Nowelizacja ustawy o KSC – co się zmieni
Do Sejmu trafił projekt nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Nowe przepisy mają objąć przedsiębiorstwa z tzw. obszarów istotnych, w tym sektor energetyczny, transportowy, zdrowotny, cyfrowy i finansowy.
Firmy te będą zobowiązane do tworzenia wyspecjalizowanych działów bezpieczeństwa operacyjnego (SOC – Security Operations Center) oraz do systematycznego raportowania incydentów cybernetycznych do wyznaczonych instytucji państwowych.
To krok w kierunku zwiększenia odporności cyfrowej polskiej gospodarki, ale też ogromne wyzwanie organizacyjne i kadrowe. Jak podkreślają eksperci, skuteczny dział cyberbezpieczeństwa to nie tylko sprzęt i oprogramowanie, lecz złożony system zarządzania, obejmujący procesy, polityki i kulturę bezpieczeństwa w całym przedsiębiorstwie.
Wyzwanie: kompetencje i odpowiedzialność
– W wielu firmach bezpieczeństwo cyfrowe wciąż pozostaje w rękach zespołów IT. Tymczasem cyberbezpieczeństwo wymaga innych kompetencji niż administracja systemami, ponieważ łączy w sobie wiedzę z zakresu zarządzania ryzykiem, audytu, prawa, psychologii zachowań użytkowników oraz komunikacji kryzysowej. Brak dedykowanego zespołu sprawia, że działania ochronne są jedynie reaktywne – tłumaczy Krystian Paszek, SOC Manager z firmy Mediarecovery.
Jak wynika z raportu „Incydenty pod kontrolą” firm Mediarecovery i Safesqr, większość przedsiębiorstw polega wciąż na własnych zasobach, często bez odpowiednio wyszkolonych zespołów.
-
24% firm posiada wewnętrzny dział ds. cyberbezpieczeństwa,
-
36% – powierza te zadania wyznaczonym specjalistom,
-
31% – łączy kompetencje własne z usługami zewnętrznymi,
-
a jedynie 8% korzysta wyłącznie z outsourcingu.
– Zdecydowanie najlepszym rozwiązaniem, zwłaszcza dla dużych przedsiębiorstw, jest stworzenie dedykowanego działu zajmującego się cyberbezpieczeństwem – dodaje Krystian Paszek. – Coraz większą popularność zyskuje model hybrydowy, łączący kompetencje wewnętrzne z usługami zewnętrznych ekspertów. Takie podejście wydaje się rozsądne w obecnej sytuacji niedoboru specjalistów na rynku pracy.
NIS2 wymaga więcej niż minimum
Nowe wymogi wynikające z dyrektywy NIS2 oraz wdrażających ją przepisów KSC oznaczają, że organizacje muszą zapewnić ciągłość działania zespołów detekcji i reakcji na incydenty.
W praktyce oznacza to, że Security Operations Center musi funkcjonować 24/7, by w czasie rzeczywistym monitorować zagrożenia i błyskawicznie reagować na naruszenia bezpieczeństwa.
Raport „Incydenty pod kontrolą” wskazuje, że:
-
tylko 44% firm w Polsce posiada całodobowe zespoły bezpieczeństwa,
-
46% zapewnia ochronę jedynie w godzinach pracy,
-
55% przedsiębiorstw deklaruje, że największym ograniczeniem jest niedobór pracowników,
-
a 45% wskazuje brak odpowiednich kompetencji jako kluczową barierę w dostosowaniu do wymogów NIS2.
To pokazuje, że brak specjalistów ds. cyberbezpieczeństwa jest dziś ważniejszym ryzykiem niż sama luka technologiczna.
Zespół cyberbezpieczeństwa – serce cyfrowej odporności firmy
– Nowoczesny dział ds. cyberbezpieczeństwa powinien być zorganizowany jak centrum kompetencji i zarządzania ryzykiem, a nie tylko zespół reagujący na incydenty. W miarę możliwości, w jego skład powinni wchodzić eksperci o różnych specjalizacjach. W dużych, rozbudowanych organizacjach powinien funkcjonować lider odpowiedzialny za politykę bezpieczeństwa i raportowanie do zarządu, a także specjaliści SOC, którzy monitorują systemy i reagują na incydenty w czasie rzeczywistym – tłumaczy Krystian Paszek.
Jednak nawet najlepszy dział bezpieczeństwa nie wystarczy, jeśli w firmie brakuje kultury cyberbezpieczeństwa. Według ekspertów wiele ataków kończy się sukcesem nie przez zaawansowane techniki hakerskie, lecz przez błędy ludzkie:
-
słabe hasła,
-
brak aktualizacji systemów,
-
ignorowanie procedur bezpieczeństwa,
-
podatność na phishing i socjotechnikę.
Dlatego tak istotne są programy edukacyjne, szkolenia dla pracowników, symulacje ataków oraz jasne protokoły postępowania w razie incydentu. To właśnie one budują cyfrową odporność i minimalizują ryzyko w czasach, gdy cyberatak to kwestia „kiedy”, a nie „czy”.
Zostaw komentarz