Igas ettevõttes on keegi, kes vastutab IT eest. Ta parandab arvuteid, hoolitseb serverite eest, vastab töötajate küsimustele ja tunneb tavaliselt oma tööd hästi. Kuid kui klient saadab saja küsimusega turvaankeedi, kui juhatus küsib „kas me oleme turvalised?“, kui keegi peab otsustama, kas NIS2 kehtib meie kohta, selgub, et seda inimest pole olemas. IT-tugi ja turvajuhtimine on erinevad tööd ning üks inimene jõuab harva teha mõlemat.
Suured ettevõtted lahendavad selle, palgates infoturbejuhi (CISO). Keskmise suurusega ettevõttele on see harva realistlik: sellised spetsialistid on turul napid, nende palk on võrreldav tippjuhtide omaga ja täiskohaga ametikoha jaoks pole sageli piisavalt tööd.
Selles artiklis selgitame, mida turvajuht tegelikult teeb, miks teenus on keskmise suurusega ettevõttele mõistlikum kui palkamine, mida teenus sisaldab ja kuidas see sobitub teie olemasoleva IT-ga.
Mida turvajuht tegelikult teeb
Turvajuht ei ole parem IT-administraator. Ta ei installi viirusetõrjet ega seadista tulemüüre. Tema ülesanne on tagada, et ettevõte teab oma riske, teeb nende kohta otsuseid ja suudab seda tõendada.
Praktikas tähendab see nelja funktsiooni. Esiteks riskid: mõista, mis on ettevõttele kõige olulisem, mis seda ohustab ja kui palju riski juhtkond on valmis vastu võtma. Teiseks reeglid: koostada turvapoliitikad ja protseduurid, mida tegelikult järgitakse, ning hoolitseda, et need ei vananeks. Kolmandaks kontroll: kontrollida, et IT teeb seda, mida lubas, ja et see toimib. Neljandaks aruandlus: selgitada juhtkonnale, klientidele ja audiitoritele, kuidas lood on, ilma tehnilise žargoonita.
IT-administraator vastab küsimusele „kuidas me seda teeme“. Turvajuht vastab küsimusele „mida tuleb teha ja miks“. Need on erinevad vaatenurgad ning on tervislik, kui neid esindavad eri inimesed, sest turvajuht kontrollib muu hulgas IT tööd.
Miks täiskohaga töötaja on 50–300 töötajaga ettevõttele liiga kallis
Selle suurusega ettevõttes on turvajuhi töö maht paar päeva kuus. Poliitikad tuleb kirjutada üks kord ja üle vaadata igal aastal. Riskiregistrit uuendatakse kord kvartalis. Auditit koordineeritakse kord aastas. Kliendiankeete täidetakse paar korda aastas. Juhatusele antakse aruanne kord kvartalis.
Täiskohaga ametikoht sellise töömahu jaoks tähendab, et kallis spetsialist kulutab suurema osa ajast tööle, mis pole tema oma, või hakkab igavlema ja lahkub. Meie kogemuses on sage stsenaarium selline: ettevõte palkab turvaspetsialisti ja aasta pärast saab temast IT-juht, sest seda tööd on rohkem, ning turvajuhtimine jääb taas ilma omanikuta.
Teine probleem on kogemus. Üks inimene näeb karjääri jooksul käputäit ettevõtteid. Teenusemeeskond töötab korraga paljude klientidega eri valdkondades, seega tunneb probleeme kiiremini ära ja teab, mida audiitorid küsivad, sest puutub nendega pidevalt kokku.
Kolmas on järjepidevus. Palgaline spetsialist läheb puhkusele, jääb haigeks või vahetab töökohta ning kogu teadmine läheb temaga kaasa. Teenust osutab meeskond, seega on teadmised dokumenteeritud ja jäävad ettevõttesse.
Mida CISO teenusena sisaldab
CISO teenusena (nimetatakse ka vCISO, virtuaalne CISO) on turvajuhi funktsioon, mida täidab väline meeskond kokkulepitud mahus. Meie puhul hõlmab see järgmisi töid.
Poliitikad ja protseduurid
Koostatakse ja hooldatakse ettevõtte suuruse ja nõuetega kohandatud turvapoliitikate komplekt: infoturve, ligipääsu kontroll, varundamine, intsidendid, tarnijad, lubatud kasutus. Poliitikad kirjutatakse lühidalt ja nii, et neid päriselt järgitakse, mitte lihtsalt audiitori muljetamiseks.
Riskiregister
Tehakse esialgne riskihindamine ja peetakse riskiregistrit: iga risk koos omaniku, meetmete ja tähtaegadega. Registrit vaadatakse koos juhtkonnaga üle iga kvartal, et riskide kohta tehtaks otsuseid teadlikult, mitte vaikimisi.
