do danych, kary umowne, utrata przychodów i inne koszty finansowe dla organizacji."

Tomasz Gładkowski: Wokół NIS2 i KSC narosło bardzo dużo interpretacji i rekomendacji. Z jednej strony to dobrze, bo temat trafił na agendy zarządów. Z drugiej mam wrażenie, że ta wiedza nie zawsze jest spójna, a przede wszystkim nie zawsze wynika z praktyki wdrożeniowej. Firmy często wiedzą już, jakie obowiązki muszą spełnić, ale kompletnie nie wiedzą, jak to zrobić i od czego zacząć. Dlatego chciałbym, żebyśmy potraktowali tę rozmowę praktycznie i opowiedzieli o tym, co robić, jak robić i czego nie robić, żeby KSC i NIS2 faktycznie podniosły cyberodporność organizacji. Bo mogą to zrobić, prawda?

Dariusz Czerniawski: Mogą, ale pod jednym warunkiem: że nie potraktujemy tych przepisów wyłącznie jako ćwiczenia ze zgodności. Jeżeli naszym celem będzie produkcja dokumentów, procedur i podpisów, to niewiele się zmieni. Organizacje będą sfrustrowane kolejnym obowiązkiem, ale ich odporność nie wzrośnie.

NIS2 nie wynajduje koła na nowo. To jest raczej uporządkowanie dobrych praktyk, które w cyberbezpieczeństwie funkcjonują od dawna. Jeżeli organizacja potraktuje te wymagania jako impuls do uruchomienia realnego programu bezpieczeństwa, efekt może być bardzo konkretny: mniej przestojów, mniejsze ryzyko wycieków, krótszy czas reakcji na incydenty i większa gotowość na sytuacje kryzysowe.

Jakub Betka: Zgadzam się. Największe ryzyko polega na tym, że firmy sprowadzą NIS2 do compliance i będą patrzeć na nowe obowiązki głównie przez pryzmat potencjalnych kar, a nie przez pryzmat realnych konsekwencji ataku. Tymczasem cyberatak to nie jest abstrakcyjny problem działu IT – to przede wszystkim problem biznesowy. To może być zatrzymanie produkcji, brak dostępu do danych i/lub ich utrata, kary umowne, utrata przychodów i inne koszty finansowe dla organizacji.

Tomasz Gładkowski: Najważniejsze jest to, że podstawową higienę bezpieczeństwa wdrażamy po to, żeby biznes mógł działać stabilniej. Pozwala ona uniknąć dramatycznych sytuacji, które my jako praktycy obserwujemy przy okazji ataków ransomware czy innych incydentów przydarzających organizacjom. To są często sytuacje naprawdę trudne do opanowania – zwłaszcza jeśli organizacja nie posiada właściwych technologii bezpieczeństwa i procesu obsługi incydentów.

Dariusz Czerniawski: Do tego dochodzi kontekst geopolityczny. Jesteśmy w Europie Środkowej, między Niemcami a Rosją, a za naszą wschodnią granicą trwa wojna kinetyczna. Przyzwyczailiśmy się do tej informacji, ale nie wszyscy uświadamiają sobie, że w Polsce toczy się wojna cybernetyczna.

Jesteśmy państwem przyfrontowym, głębokim zapleczem strategicznym dla Ukrainy. To oznacza, że będziemy testowani. Oczywiście przeciętna organizacja nie ma budżetu porównywalnego z budżetem państwa prowadzącego działania ofensywne w cyberprzestrzeni. Ale obok najbardziej zaawansowanych aktorów jest cała masa przeciwników mniej wyrafinowanych i przed nimi można się skutecznie bronić, jeżeli wdroży się podstawowe praktyki bezpieczeństwa.

Od czego zacząć? Inwentaryzacja i analiza ryzyka

Tomasz Gładkowski: Przedsiębiorca słyszy dziś: KSC, NIS2, analiza ryzyka, audyt, dostawcy, środki techniczne i organizacyjne… To może przytłaczać. Co powinno być pierwszym krokiem w drodze do spełnienia wymagań?

