Naša filozofija

Verjamemo, da mora biti kibernetska varnost razumljiva, izvedljiva in dokazljiva. Dober varnostni program ni najdebelejši dokument, ampak sistem odločitev, ukrepov in dokazil, ki ga organizacija dejansko uporablja.

Načela dela

• Najprej tveganje: ukrepe razvrstimo po poslovnem vplivu, ne po modnih izrazih.
• Dokazila sproti: dokazovanje skladnosti mora nastajati med delom, ne zadnji teden pred presojo.
• Jezik vodstva: tehnične ugotovitve prevedemo v odločitve, odgovornosti in prioritete.
• Manj podvajanja: en ukrep naj podpira več zahtev, kjer je to smiselno.

Kaj to pomeni za stranko

Stranka dobi partnerja, ki zna povezati regulatorne zahteve, tehnične kontrole in realnost organizacije. Tako varnost postane del upravljanja, ne samo projekt IT oddelka.

Od kod izhaja ta pristop

CISOaaS ne izhaja iz prodaje varnostnih orodij, ampak iz izkušnje z dejansko izvedbo varnostnih programov znotraj organizacij: kjer je treba uskladiti proračun, ljudi, obstoječo tehnologijo in rok za skladnost. Delo vodi certificiran CISO (PECB Certified Chief Information Security Officer) — več o certifikatu je na strani Zakaj CISOaaS. Certifikat je potrditev znanja, ne nadomestilo zanj; filozofija dela je nastala iz ponavljajočega se vzorca, ki ga vidimo pri organizacijah: preveč dokumentov, premalo dokazil, in premalo jasnosti o tem, kaj je resnično pomembno.

Neodvisnost od orodij in ponudnikov

CISOaaS ni vezan na določenega proizvajalca varnostnih rešitev, zato priporočila niso oblikovana okoli prodaje licenc. Presoja se vedno začne pri tveganju in obstoječi infrastrukturi, ne pri tem, kaj je najlažje prodati. Kadar je smiselno, se uporabi obstoječa oprema in orodja, ki jih organizacija že ima; nova investicija je priporočena samo, kadar obstoječe rešitve ne pokrijejo ključne vrzeli.

Poštenost pred izgledom

Poročilo, ki olepša stanje, je za organizacijo nevarnejše kot poročilo, ki pokaže resnične vrzeli. Pri oceni stanja se prioritete ne prilagajajo temu, kaj je enostavno rešljivo, ampak temu, kaj predstavlja največje tveganje za poslovanje. Kadar organizacija nekaj še nima urejeno — politike, evidence, nadzor dostopov — to ni razlog za zamolčanje, ampak izhodiščna točka načrta ukrepov.

Kako filozofija vpliva na vsak projekt

V praksi to pomeni tri stvari. Prvič, vsak ukrep ima lastnika, rok in dokazilo — priporočilo brez odgovorne osebe se v praksi redko izvede. Drugič, en ukrep pogosto pokrije več regulatornih zahtev hkrati (na primer nadzor dostopov podpira hkrati NIS2, ISO 27001 in GDPR), zato se delo ne podvaja po posameznih okvirjih. Tretjič, poročanje je prilagojeno vodstvu: namesto tehničnega žargona dobi vodstvo jasen pregled tveganja, odločitev in napredka, na podlagi katerega lahko dejansko odloča.

Za koga je ta pristop primeren

Pristop je enako uporaben za organizacijo, ki šele začenja urejati kibernetsko varnost, kot za tisto, ki že ima vzpostavljene kontrole, a potrebuje neodvisen pregled in strukturo pred presojo ali revizijo. Obseg dela se prilagodi velikosti in zrelosti organizacije — enaka logika velja tako za majhno podjetje z eno ključno aplikacijo kot za organizacijo z več lokacijami in dobavitelji.

Pogosta vprašanja

Povezane vsebine

Za več konteksta glej tudi: O nas, Naš CISO pristop, Kako delamo, kontakt.