Priorytety w procesach i zarządzaniu bezpieczeństwem

Dlaczego procesy i zarządzanie cyberbezpieczeństwem są kluczowe dla współczesnych organizacji? 

Procesy i zarządzanie to „system nerwowy” cyberbezpieczeństwa. To one decydują, jak reagujemy na incydenty, jak zarządzamy ryzykiem, jak wdrażamy nowe rozwiązania i jak uczymy się na błędach. Dzięki nim bezpieczeństwo nie jest dziełem przypadku, tylko świadomym, powtarzalnym i mierzalnym działaniem. Bez skutecznych procesów, polityk i zarządzania, nawet najnowsze rozwiązania nie zapewnią odporności organizacji.  

Technologia to tylko narzędzie, a procesy to sposób, w jaki z niego korzystamy. Bez procesów nie wiemy, kto za co odpowiada, jak reagować na incydenty, jak zarządzać zmianami czy jak monitorować skuteczność zabezpieczeń.  

Pobierz grafikę z mapą priorytetów technologicznych, procesowych i organizacyjnych w cyberbezpieczeństwie i bezpieczeństwie informacji.

Poziom podstawowy – jak wyglądają pierwsze kroki w procesach i zarządzaniu cyberbezpieczeństwem?

W każdym programie bezpieczeństwa fundamentem są odpowiednio przygotowane, jasne i zrozumiałe polityki. To one wyznaczają zasady działania, minimalizują chaos i tworzą wspólny standard postępowania dla całej organizacji.

Do podstawowe polityki bezpieczeństwa zaliczamy: 

• Polityka bezpieczeństwa informacji – Prosty, zrozumiały dokument określający podstawowe zasady ochrony informacji w firmie. Powinien zawierać:  
  • Wymagania dotyczące haseł (np. minimalna długość, złożoność, częstotliwość zmiany).  
  • Zasady korzystania z poczty elektronicznej i internetu.  
  • Zakaz instalowania nieautoryzowanego oprogramowania.  
  • Wymóg blokowania ekranu po odejściu od komputera.  
  • Sposób zgłaszania incydentów.  

• Polityka zarządzania dostępem – Określa, kto i na jakich zasadach otrzymuje dostęp do systemów i danych. Powinna zawierać zasady przydzielania uprawnień (np. tylko na czas trwania zatrudnienia) i regularny przegląd uprawnień i usuwanie nieużywanych kont.  

• Polityka zarządzania hasłami – reguły tworzenia i przechowywania haseł takie jak wymuszanie silnych, unikalnych haseł, zakaz udostępniania haseł innym osobom oraz regularna zmiana haseł (np. co 90 dni).  

• Podstawowe procedury reagowania na incydenty –  każdy pracownik posiada informacje, do kogo zgłosić podejrzane zdarzenie (np. dedykowany e-mail lub telefon do IT). Prosty opis, co robić w razie podejrzenia ataku (np. nie otwierać podejrzanych załączników, niezwłocznie zgłosić problem). Brak kar za fałszywe alarmy – liczy się szybka reakcja.  

• Podstawowa segmentacja ról i separacja obowiązków
  • Oddzielenie kont użytkowników od administracyjnych – pracownicy powinni używać kont o ograniczonych uprawnieniach do codziennej pracy. Konta administracyjne wykorzystywane są tylko do zadań wymagających podwyższonych uprawnień.  
  • Podstawowa separacja obowiązków  – osoby odpowiedzialne za wprowadzanie zmian w systemach nie powinny samodzielnie ich zatwierdzać 

Powyższe praktyki i polityki to podstawy ale dobrze wdrożone i przestrzegane ograniczają już całkiem dobrze cyber ryzyka.  

Poziom średniozaawansowany – jak wygląda formalizacja i automatyzacja procesów i zarządzania cyberbezpieczeństwem?