Dariusz Czerniawski: Najpierw trzeba zrozumieć, że bezpieczeństwo nie jest stanem. To nie jest tak, że osiągniemy zgodność z ustawą, zamkniemy projekt i będziemy bezpieczni. Bezpieczeństwo jest procesem. KSC wymaga uruchomienia programu bezpieczeństwa, a nie jednorazowego działania.

Pierwszym krokiem powinna być inwentaryzacja. Jeżeli nie wiemy, co mamy, jakie zasoby chronimy, które procesy są krytyczne i od czego zależy działanie organizacji, to nie jesteśmy w stanie skutecznie zarządzać bezpieczeństwem. Wystarczy jeden niezałatany komputer, żeby wydarzyło się coś poważnego.

Jakub Betka: To jest bardzo ważne, bo na rynku często widzę odwrotną kolejność. Organizacje zaczynają analizę ryzyka, choć jeszcze nie mają dobrze przeprowadzonej inwentaryzacji. Siadają do rejestru ryzyk, ale nie wiedzą dokładnie, co mają chronić. A przecież NIS2 dotyczy ochrony procesów, które służą realizacji usług. Bez zrozumienia procesów, zasobów i zależności analiza ryzyka będzie niepełna.

Dariusz Czerniawski: Czyli najpierw inwentaryzacja, potem analiza ryzyka. Dopiero z niej wynika, czego brakuje: technologii, ludzi, procesów, kompetencji. Audyt też jest ważny, ale nie powinien być pierwszym momentem, w którym organizacja zaczyna się zastanawiać nad bezpieczeństwem. Lepiej najpierw wykonać pracę wewnętrzną, a audyt potraktować jako mechanizm, który sprawdzi, czy idziemy w dobrą stronę.

“Audyt też jest ważny, ale nie powinien być pierwszym momentem, w którym organizacja zaczyna się zastanawiać nad bezpieczeństwem. Lepiej najpierw wykonać pracę wewnętrzną, a audyt potraktować jako mechanizm, który sprawdzi, czy idziemy w dobrą stronę.”

Tomasz Gładkowski: Z mojej perspektywy często występuje jeszcze jeden błąd: organizacja w pierwszym odruchu chce kupić narzędzie, bo „coś trzeba zrobić”. A przecież technologia powinna być adekwatna do potrzeb i skali organizacji – inwestycje w infrastrukturę powinny być efektem wcześniejszej analizy ryzyka. Inaczej można wydać bardzo duże pieniądze na rozwiązanie, które nie adresuje rzeczywistych problemów.

Jakub Betka: Tak, i wtedy cyberbezpieczeństwo zaczyna być postrzegane jako koszt, a nie inwestycja. Tymczasem dobrze przeprowadzona analiza ryzyka pozwala wydać pieniądze rozsądniej. Nie chodzi o to, żeby kupić wszystkie narzędzia dostępne na rynku. Chodzi o to, żeby obniżyć najważniejsze ryzyka do poziomu akceptowalnego dla biznesu.

Jeżeli spojrzymy na konsekwencje ataku szerzej niż tylko przez pryzmat kar administracyjnych, rachunek wygląda inaczej. Weźmy firmę produkcyjną. Zatrzymanie produkcji oznacza nie tylko brak przychodów. Nadal trzeba wypłacać wynagrodzenia, utrzymać zobowiązania, liczyć się z karami umownymi wobec kontrahentów za niedotrzymanie terminów. Jak się weźmie te wszystkie czynniki pod uwagę, inwestycja w bezpieczeństwo zaczyna wyglądać zupełnie inaczej.

Dariusz Czerniawski: Zgadzam się, sam zakup technologii nie załatwi sprawy. Widzieliśmy już w praktyce bardzo drogie systemy, które nie były używane. Formalnie organizacja mogła powiedzieć: mamy system, kupiliśmy, jest wdrożony. Ale gdy pytaliśmy, czy ktoś się do niego loguje i analizuje alerty, okazywało się, że tu zaczyna się problem. Bezpieczeństwo wymaga technologii, owszem, ale też ludzi i procesów.

Od napisania polityk do realnego wdrożenia. Jakie wyzwania możemy napotkać po drodze?

