Od regulatorní povinnosti k řiditelnému systémuCo by měla firma zvládnout během prvních 90 dní

Proč dávat prvním krokům strukturu a časový rámec

Firmy, kterým se povinnosti týkají, často začínají tam, kde je to nejpohodlnější: kupují nástroje, řeší hesla nebo čekají na konkrétní vyhlášky. Výsledkem je roztříštěná práce bez souvislosti a po měsících nejistota, co už je hotové a co ne. Struktura prvních 90 dní dává práci směr a umožňuje vedení sledovat postup.

Cílem prvních 90 dní není dokončit vše. Cílem je dosáhnout takového stavu, kdy firma ví, co má, jaká rizika nese, co je nutné dodělat a kdo za to odpovídá. To je základ, na kterém lze stavět dlouhodobý systém.

Krok 1: přehled o stavu firmy a posouzení současnosti

Prvním krokem je zmapovat, co firma skutečně má: jaké systémy a služby používá, kdo k nim má přístup, jak jsou spravovány, jaká dokumentace existuje a jaká je její aktuálnost. Důležité je zahrnout i dodavatele a externí služby, na kterých je firma závislá.

Součástí tohoto kroku je i stanovení, zda a v jakém rozsahu firma podléhá ZoKB, a tím pádem jaké požadavky na ni konkrétně dopadají. Bez tohoto závěru nelze smysluplně nastavit rozsah opatření.

Krok 2: stanovení priorit podle rizik

Po přehledu je nutné rozhodnout, co je pro firmu nejzranitelnější. Nejde o obecné riziko z internetu, ale o konkrétní dopady na fungování firmy: vypadek systému, ztráta dat, nemožnost fungovat bez dodavatele, incident s dopadem na zákazníky. Každé riziko je potřeba popsat, odhadnout dopad a pravděpodobnost a přiřadit k němu vlastníka.

Krok 3: základní dokumentace a rychlá opatření

Na základě priorit lze vytvořit základní dokumentaci, kterou firma skutečně používá: bezpečnostní politiku, přehled systémů, postupy pro přístupy, zálohy a reakci na incidenty. Souběžně je možné realizovat rychlá opatření, která nezabírají velké zdroje, ale významně snižují riziko.

• Aktualizace a správa verzí na klíčových systémech.
• Zálohy kritických dat včetně ověření, že je lze skutečně obnovit.
• Správa a kontrola přístupů a účtů.
• Vícefaktorové ověření u vzdáleného přístupu a administrativních rozhraní.
• Základní pravidla pro práci s e-mailem a přílohami.
• Stanovení postupu a kontaktů pro reakci na incident.

Krok 4: plán opatření na delší horizont

Některá opatření nelze zvládnout v prvních měsících: náročnější technické řešení, řízení kontinuity, systematické řízení rizik, školení nebo změny v dodavatelských vztazích. Ty je potřeba pořadit do plánu s časovým rozvrhem a potřebnými zdroji a předat vedení ke schválení.

1. 1Týden 1–3: stanovení zodpovědnosti, rozsah povinností z ZoKB, přehled systémů, služeb a dodavatelů.
2. 2Týden 4–6: posouzení současného stavu oproti požadavkům, identifikace kritických systémů a závislostí.
3. 3Týden 7–9: popis hlavních rizik, stanovení priorit, schválení přístupu vedením.
4. 4Týden 10–12: základní dokumentace, realizace rychlých opatření, plán delších opatření na další období.
5. 5Následné období: postupná realizace plánu, pravidelné přezkoumání stavu a aktualizace rizik.

Jak udržet tempo i po prvních 90 dnech

Největším rizikem je situace, kdy se po prvních krocích práce zastaví, protože nejsou žádné další termíny a nikdo nekontroluje stav. Proto je nutné nastavit pravidelné přezkoumání (například čtvrtletní) s jednoduchým reportem o stavu opatření, rizicích a rozhodnutích, která jsou potřeba od vedení.