Krajowy System Cyberbezpieczeństwa (KSC/NIS2), SZBI i ryzyko

✓

Bezpłatna analiza ryzyka IT

Sprawdź, które obszary bezpieczeństwa wymagają uwagi w Twojej firmie

23 pytania, około 10 minut, bez wiedzy technicznej. Na koniec dostajesz automatyczny wynik i wiesz, gdzie masz realne luki.

Zrób bezpłatną analizę →

Przejęte konto Microsoft 365, zaszyfrowany serwer plików albo wyłączona ochrona na stacji roboczej rzadko są wyłącznie problemem działu IT. Mogą zatrzymać sprzedaż, produkcję, obsługę klientów lub rozliczenia. Dlatego krajowy system cyberbezpieczeństwa (KSC): SZBI i analiza ryzyka należy traktować nie jako zestaw dokumentów do przygotowania, lecz jako sposób zarządzania realnym ryzykiem biznesowym.

Dla wielu małych i średnich firm największym wyzwaniem nie jest brak pojedynczego narzędzia ochronnego. Problemem bywa brak uporządkowanego obrazu sytuacji: nie wiadomo, które systemy są kluczowe, kto ma do nich dostęp, jakie zagrożenia są najbardziej prawdopodobne i jak firma wykryje incydent, zanim jego skutki staną się kosztowne. Dobrze zaprojektowany SZBI porządkuje te kwestie, a analiza ryzyka pomaga zdecydować, gdzie inwestować czas i środki.

KSC, SZBI i analiza ryzyka – co łączy te elementy?

Krajowy System Cyberbezpieczeństwa wyznacza ramy podnoszenia bezpieczeństwa podmiotów istotnych dla funkcjonowania państwa i gospodarki. W praktyce zakres obowiązków organizacji zależy od jej statusu, sektora oraz aktualnych przepisów. Nie każda firma będzie podlegała takim samym wymogom, ale niemal każda może skorzystać z metod, które stoją za KSC.

SZBI, czyli System Zarządzania Bezpieczeństwem Informacji, to nie program zainstalowany na komputerze ani segregator z politykami. Jest to zestaw zasad, odpowiedzialności, procesów i kontroli, które mają chronić informacje oraz systemy wspierające działalność firmy. Obejmuje między innymi zarządzanie dostępami, kopie zapasowe, reagowanie na incydenty, szkolenia pracowników, nadzór nad dostawcami i przeglądy zabezpieczeń.

Analiza ryzyka odpowiada natomiast na trzy praktyczne pytania: co może pójść nie tak, jaki będzie skutek oraz czy obecne zabezpieczenia wystarczą. Bez niej łatwo wdrożyć rozwiązania efektowne, ale niedopasowane do rzeczywistych problemów przedsiębiorstwa. Firma logistyczna może przede wszystkim chronić dostępność systemu planowania tras, a kancelaria prawna – poufność dokumentów klientów. Obie potrzebują cyberbezpieczeństwa, lecz ich priorytety nie muszą być identyczne.

Od aktywów do decyzji biznesowych

Analiza ryzyka nie zaczyna się od tabeli z zagrożeniami. Najpierw trzeba ustalić, co firma rzeczywiście chroni. Aktywem może być serwer, konto pocztowe, baza klientów, aplikacja księgowa, telefon służbowy, konfiguracja zapory sieciowej, a nawet wiedza pracownika odpowiedzialnego za konkretny proces.

Warto patrzeć szerzej niż na sam sprzęt. Jeżeli pracownik nie może zalogować się do poczty, a cała obsługa zamówień odbywa się przez Microsoft 365, skutkiem nie będzie wyłącznie „awaria poczty”. Mogą pojawić się opóźnienia, błędne dyspozycje, utrata kontaktu z klientami i presja na podejmowanie decyzji bez pełnych danych.