Tomasz Gładkowski: Zatrzymajmy się może jeszcze chwilę przy tym wątku. Powiedzieliśmy już, że pierwszym krokiem w budowie systemu cyberodporności firmy powinna być inwentaryzacja. Ale co dalej? W moim doświadczeniu często spotykam się z pytaniem: czy pisać polityki samemu, czy zlecić to komuś z zewnątrz?

Jakub Betka: Oczywiście, na rynku istnieje wiele firm oferujących usługi w tym zakresie. Zewnętrzny ekspert może pomóc uporządkować proces, wskazać braki, przełożyć ryzyko techniczne na język biznesowy. Ale nie napisze sensownej polityki w oderwaniu od tego, jak firma naprawdę działa. Dokumentacja musi odzwierciedlać procesy, odpowiedzialności i ryzyka konkretnej organizacji – dlatego pełne zaangażowanie organizacji jest wymagane do tego aby polityki były adekwatne do jej potrzeb. Ma pomagać ludziom utrzymywać bezpieczeństwo, a nie tylko istnieć na potrzeby kontroli.

Tomasz Gładkowski: Czyli nie wierzymy w dokumentację NIS2 „w tydzień”?

Jakub Betka: Byłbym bardzo ostrożny. Najpierw trzeba ustalić na jakim etapie dojrzałości jest organizacja, jakie procesy realizuje, jakie ma ryzyka, jaki ma dostawców, zależności i zabezpieczenia. Dopiero wtedy można to sensownie opisać – niemniej nawet w dojrzałych organizacjach tydzień to zdecydowanie za mało nawet na niewielkie korekty w politykach.

Dariusz Czerniawski: A nawet dobrze napisana dokumentacja to dopiero połowa drogi. Trzeba ją wdrożyć, przeszkolić ludzi i pilnować, żeby tych zasad przestrzegali. Bezpieczeństwo to element kultury organizacyjnej, a nie tylko zestaw procedur. Są firmy, które naprawdę dbają o bezpieczeństwo, bo tak działa ich kultura. I są takie, które uważają, że skoro zatrudniły człowieka od bezpieczeństwa, to temat jest załatwiony.

Tomasz Gładkowski: Tu ogromną rolę ma zarząd. Z mojego doświadczenia wynika, że bez formalnego i praktycznego zaangażowania zarządu bardzo trudno jest przeprowadzić dobre wdrożenie. Spotkania są odwoływane, pojawiają się niewłaściwe osoby, brakuje decyzji, a konsultanci nie mogą uzyskać wiedzy potrzebnej do opisania procesów.

Jakub Betka: Dokładnie. Jeżeli zarząd nie będzie aktywnie wspierał projektu to osoby niżej w strukturze tym bardziej nie będą się angażowały. Natomiast jeżeli zarząd uczestniczy w kluczowych decyzjach, komunikuje wagę projektu i sam rozumie ryzyko biznesowe, to pracownicy widzą, że temat jest istotny. Wtedy rośnie szansa, że system nie tylko zostanie wdrożony, ale będzie później utrzymywany.

Dariusz Czerniawski: To się nazywa przywództwo. W standardach bezpieczeństwa również patrzy się na to, czy zarząd jest realnie zaangażowany, czy tylko wyznaczył pełnomocnika i uznał sprawę za zamkniętą.

Tomasz Gładkowski: A ile według Was realnie trwa takie uczciwe wdrożenie? Nie samo napisanie dokumentów, ale uruchomienie systemu zarządzania bezpieczeństwem informacji.

Dariusz Czerniawski: Realnie około roku. Oczywiście zależy to od skali organizacji i poziomu zaangażowania, ale trzeba pamiętać, że nie chodzi o samo napisanie polityk. Trzeba je wdrożyć, sprawdzić, czy działają, ustalić mierniki i zacząć je monitorować. Jeżeli zakładamy, że chcemy objąć 100% zdalnego dostępu MFA, musimy potem sprawdzić, czy faktycznie to osiągnęliśmy.