Na poziomie średniozaawansowanym organizacje zaczynają przechodzić od podstawowych zasad do bardziej uporządkowanych, mierzalnych i sformalizowanych działań. To etap, w którym bezpieczeństwo staje się procesem zarządzanym, a nie tylko zbiorem pojedynczych praktyk. Na tym poziomie organizacje wdrażają już bardziej zaawansowane procesy i praktyki:  

• Formalne procedury zarządzania incydentami – są niezbędnym elementem skutecznego systemu bezpieczeństwa. Każda organizacja powinna posiadać jasno określone zasady postępowania na wypadek różnych typów incydentów – takich jak phishing, ransomware czy wyciek danych. Kluczowe znaczenie ma również przygotowanie listy kontaktów oraz podziału ról, określających, kto odpowiada za analizę, komunikację i działania naprawcze. Pomocne są też szablony zgłaszania incydentów, które przyspieszają przekazywanie pełnych i uporządkowanych informacji. Nie można też pomijać etapu post-mortem – po zakończeniu incydentu zespół powinien przeanalizować jego przebieg, wyciągnąć wnioski i wdrożyć usprawnienia, by zwiększyć odporność organizacji na przyszłość 

• Audyty i przeglądy bezpieczeństwa – regularne audyty zgodności z politykami, standardami (np. ISO 27001, NIST) i regulacjami branżowymi. Regularne przeglądy skuteczności zabezpieczeń – testowanie polityk, procedur i narzędzi. Należy też pamiętać o raportowaniu wyników do zarządu i rekomendacje działań naprawczych.  

• Zarządzanie ryzykiem – kluczowa jest identyfikacja i ocena ryzyk – przeprowadzanie okresowych analiz ryzyka dla kluczowych procesów i zasobów.  
  • Priorytetyzacja działań – wdrażanie środków zaradczych w obszarach o najwyższym ryzyku.  
  • Rejestr ryzyk – dokumentowanie zidentyfikowanych zagrożeń, ocen ryzyka i działań naprawczych.  
  • Przeglądy ryzyk – regularna aktualizacja i analiza zmian w środowisku zagrożeń.  

• Testy penetracyjne i symulacje ataków – planowane testy penetracyjne (wewnętrzne i zewnętrzne) – sprawdzanie odporności systemów na ataki. Symulacje ataków socjotechnicznych – testowanie świadomości i reakcji pracowników. Raportowanie i wdrażanie poprawek po testach.  

• Podstawowa automatyzacja  
  • Automatyczne powiadomienia o incydentach – systemy monitorujące generują alerty do odpowiednich osób.  
  • Harmonogramy przeglądów i audytów – przypomnienia o konieczności wykonania kluczowych działań.  
  • Automatyzacja prostych procesów – np. resetowanie haseł, blokowanie kont po wykryciu naruszenia.  

• Zarządzanie zmianą  
  • Procedura zarządzania zmianą – każda zmiana w systemach IT wymaga oceny ryzyka i zatwierdzenia przez uprawnione osoby.  
  • Dokumentowanie zmian – rejestr wszystkich zmian w infrastrukturze i oprogramowaniu.  

Wdrażając powyższe procesy w małym zespole warto zacząć od prostych, powtarzalnych procedur i stopniowo je rozwijać. Można korzystać z gotowych szablonów będących częścią frameworków (np. NIST, ISO), a automatyzację wdrażać etapami – nawet proste narzędzia mogą bardzo pomóc. Niemniej pamiętajmy, że frameworki ISO czy NIST to tylko narzędzia – jeśłi źle z nich skorzystamy to nic nie wniosą a czasami zaszkodzą dając całkowicie fałszywe poczucie bezpieczeństwa.  

Jak ważna jest dobra analiza i szacowanie cyber ryzyk pokazuje case ataku hakerskiego na American Heart of Poland w 2021 roku. W wyniku tego ataku hakerzy uzyskali dostęp do szczegółowych danych osobowych około 21 tysięcy osób, w tym pacjentów i pracowników firmy.  Firma została w 2024 roku ukarana przez PUODO karą administracyjną w wysokości prawie 1,5 mln zł.   

Pomimo, że American Heart of Poland posiadał wdrożony i certyfikowany SZBI ISO/IEC 27001:2013., w wyniku audytu i analizy po ataku ransomware w 2021 roku, polskie organy nadzoru uznały, że firma nie przeprowadziła odpowiedniej analizy ryzyka i nie zaktualizowała krytycznych serwerów, co osłabiło jej bezpieczeństwo.   

