Wskazany z imienia i nazwiska pełnomocnik prowadzi SZBI, przedstawia ryzyka kierownictwu i nadzoruje realizację działań. Ciągłość zapewnia imienny zastępca, wspólna dokumentacja i zaplecze specjalistów EFIGO dobrane do sektora klienta.
Wskazany z imienia i nazwiska. Odpowiada za prowadzenie systemu i kontakt z kierownictwem.
Również wskazany imiennie. Zna organizację i przejmuje funkcję bez przerwy w pracy.
Audyt, testy bezpieczeństwa, incydenty, ciągłość działania i szkolenia po naszej stronie.
SZBI to nie zbiór polityk, tylko cykl pracy, który musi toczyć się przez cały rok. Pełnomocnik prowadzi ten cykl, łączy informacje o procesach, technologii i incydentach oraz przygotowuje kierownictwu podstawę do decyzji.
Identyfikuje ryzyka, pokazuje ich wpływ na działalność i możliwe sposoby postępowania. Wskazuje, co wymaga zatwierdzenia przez kierownictwo.
Przypisuje właścicieli i terminy, weryfikuje wykonanie, dokumentuje opóźnienia i eskaluje ryzyka, które pozostają bez rozstrzygnięcia.
Odpowiada za aktualność polityk, rejestrów i zapisów wymaganych podczas audytu, kontroli, oceny ze strony klienta oraz obsługi incydentu.
Przedstawia poziom ryzyka, stan działań, incydenty i odstępstwa — w formie, z której wynika, co zarząd ma rozstrzygnąć.
To nie jest pojedynczy konsultant obsługujący kilkanaście organizacji naraz. Funkcję pełni wskazany imiennie pełnomocnik, ciągłość zapewnia imienny zastępca, a prace wymagające innych kompetencji wykonują specjaliści EFIGO — bez odsyłania klienta do kolejnych wykonawców i bez dopisywania tego do zakresu obowiązków pełnomocnika.
Zna organizację, prowadzi plan pracy, odpowiada za raporty i jest głównym punktem kontaktu dla kierownictwa.
Bierze udział w uzgodnionych działaniach, zna bieżące ustalenia i przejmuje funkcję, gdy pełnomocnik jest niedostępny.
Pełnomocnik i zastępca razem poznają procesy, systemy, osoby kontaktowe i zasady eskalacji. Zastępstwo nie jest samym nazwiskiem w umowie.
Decyzje, ryzyka, terminy, raporty i otwarte sprawy zapisujemy w środowisku dostępnym dla klienta, więc przejęcie zadań nie wymaga odtwarzania wiedzy z korespondencji.
Zastępca okresowo prowadzi wybrane spotkanie lub raport. Planowana zmiana pełnomocnika obejmuje przekazanie wiedzy, aktualizację uprawnień i akceptację nowej osoby przez klienta.
Cztery rzeczy, które można sprawdzić przed pierwszą rozmową.
EFIGO ma certyfikaty ISO/IEC 27001:2023, ISO 22301:2019 i ISO 9001:2015 wydane przez jednostkę zewnętrzną. Prowadzimy u klienta to, czemu sami poddajemy się co roku. Skany: efigo.pl/certyfikaty.
Działalność EFIGO jest objęta ubezpieczeniem odpowiedzialności cywilnej z sumą gwarancyjną 5 000 000 zł. Certyfikat polisy przekazujemy na etapie oferty.
Pełnomocnik, zastępca i specjaliści techniczni to nasi pracownicy. Nie kompletujemy zespołu po podpisaniu umowy i nie podnajmujemy konsultantów, żeby obsadzić kontrakt.
Jesteśmy autoryzowanym partnerem OffSec w Polsce. Pełnomocnik może zlecić sprawdzenie, czy zabezpieczenie opisane w polityce rzeczywiście działa.
System jest prowadzony także wtedy, gdy organizacja nie zgłasza nowych zadań. Częstotliwości dopasowujemy do ryzyka, ale podstawowy cykl pozostaje ten sam.
Incydenty, istotne zmiany, nowe ryzyka, odstępstwa i pilne decyzje.
Spotkanie operacyjne, status działań, aktualizacja rejestrów, plan na kolejny okres.
Przegląd ryzyka, mierniki, raport dla kierownictwa, przypomnienie o zaległych decyzjach.
Pełny przegląd SZBI, przegląd zarządzania, testy i plan na kolejny cykl.
Rdzeń usługi jest wspólny, ale aktywa krytyczne, skutki incydentu, technologia, interesariusze i sposób testowania ciągłości są w każdym sektorze inne.
Bezpieczeństwo informacji musi wspierać ciągłość udzielania świadczeń, także wtedy, gdy części systemów nie można natychmiast wyłączyć.
Pełnomocnik pracuje z dyrekcją, personelem medycznym, IT, Inspektorem Ochrony Danych (IOD) i dostawcami. Ocenia nie tylko poufność danych, ale też wpływ niedostępności systemów na leczenie.
Dostępność usługi podstawowej, bezpieczeństwo środowisk technologii operacyjnej (OT) i kontrola zdalnego dostępu dostawców są ważniejsze niż typowe podejście biurowe.