Jakub Betka: Z mojej praktyki również wynika, że około roku to realistyczna perspektywa. Oczywiście można coś zrobić szybciej, ale pytanie, czy będzie to rzeczywiste wdrożenie, czy tylko dokumentacja.

Tomasz Gładkowski: I tu dochodzimy do ważnego problemu: dokumentacja musi istnieć, ale dokumenty nie chronią organizacji. Ponadto można mieć polityki, które nie obejmują realnych scenariuszy ryzyka. Jeżeli analiza ryzyka nie przewiduje utraty nośnika z danymi albo zbyt słabych haseł, to sama polityka daje złudne poczucie bezpieczeństwa.

Dariusz Czerniawski: Tak, fałszywe poczucie bezpieczeństwa bywa gorsze niż świadomość, że mamy problem. Jeśli wiemy, że jesteśmy narażeni, możemy coś z tym zrobić. Jeśli wierzymy, że jesteśmy bezpieczni, bo mamy dokumenty, możemy przegapić realne zagrożenia.

Jakub Betka: To dlatego analiza ryzyka musi być osadzona w rzeczywistości organizacji. Możemy mieć standard, certyfikat albo komplet procedur, ale jeśli dokumentacja nie odwzorowuje realnych procesów i zagrożeń, nie będzie skuteczna. W najlepszym razie pomoże podczas formalnego przeglądu. W najgorszym może nawet utrudnić reakcję na prawdziwy incydent.

“Fałszywe poczucie bezpieczeństwa bywa gorsze niż świadomość, że mamy problem. Jeśli wiemy, że jesteśmy narażeni, możemy coś z tym zrobić. Jeśli wierzymy, że jesteśmy bezpieczni, bo mamy dokumenty, możemy przegapić realne zagrożenia.”

Kompetencje, odpowiedzialność i rola Virtual CISO

Tomasz Gładkowski: Stworzenie i przestrzeganie polityk bezpieczeństwa nie jest zatem takie proste – i z tym wiąże się kolejny problem, a mianowicie kompetencje. Kto w organizacji powinien się tym zajmować? Bardzo często obserwujemy, że zarząd mówi: wchodzi NIS2, więc zrzucamy temat na IT. Tylko czy IT i bezpieczeństwo to rzeczywiście te same funkcje?

Dariusz Czerniawski: Nie do końca. Szef informatyki ma inne priorytety niż szef bezpieczeństwa. Security będzie naciskać na łatanie systemów, aktualizacje i przerwy serwisowe, a IT odpowiada za ciągłość działania, której biznes nie lubi przerywać. Gdy pojawia się podatność zero-day, rolą działu bezpieczeństwa jest zatrzymanie procesów i aktualizacja dziurawego systemu a to z reguły oznacza przerwę w produkcji co z reguły jest nieakceptowalne dla biznesu. Na tej linii występują naturalne napięcia w każdej organizacji. Warto jednak zaznaczyć, że są to zdrowe napięcia w wyniku, których organizacja ma szansę utrzymywać wysoki poziom cyberodporności… znacznie gorzej gdy łatanie podatności z uwagi na biznes odsuwane jest w nieskończoność – dlatego ról IT i security nie należy łączyć (mówi o tym również wyraźnie norma ISO27001)

“Szef informatyki ma inne priorytety niż szef bezpieczeństwa. Security będzie naciskać na łatanie systemów, aktualizacje i przerwy serwisowe, a IT odpowiada za ciągłość działania, której biznes nie lubi przerywać.”

Dariusz Czerniawski: Drugim częstym błędem są nieoczywiste awanse. Biznes wybiera najlepszego inżyniera i mówi: od dziś będziesz odpowiedzialny za bezpieczeństwo. Taka osoba może świetnie rozumieć technologię, ale niekoniecznie musi rozumieć ryzyko biznesowe, któremu organizacja chce przeciwdziałać.

Tomasz Gładkowski: Skoro więc nie wystarczy po prostu zlecić tematu do IT, a jednocześnie trudno oczekiwać, że w mniejszych organizacjach powstaną dedykowane zespoły bezpieczeństwa IT, odpowiedzialne za wprowadzanie tych standardów i procedur, to może odpowiedzią na ten problem może być Virtual CISO?