Po wskazaniu aktywów organizacja powinna ocenić ich znaczenie dla poufności, integralności i dostępności. Poufność oznacza, że dane nie trafiają do osób nieuprawnionych. Integralność dotyczy ich poprawności – na przykład tego, czy ktoś nie zmienił numeru rachunku na fakturze. Dostępność oznacza możliwość korzystania z systemu wtedy, gdy jest potrzebny.

Dopiero na tym etapie można sensownie rozważać scenariusze zagrożeń. Dla MŚP najczęściej będą to phishing prowadzący do przejęcia konta, ransomware, wykorzystanie nieaktualnego systemu, nieautoryzowane logowanie z zagranicy, błędna konfiguracja chmury, nadużycie uprawnień albo awaria bez sprawdzonego odtworzenia kopii zapasowej.

Jak przeprowadzić analizę ryzyka bez pozornej precyzji

Ryzyko najczęściej ocenia się jako połączenie prawdopodobieństwa zdarzenia i skali jego wpływu. Nie oznacza to, że zarząd musi przewidywać przyszłość z matematyczną dokładnością. Celem jest podejmowanie uzasadnionych decyzji na podstawie dostępnych informacji, a nie tworzenie zbyt skomplikowanych arkuszy.

Przykładowo, przejęcie konta dyrektora finansowego może mieć wysokie prawdopodobieństwo, jeśli nie stosuje się uwierzytelniania wieloskładnikowego, a pracownicy regularnie otrzymują wiadomości phishingowe. Skutek może być poważny, gdy konto służy do zatwierdzania płatności lub ma dostęp do wrażliwych dokumentów. Środkiem ograniczającym ryzyko będzie tu nie tylko MFA, lecz także przegląd uprawnień, szkolenie użytkowników, reguły wykrywania podejrzanych logowań oraz gotowa procedura reakcji.

Dobra analiza powinna określać właściciela ryzyka. Administrator może wdrożyć konfigurację, ale decyzję o akceptacji ryzyka biznesowego podejmuje osoba odpowiedzialna za dany obszar. To ważne zwłaszcza wtedy, gdy firma świadomie utrzymuje starszy system, ponieważ jego wymiana wymaga czasu lub wiąże się z kosztami operacyjnymi.

Przydatny rejestr ryzyk powinien zawierać co najmniej opis scenariusza, zagrożone aktywa, ocenę wpływu i prawdopodobieństwa, istniejące zabezpieczenia, plan działań oraz osobę odpowiedzialną. Jeżeli ryzyk jest wiele, priorytet należy nadać tym, które mogą zatrzymać działalność, narazić dane klientów lub umożliwić oszustwo finansowe.

SZBI działa wtedy, gdy ma właścicieli i rytm

Dokumentacja SZBI jest potrzebna, ale sama nie wykryje ataku. Polityka haseł nie pomoże, gdy ktoś wyłączy ochronę endpointu, a nikt tego nie zauważy. Procedura reagowania na incydenty nie ograniczy strat, jeśli pracownicy nie wiedzą, komu zgłosić podejrzaną wiadomość i kto może podjąć decyzję o odłączeniu urządzenia od sieci.

Dlatego system powinien łączyć zasady organizacyjne z codzienną praktyką IT. W małej firmie nie wymaga to rozbudowanego działu bezpieczeństwa. Potrzebne są jednak jasne role, regularne przeglądy i dowody, że kontrole działają. Do takich działań należą aktualizacja listy systemów, okresowy przegląd kont i uprawnień, test odtworzenia kopii zapasowych, analiza wyników szkoleń oraz ćwiczenie scenariusza incydentu.

Szczególne znaczenie ma zarządzanie zmianą. Nowa aplikacja SaaS, migracja danych do chmury czy nadanie dostępu zewnętrznemu księgowemu zmieniają profil ryzyka. Jeżeli takie zmiany nie trafiają do oceny, rejestr ryzyk szybko przestaje odzwierciedlać rzeczywistość.

Monitoring bezpieczeństwa jako element kontroli ryzyka

Część ryzyk można ograniczyć prewencyjnie, ale nie wszystkie. Nie da się założyć, że każdy użytkownik rozpozna phishing, każda konfiguracja będzie poprawna, a każda podatność zostanie usunięta natychmiast. Z tego powodu SZBI powinien uwzględniać wykrywanie zagrożeń oraz sprawne reagowanie na nie.

