SZBI nie jest zestawem szablonów. To sposób zarządzania bezpieczeństwem informacji: kto podejmuje decyzje, jak organizacja ocenia ryzyko, jak reaguje na incydenty, jak nadzoruje dostawców i jak sprawdza skuteczność zabezpieczeń.
Co powstaje w ramach wdrożenia?
Zakres i kontekst
Procesy, lokalizacje, systemy, dane, interesariusze i zależności, które obejmuje SZBI.
Rejestr ryzyk
Metodyka, kryteria, właściciele ryzyka, plan postępowania i cykl przeglądów.
Role i nadzór
Odpowiedzialności zarządu, IT, właścicieli procesów, bezpieczeństwa i dostawców.
Incydenty
Klasyfikacja, eskalacja, zgłoszenia 24/72 godziny, komunikacja i wnioski po zdarzeniu.
Ciągłość działania
Backup, odtwarzanie, priorytety usług, scenariusze awarii i regularne testy.
Dowody działania
Rejestry, protokoły, wyniki testów, szkolenia, wskaźniki i decyzje kierownictwa.
Jak pracujemy?
- Start i zakres - ustalamy cel, właściciela projektu, systemy i procesy krytyczne.
- Diagnoza - wykorzystujemy audyt gotowości lub wykonujemy analizę stanu obecnego.
- Projekt SZBI - definiujemy role, metodykę ryzyka, polityki i rejestry.
- Wdrożenie - uruchamiamy procesy, szkolimy zespół i wdrażamy priorytetowe zabezpieczenia.
- Testy - ćwiczymy incydenty, odtwarzanie i ciągłość działania.
- Przegląd - mierzymy skuteczność, zamykamy braki i ustalamy cykl doskonalenia.
Co nie wchodzi automatycznie w zakres?
Zakupy licencji i sprzętu, całodobowe SOC, testy penetracyjne, formalna opinia prawna, niezależna certyfikacja ISO oraz ustawowy audyt KSC są osobnymi elementami. Jeżeli są potrzebne, wpisujemy je jawnie do planu i wyceny.
Zacznij od zakresu, nie od szablonu
Ustalimy cel, dojrzałość i realny harmonogram wdrożenia.