Dariusz Czerniawski: Dla wielu firm tak, trzeba tylko dobrze rozumieć tę rolę. Konsultant przychodzi, wykonuje audyt albo przegląd, zostawia raport i odchodzi. Virtual CISO powinien natomiast być stale obecny w organizacji. Powinien znać jej kontekst, rozumieć procesy i tłumaczyć język technologii na język ryzyka biznesowego.

Dobrze zaprojektowana usługa Virtual CISO nie powinna też opierać się na jednej osobie. Dojrzałe modele zakładają zastępowalność, na przykład leading CISO i assisting CISO. Ważne jest również dopasowanie rodzaju wsparcia do organizacji. Firma bez automatyki przemysłowej nie potrzebuje takich samych kompetencji jak organizacja z obszarem OT, a więc tutaj kluczowe będzie dopasowanie osoby o umiejętnościach w konkretnej dziedzinie do profilu działalności firmy.

Tomasz Gładkowski: Z punktu widzenia biznesu to rzeczywiście może być bardziej racjonalne niż zatrudnianie eksperta na pełny etat. Doświadczony CISO to duży koszt. W mniejszej organizacji może uporządkować procesy w kilka miesięcy, ale później trudno utrzymać dla niego pełne, ambitne obciążenie. Model zewnętrzny pozwala korzystać z doświadczenia ludzi, którzy widzieli wiele środowisk i potrafią szybciej wyłapać typowe błędy.

Jakub Betka: Tak, ale tu znów trzeba powiedzieć, że nie można traktować Virtual CISO jako osoby, która „załatwi temat” bez udziału organizacji. On może prowadzić, doradzać, porządkować, tłumaczyć ryzyko i wspierać wdrożenie. Ale bezpieczeństwo musi być zakorzenione w organizacji. Inaczej po zakończeniu projektu wszystko wróci do poprzedniego stanu.

Łańcuch dostaw i spójność dokumentacji

Tomasz Gładkowski: Skoro mówimy o inwentaryzacji, dokumentacji i odpowiedzialności za bezpieczeństwo, nie możemy pominąć łańcucha dostaw. To jeden z obszarów, który w NIS2 szczególnie mocno wybrzmiewa. Organizacje często skupiają się na własnych systemach, a zapominają o dostawcach.

Jakub Betka: Bezpieczeństwo łańcucha dostaw to rzeczywiście jeden z najważniejszych tematów. Firmy bardzo często ograniczają się do własnej infrastruktury i własnych zabezpieczeń. Tymczasem NIS2 wymaga spojrzenia szerzej: na kontrahentów i dostawców ICT, którzy wspierają działanie organizacji.

Problem polega na tym, że nadzór nad dostawcami często kończy się na ogólnym zapisie w umowie albo ankiecie wysłanej na początku współpracy. Później temat znika. A przecież bezpieczeństwo dostawcy może mieć bezpośredni wpływ na ciągłość działania naszej organizacji.

Tomasz Gładkowski: To jest też ogromne wyzwanie praktyczne. Dostawców mogą być setki. Część z nich to globalne firmy, na które organizacja nie ma realnego wpływu. Ale to nie zwalnia z obowiązku inwentaryzacji i klasyfikacji. Trzeba wiedzieć, którzy dostawcy są krytyczni, jakie usługi wspierają, jakie dane przetwarzają i jaki wpływ miałby ich problem na nasz biznes.

Dariusz Czerniawski: Zasada jest podobna jak przy zasobach. Trzeba mieć politykę zarządzania zasobami i dostawcami, podział na ważne, mniej ważne i krytyczne elementy. Nie wszystko ma taki sam poziom ryzyka. Ale żeby to ocenić, najpierw trzeba mieć pełny obraz.

“Bezpieczeństwo łańcucha dostaw to jeden z najważniejszych tematów. Firmy bardzo często ograniczają się do własnej infrastruktury i własnych zabezpieczeń. Tymczasem NIS2 wymaga spojrzenia szerzej: na kontrahentów i dostawców ICT, którzy wspierają działanie organizacji.”