Pełnomocnik łączy perspektywę IT, automatyki, utrzymania ruchu i dostawców technologii. Plan uwzględnia systemy o długim cyklu życia, wąskie okna serwisowe i rozproszone obiekty.
W firmach dostarczających oprogramowanie jako usługę (SaaS) SZBI musi nadążać za rozwojem produktu, chmurą i częstymi wdrożeniami, zamiast działać obok jako osobny proces zgodności.
Pełnomocnik pracuje z CTO, zespołami programistycznymi, DevOps i właścicielami produktu. Łączy wymagania bezpieczeństwa z planem rozwoju, procesem wydania i zobowiązaniami wobec klientów.
Bezpieczeństwo obejmuje ciągłość usług publicznych, rejestry, wiele jednostek organizacyjnych oraz systemy utrzymywane przez zewnętrznych wykonawców.
Pełnomocnik pracuje z kierownictwem jednostki, IT, Inspektorem Ochrony Danych, komórkami merytorycznymi i jednostkami podległymi. Porządkuje odpowiedzialność tam, gdzie procesy przekraczają granice jednego wydziału.
Pierwszy miesiąc służy ustanowieniu funkcji, poznaniu organizacji i przekazaniu kierownictwu pierwszego uporządkowanego obrazu ryzyka. Dalsze działania wynikają z oceny stanu i ustalonych priorytetów.
Zakres nie kończy się na ogólnym wsparciu. Przed rozpoczęciem pracy ustalamy rzeczy, o które najczęściej powstaje spór w trakcie współpracy.
Raporty, przeglądy, rejestry, testy i działania sektorowe wpisane do rocznego planu pracy wraz z terminami.
Kanał zgłoszeniowy, czas kontaktu, tryb eskalacji, udział zastępcy i zasady uruchamiania specjalistów technicznych.
Kiedy funkcję przejmuje zastępca, jak wygląda przekazanie wiedzy, aktualizacja uprawnień i akceptacja nowej osoby przez klienta.
Imienna lista osób dopuszczonych do informacji organizacji, zasady poufności i powierzenia przetwarzania danych.
Polityki, rejestry, raporty i dowody należą do klienta i są dla niego dostępne przez cały czas współpracy.
Przekazanie kompletu dokumentacji, statusu ryzyk i otwartych działań oraz informacji potrzebnych osobie przejmującej funkcję.
Nie. Decyzje o akceptacji ryzyka, zasobach i priorytetach pozostają po stronie kierownictwa i nie da się ich przenieść umową. Pełnomocnik dostarcza aktualne informacje, rekomendacje, nadzór nad działaniami i dowody, na podstawie których te decyzje są podejmowane.
Tak. Przepisy i normy nie ustanawiają obowiązkowego stanowiska o tej nazwie, ale wymagają, żeby role w zakresie bezpieczeństwa informacji były przypisane, zakomunikowane i realizowane. Organizacja może to zapewnić wewnętrznie albo umową z dostawcą. Umocowanie pełnomocnika wynika z decyzji kierownictwa i przygotowujemy je wspólnie na starcie.
Pełnomocnik prowadzi operacyjny cykl SZBI: ryzyko, dokumentację, działania, incydenty, dowody i raportowanie. vCISO, czyli zewnętrzny dyrektor ds. bezpieczeństwa, zajmuje się strategią, architekturą, programem inwestycji i doradztwem dla zarządu. W większej organizacji role się uzupełniają, w mniejszej mogą być połączone — ale wtedy zakres powinien być wyraźnie opisany.
Nie. IOD odpowiada za ochronę danych osobowych i musi zachować niezależność wobec czynności przetwarzania, które nadzoruje. Pełnomocnik odpowiada za cały system bezpieczeństwa informacji, w tym obszary bez związku z danymi osobowymi. Co do zasady nie łączymy tych funkcji u jednego klienta. Pełnomocnik współpracuje z Waszym IOD, a nie zastępuje go.
Każda organizacja dostaje pełny rdzeń funkcji. Skala, częstotliwość i zakres specjalistyczny zależą od ryzyka, procesów, sektora, technologii, liczby lokalizacji i dostawców. Nie tworzymy wariantów, z których usunięto kluczowe obowiązki.
Formalną ocenę powinien wykonywać audytor niezależny od prowadzenia badanego obszaru. Jeżeli audyt realizuje EFIGO, rozdzielamy zespół prowadzący SZBI od zespołu audytowego i dokumentujemy bezstronność oceny. Jeśli wymagacie pełnego rozdzielenia dostawców, powiemy to wprost przed podpisaniem umowy.
Tak. Dla struktur z kilkoma spółkami lub lokalizacjami ustalamy, czy system jest jeden, czy kilka powiązanych, kto raportuje do którego zarządu i jak wygląda wspólny obraz ryzyka. To ustalenie z pierwszej rozmowy, bo wpływa na kształt całej współpracy.
Podczas pierwszej rozmowy ustalamy procesy krytyczne, strukturę odpowiedzialności, technologię, wymagania sektorowe i najważniejsze zależności. Na tej podstawie przedstawiamy zakres funkcji, model ciągłości, rezultaty i harmonogram.
PL 
EN