Stały monitoring bezpieczeństwa IT pozwala obserwować sygnały, które pojedynczo mogą wyglądać niegroźnie, lecz razem wskazują na atak. Przykładem jest logowanie do konta z nietypowej lokalizacji, utworzenie nietypowej reguły przekazywania poczty, pobranie dużej liczby plików, a następnie próba wyłączenia zabezpieczeń. Bez centralnej analizy alertów takie zdarzenia często pozostają niezauważone.

Usługi SOC as a Service oraz MDR, czyli Managed Detection and Response, mogą zapewnić monitoring bezpieczeństwa 24/7 także firmom, które nie utrzymują własnego zespołu SOC. Technologia służy tu do zbierania sygnałów z komputerów, serwerów, zapór sieciowych, środowisk chmurowych i innych kluczowych elementów infrastruktury. Najważniejsza pozostaje jednak analiza alertów przez specjalistów oraz uzgodniony sposób obsługi incydentów.

W zależności od środowiska warto rozszerzyć monitoring o SIEM, czyli centralne zbieranie i analizę logów. Nie zawsze jest to pierwszy krok dla każdej firmy. Jeśli organizacja ma niewiele systemów i podstawowe problemy z aktualizacjami lub dostępami, większą wartość może najpierw przynieść uporządkowanie tych fundamentów. Z kolei przy rozproszonej infrastrukturze, wielu kontach chmurowych lub wymaganiach audytowych centralna widoczność zdarzeń staje się istotnym elementem zarządzania ryzykiem.

Krajowy System Cyberbezpieczeństwa – SZBI i analiza ryzyka w praktyce MŚP

Najczęstszym błędem jest próba wdrożenia całego systemu naraz. Lepsze rezultaty daje podejście etapowe: najpierw rozpoznanie zasobów i najpoważniejszych ryzyk, potem wdrożenie podstawowych zabezpieczeń, następnie monitoring oraz regularne doskonalenie. Dzięki temu firma może ograniczać ryzyko proporcjonalnie do swojej skali i budżetu.

W praktyce pierwsze 90 dni warto przeznaczyć na uporządkowanie dostępu do kluczowych systemów, wdrożenie lub weryfikację MFA, sprawdzenie kopii zapasowych, aktualizację urządzeń, określenie procedury zgłaszania incydentów i przegląd najważniejszych dostawców. Równolegle należy ustalić, jakie zdarzenia mają być monitorowane oraz kto otrzymuje informację, gdy pojawi się poważny alert.

Kolejny etap to praca cykliczna. Analiza ryzyka powinna wracać na stół po incydencie, istotnej zmianie technologicznej, wejściu w nową usługę albo zmianie procesu biznesowego. SZBI nie jest projektem zamykanym podpisem pod dokumentem. To mechanizm, który pomaga firmie podejmować lepsze decyzje, gdy warunki działania i zagrożenia się zmieniają.

Jeżeli firma nie ma własnego CISO, analityków czy zespołu bezpieczeństwa, nie musi rezygnować z tego podejścia. Wsparcie vCISO, audyt, szkolenia, testy penetracyjne oraz SOC as a Service mogą zostać dobrane do faktycznych luk i priorytetów. VIRTUO SOC wspiera organizacje w budowaniu takiego praktycznego modelu ochrony, łącząc ocenę ryzyka z monitoringiem i reagowaniem na zagrożenia.

Najlepszym momentem na sprawdzenie, czy SZBI działa, nie jest dzień audytu ani chwila po incydencie. Jest nim zwykły dzień pracy, w którym firma potrafi odpowiedzieć, co chroni, jakie ryzyka akceptuje, kto reaguje na alert i jak utrzyma działalność, gdy jedno z kluczowych założeń bezpieczeństwa zawiedzie.

Dyrektor ds. Technologii