Jakub Betka: Część nadzoru da się zautomatyzować, ale dla wielu organizacji to będzie nowe zadanie. Wcześniej nie było ono uwzględniane w budżetach ani w codziennej pracy działów prawnych, IT czy bezpieczeństwa. Widać tu pewne podobieństwo do RODO i umów powierzenia. Teoretycznie nadzór nad podmiotami przetwarzającymi powinien być stały, w praktyce często kończył się na dokumentach podpisanych przy rozpoczęciu współpracy. Przy NIS2 ten temat będzie wracał jeszcze mocniej.

Tomasz Gładkowski: Skoro jesteśmy przy RODO: często słyszę pytanie, czy dokumentacja NIS2 i RODO powinny być osobna. Moim zdaniem nie ma sensu mnożyć bytów. Część dokumentów będzie stricte związana z ochroną danych osobowych, ale duża część analizy ryzyka, polityk bezpieczeństwa i procedur technicznych może być wspólna.

Dariusz Czerniawski: Zgadzam się, lepiej nie przyklejać się do jednego aktu prawnego, tylko zrozumieć, jakich kontroli wymaga, a następnie przełożyć je na system zarządzania bezpieczeństwem.

Tomasz Gładkowski: Chodzi też o spójność dokumentacji. Jeżeli organizacja tworzy osobne światy dokumentów dla RODO, NIS2 i innych wymagań, pracownikom coraz trudniej się w tym poruszać. A dokumentacja ma działać w praktyce. Ma być użyteczna.

Adekwatne środki bezpieczeństwa: technologia musi wynikać z ryzyka

Tomasz Gładkowski: Skoro organizacja wie już, jakie ma zasoby, ryzyka i procesy, a także jak uporządkować dokumentację, pojawia się kolejne pytanie: jakie środki bezpieczeństwa są rzeczywiście adekwatne? To słowo często pojawia się w kontekście NIS2 i KSC, ale bywa rozumiane bardzo różnie. Adekwatne, to znaczy jakie?

Dariusz Czerniawski: Adekwatne do ryzyka. To jest sedno. Analiza ryzyka powinna pokazać, jakie środki są potrzebne, jakie są proporcjonalne, a jakie byłyby przerostem formy nad treścią. W cyberbezpieczeństwie często liczymy koszt wdrożenia, ale trudniej policzyć zwrot z inwestycji, bo on polega zwykle na stratach, których udało się uniknąć. Jeżeli dzięki zabezpieczeniom unikamy przestoju, wycieku danych albo kary umownej, to tam właśnie jest wartość.

Tomasz Gładkowski: I tu jako integrator systemów bezpieczeństwa widzę duży problem na rynku. Mamy organizacje, które kupują SIEM, czyli system do korelacji zdarzeń, choć nie mają jeszcze EDR-a na stacjach końcowych i serwerach. SIEM jest bardzo dobrym narzędziem, ale pod warunkiem, że organizacja wie, po co go wdraża, ma źródła danych, reguły korelacyjne, proces obsługi alertów i ludzi, którzy będą z tym pracować.

Natomiast pamiętajmy, że SIEM nie zatrzyma ataku a pokaże tylko te zdarzenia, które wcześniej opisaliśmy w formie reguł korelacyjnych. Patrząc na sposób działania systemów SIEM i ich ułomności logiczne jest, że dzisiaj szczególną role odgrywają EDRy i NDRy, które oferują efektywną i kompleksową detekcję bez konieczności definiowania i utrzymywania setek reguł korelacyjnych. EDRy są najbliżej ludzi i danych, które chronimy. A za incydentem bardzo często stoi człowiek - i to nasz człowiek, który kliknął, otworzył załącznik, uruchomił plik albo zwyczajnie popełnił jakiś błąd.

“W cyberbezpieczeństwie często liczymy koszt wdrożenia, ale trudniej policzyć zwrot z inwestycji, bo on polega zwykle na stratach, których udało się uniknąć. Jeżeli dzięki zabezpieczeniom unikamy przestoju, wycieku danych albo kary umownej, to tam właśnie jest wartość.”