Poziom zaawansowany – ciągłe doskonalenie i integracja 

Na najwyższym poziomie dojrzałości bezpieczeństwo przestaje być tylko funkcją IT – staje się integralnym elementem strategii organizacji. To etap, w którym procesy, technologia i decyzje biznesowe są ze sobą ściśle powiązane, a bezpieczeństwo wspiera rozwój, zamiast go spowalniać. Na najwyższym poziomie dojrzałości procesy i zarządzanie są silnie zintegrowane z biznesem i stale doskonalone:  

• Zarządzanie ryzykiem strategiczne i integracja z biznesem – powinno być integralną częścią strategii biznesowej organizacji. Ryzyka związane z bezpieczeństwem informacji muszą być regularnie raportowane zarządowi i uwzględniane w procesie planowania strategicznego. Kluczowe znaczenie ma zintegrowane podejście do zarządzania ryzykiem, w którym procesy bezpieczeństwa są ściśle powiązane z obszarami operacyjnymi, finansowymi i prawnymi. Niezbędne jest również ciągłe monitorowanie i aktualizacja rejestru ryzyk, tak aby oceny i priorytety mogły być dynamicznie dostosowywane do zmian w środowisku technologicznym i biznesowym. 

• Ciągłe doskonalenie procesów (PDCA)  – opiera się na modelu PDCA (Plan–Do–Check–Act), który zakłada regularne przeglądy, analizę incydentów oraz wdrażanie wniosków z post-mortemów i audytów. Kluczową rolę odgrywa automatyczne zbieranie i analiza danych o incydentach, realizowane z wykorzystaniem narzędzi takich jak SIEM, XDR czy SOAR, które umożliwiają korelację zdarzeń i identyfikację trendów w obszarze zagrożeń. Ważnym elementem jest również wdrażanie mechanizmów feedbacku – każda zmiana, incydent czy test powinny skutkować aktualizacją procedur i polityk bezpieczeństwa, tak aby organizacja mogła stale podnosić poziom swojej cyberodporności. 

• Integracja bezpieczeństwa z IT i procesami biznesowymi – powinna być traktowana jako integralna część projektów IT i biznesowych – udział ekspertów ds. bezpieczeństwa w fazie projektowania, wdrożeń i zmian -  shift-left security. Ważnym elementem jest wspólne planowanie i realizacja projektów – bezpieczeństwo nie jest „dodatkiem”, lecz jednym z głównych kryteriów sukcesu projektu – DEV-SEC-OPS, proces SSDLC. Niezbędna jest również automatyzacja zarządzania zmianą – każda zmiana w infrastrukturze przechodzi przez ocenę ryzyka i zatwierdzenie przez zespół bezpieczeństwa.  

• Zaawansowane testy penetracyjne, red teaming i symulacje kryzysowe – regularne, zaawansowane testy penetracyjne – zarówno wewnętrzne, jak i zewnętrzne, obejmujące wszystkie krytyczne systemy. Warto prowadzić ćwiczenia red team/blue team – symulacje rzeczywistych ataków oraz ćwiczenia reagowania na incydenty oraz symulacje zarządzania kryzysowego – testowanie procedur komunikacji, decyzji i odbudowy po incydencie.  

• SOAR i automatyzacja reakcji – wdrożenie platform SOAR (Security Orchestration, Automation and Response) – automatyzacja i orkiestracja reakcji na incydenty, integracja z SIEM, XDR, narzędziami ITSM. Automatyczne playbooki reakcji – szybkie, powtarzalne działania naprawcze, minimalizacja czasu reakcji. Raportowanie i dokumentacja incydentów – automatyczne generowanie raportów, analiza skuteczności reakcji.  

• Zarządzanie zgodnością i audyt – ciągłe monitorowanie zgodności z regulacjami (RODO, NIS2, ISO 27001, branżowe standardy). Automatyzacja audytów i raportowania – narzędzia do stałego śledzenia zgodności, generowania raportów dla zarządu i regulatorów. Wdrażanie rekomendacji pokontrolnych – każda kontrola kończy się planem działań naprawczych i ich egzekucją  

Integracja bezpieczeństwa z IT i procesami biznesowymi, a także wdrożenie podejścia DevSecOps czy Security by Design, nie są zarezerwowane wyłącznie dla dużych organizacji. Kluczowe jest tu nie rozmiar firmy, lecz świadomość ryzyk i gotowość do systematycznego budowania kultury bezpieczeństwa już na etapie projektowania rozwiązań IT. Nawet niewielkie organizacje mogą wdrażać zasady Security by Design czy elementy DevSecOps, zaczynając od prostych praktyk, takich jak automatyzacja testów bezpieczeństwa czy włączanie ekspertów ds. bezpieczeństwa do projektów biznesowych. 

---