Jak prioritizovat kybernetická opatřeníKdyž rozpočet ani kapacita nejsou neomezené

Proč pořadí opatření rozhoduje víc než jejich seznam

Většina organizací po prvním rozsáhlejším bezpečnostním posouzení získá dlouhý seznam zjištění. Problém není v tom, že seznam existuje, ale v tom, že nemá pořadí, odpovědnosti ani vazbu na rozpočet. Bez prioritizace pak tým řeší to, co je nejviditelnější nebo nejsnazší, místo toho, co nejvíce snižuje reálné riziko. U omezeného rozpočtu a kapacity je pořadí opatření skutečným řídícím rozhodnutím, které by mělo přinášet vedení firmy.

Zákonné povinnosti na prvním místě

Prvním filtrem jsou povinnosti vyplývající z právních předpisů. Pokud organizace spadá pod NIS2 (zákon o kybernetické bezpečnosti), jsou některá opatření bez ohledu na rizikovou analýzu povinná a mají stanovené termíny. Podobně odvětvové předpisy, smlouvy s klíčovými zákazníky nebo požadavky pojišťoven mohou určovat minimální úroveň zabezpečení. Ta patří na začátek plánu, protože jejich nesplnění nese kromě rizika i přímé sankce nebo ztrátu smlouvy.

Dopad na provoz a byznys

Druhým filtrem je dopad: co se stane, když dané riziko nastane. Nejde o to, jak je technologie zajímavá, ale zda ohrožuje výrobu, fakturaci, dodržování smluv nebo údaje zákazníků. Prakticky znamená zohlednit dostupnost klíčových systémů, závislost na dodavatelích a dobu obnovy po incidentu. Opatření, které zkracuje dobu obnovy klíčového provozu z týdnů na dny, má obvykle vyšší hodnotu než sofistikovanější ochrana okrajové aplikace.

Realizovatelnost a náklady

Třetím filtrem je realizovatelnost: má tým kapacitu opatření zrealizovat, umí ho provozovat dále a vydrží ho financovat? Levné řešení, které nikdo nebude udržovat, je špatná investice. Naopak některá opatření s vysokým efektem mají nízké náklady: zřízení vícefaktorového ověření na kritických systémech, zpřísnění správy oprávnění, základní zálohování a ověřené obnovení, nebo sjednocení inventáře systémů. Přesně tato kombinace nízké náklady a vysoký dopad by měla tvořit první vlnu plánu.

Etapy realizace a periodická revize

Plán je třeba rozdělit do vln, které si organizace skutečně zvládne. Každá vlna by měla mít definovaný cíl, odpovědnou osobu, rozpočet a měřitelný výstup. Po dokončení vlny je vhodné plán revidovat: co se změnilo v prostředí, co nově vyžadují předpisy nebo zákazníci a co se ukázalo jako složitější, než se čekalo. Prioritizace není jednorázový úkon, ale opakovaná součást řízení.

1. 1Vyjádřete povinnosti: co vyžaduje zákon (NIS2/ZoKB), smlouvy, odvětvové předpisy a pojištění, a s jakými termíny.
2. 2Sestavte inventář klíčových procesů a systémů a přiřaďte jim dopad případného selhání.
3. 3Každé opatření ohodnoťte třemi kritérii: povinnost, dopad na provoz, náročnost realizace a provozu.
4. 4Sestavte první vlnu z opatření s vysokým dopadem a nízkými náklady, přiřaďte odpovědnosti a termíny.
5. 5Druhé a další vlny naplánujte do 12 až 24 měsíců s vazbou na rozpočtová období.
6. 6Definujte, jak budete postup měřit (dokončená opatření, doba obnovy, počet otevřených rizik).
7. 7Plán jednou ročně revidujte a po každém významném incidentu nebo změně.

• Nezačínejte technologií: nejdřív povinnosti a dopady, řešení až poté.
• Vždy ke každému opatření přiřaďte jednu odpovědnou osobu, ne oddělení.
• Počítejte i provozní náklady, ne jen pořizovací cenu.
• Raději méně opatření opravdu hotových než dlouhý seznam rozpracovaných.