Intsidendiplaan
Koostatakse intsidendihalduse protseduur selgete rollide, kontaktide, teavitusmallide ja tähtaegadega, sealhulgas NIS2 või DORA alusel ametiasutustele esitatavate teavituste jaoks. Plaani testitakse vähemalt kord aastas õppusel, et päris intsidendi ajal ei loe keegi dokumenti esimest korda.
Aruandlus juhatusele
Iga kvartal saab juhtkond lühiaruande: milline on turvaseis, mis on muutunud, millised riskid on suurimad ja milliseid otsuseid on vaja. Turvajuht osaleb koosolekul ja vastab küsimustele. See täidab ka NIS2 nõude juhtkonna kaasatuse kohta.
Auditite ja ankeetide koordineerimine
Turvajuht koordineerib väliseid auditeid, kliendi turvaankeete ning sertifitseerimiseks või reguleerija kontrolliks valmistumist. Ta teab, kus kõik dokumendid asuvad, ja vastab audiitorile ettevõtte nimel, selle asemel et küsimused IT-administraatorile edasi anda.
Tarnijate järelevalve
Peetakse nimekirja IT- ja pilvetarnijatest, hinnatakse nende riske ning vaadatakse lepingud üle, et need sisaldaksid turvalisuse, intsidentidest teavitamise ja auditiõiguste tingimusi.
Kuidas kasu mõõta
Turvalisuse kasu on raske mõõta, sest edu tähendab, et midagi ei juhtunud. Siiski on konkreetseid näitajaid, mida soovitame jälgida alates esimesest kvartalist.
- Riskiregistri seis: mitu kõrget riski on avatud, mitu suleti kvartali jooksul, kas mõni risk on ilma omanikuta.
- Auditi leidude sulgemine: mitu kriitilist ja kõrge tasemega leidu parandati kehtestatud tähtaja jooksul.
- Kliendiankeedi täitmise aeg: mitu päeva kulub tarnijahindamise ankeedile vastamiseks. Meie kogemuses väheneb see nädalatelt päevadele, sest vastused on juba ette valmistatud.
- Intsidendinäitajad: mitu intsidenti registreeriti, kui kiiresti need tuvastati, kas teavitustähtaegadest peeti kinni.
- Taastetestid: mitu tehti ja kas kehtestatud taasteaeg saavutati.
- Koolitus: milline osa töötajatest läbis koolituse ja kuidas muutub reageerimine simuleeritud õngitsuskirjadele.
Need näitajad moodustavad juhatusele esitatava kvartaliaruande. Aasta pärast saab selgelt öelda, mis on muutunud.
Kuidas teenus teie olemasoleva IT-ga koos töötab
Juhtide kõige sagedasem küsimus: kas turvajuht satub vastuollu meie IT-töötaja või IT-teenusepakkujaga? Vastus on ei, kui rollid on selgelt eraldatud.
Turvajuht otsustab, mida tuleb teha, ja kontrollib, kas see tehti. IT-administraator või teenusepakkuja teeb selle ära. Kui IT eest hoolitseb väline ettevõte, saab turvajuhist kliendipoolne esindaja, kes sõnastab teenusepakkujale turvanõuded ja kontrollib nende täitmist. Paljud IT-teenusepakkujad peavad seda mugavaks: nad saavad selged ülesanded ebamäärase „tehke see turvaliseks“ asemel.
Kui IT-tuge pakub MDP CLOUD, hoiame turvajuhi funktsiooni teadlikult tugimeeskonnast eraldi, et kontroll ei oleks pelgalt formaalsus. Kui IT eest hoolitseb teine ettevõte, töötame temaga partneritena: ühised koosolekud, ühine tegevusplaan ja selge vastutuse jaotus.
Kust alustada
- Vastake küsimusele, kes ettevõttes vastutab täna turvaotsuste, mitte nende elluviimise eest. Kui vastus on „kõik natuke“ või „IT“, on turvajuhi roll täitmata.
- Tehke nimekiri välistest nõuetest: kliendiankeedid, NIS2 või DORA, planeeritud hanked, sertifikaadid. Need määravad teenuse mahu.
- Alustage riskihindamisest või IT-turvaauditist: need annavad lähtepunkti, mille vastu edusamme mõõta.
- Leppige olemasoleva IT-ga kokku rollid: kes otsustab, kes teeb, kes kontrollib.
- Valige teenuse maht: mõnest päevast kuus pideva kaasatuseni. Lähemalt saate lugeda, kuidas see praktikas välja näeb, CISO teenusena lehelt.
Meie turvajuhtidel on kehtivad ISACA sertifikaadid (CISM, CISA, CRISC, CGEIT) ja nad töötavad kooskõlas ISO 27001 nõuetega. Esimeses vestluses ütleme ausalt, kas vajate pidevat teenust või piisab paarist ühekordsest projektist.