Dariusz Czerniawski: Tak jest, alert bez reakcji niewiele daje. Można mieć informację o problemie, ale jeśli nikt nie wie, co dalej, to nie mamy bezpieczeństwa, tylko kolejne źródło hałasu.

“Alert bez reakcji niewiele daje. Można mieć informację o problemie, ale jeśli nikt nie wie, co dalej, to nie mamy bezpieczeństwa, tylko kolejne źródło hałasu.”

Jak mierzyć skuteczność wdrożonych zabezpieczeń?

Tomasz Gładkowski: Jak w takim razie mierzyć, czy to wszystko działa prawidłowo? Bo jeśli bezpieczeństwo jest procesem, musimy mieć sposób oceny postępów.

Dariusz Czerniawski: Najlepiej mierzyć przez cele. Każdy środek bezpieczeństwa wdrażamy po coś. Jeżeli celem jest 100% pokrycia MFA dla zdalnego dostępu, mierzymy, czy je osiągnęliśmy. Jeżeli celem jest reakcja na alert w określonym czasie, mierzymy czas od zgłoszenia do pierwszych działań. Trzeba odpowiedzieć na pytanie: po czym poznamy, że dana kontrola działa?

Tomasz Gładkowski: Można też wykorzystywać narzędzia klasy Attack Surface Management, które z zewnątrz pokazują, jakie usługi organizacja wystawia do Internetu, gdzie brakuje MFA albo 2FA, gdzie są podatności. Porównując wyniki w czasie, widzimy, czy poziom bezpieczeństwa rośnie, czy stoimy w miejscu.

Jakub Betka: Ważne po prostu, żeby mierniki nie były sztuczne. One mają pokazywać, czy organizacja realnie obniża ryzyko, a nie tylko czy wypełnia tabelki.. Jeżeli mierzymy liczbę przeprowadzonych szkoleń, warto też sprawdzić, czy zmieniło się zachowanie użytkowników. Jeżeli mierzymy czas reakcji na incydent, musimy wiedzieć, czy procedura zadziałała w praktyce.

Czy KSC może realnie poprawić cyberbezpieczeństwo w Polsce?

Tomasz Gładkowski: To prowadzi nas do kluczowego pytania: czy KSC rzeczywiście może być „game changerem” dla polskiego cyberbezpieczeństwa?

Jakub Betka: Może nim być, jeśli organizacje podejdą do tematu przez pryzmat bezpieczeństwa, a nie samej zgodności. Chodzi o to, żeby sektory objęte dyrektywą faktycznie zapewniły bezpieczeństwo cybernetyczne i sieciowe. Atak na jeden sektor nie powinien powodować zatrzymań ani konsekwencji dla innych sektorów. W mojej opinii NIS2 może znacząco podnieść cyberbezpieczeństwo całego kraju, jeżeli wszystkie ujęte sektory podejdą do tego w odpowiedni sposób.

Dariusz Czerniawski: Jeżeli celem będzie zgodność, skończymy na dokumentach. Jeżeli celem będzie zabezpieczenie biznesu, a przez to wzmocnienie odporności całego państwa, KSC i NIS2 mają sens.

Tomasz Gładkowski: Ja też uważam, że KSC jest zdroworozsądkową normą. Każda organizacja może wdrożyć ją w zakresie, który realnie podniesie jej cyberodporność i bezpieczeństwo biznesu. Pamiętajmy też, że nie warto czekać na ostatni moment. Tego nie da się zrobić szybko ani wyłącznie dokumentami. Bezpieczeństwo to proces wymagający zaangażowania zarządu, kompetencji, nakładów i konsekwencji. Jeśli podejdziemy do niego uczciwie, przestanie być tylko kosztem i zacznie realnie wzmacniać nasz biznes.

Jeśli chcesz sprawdzić, czy Twoja firma jest gotowa na NIS2, pobierz naszą checklistę.

Artykuł powstał na podstawie transkrypcji webinaru Czy KSC realnie wpłynie na poprawę cyberbezpieczeństwa w Polsce? Dyskusja ekspertów.