Zaplecze informatyczne ma za zadanie wspierać rozwój biznesu, zamiast generować wyzwania, których źródłem jest infrastruktura IT. Jednak w praktyce trudno znaleźć przedsiębiorstwo, które nie doświadcza tego typu problemów i nie traci na ich rozwiązywanie cennego czasu. To ostatecznie znajduje swoje odzwierciedlenie w ponoszonych kosztach i opóźnieniach w osiąganiu celów biznesowych.

Chaos technologiczny: łatwo popaść…

W początkowych fazach rozwoju firmy najczęściej działają w jednorodnym środowisku IT, zdominowanym przez architekturę PC i systemy operacyjne Windows. Wraz ze wzrostem przedsiębiorstwa struktura organizacji staje się bardziej skomplikowana, chociażby ze względu na większą liczbę działów i zatrudnionych osób, z których część pracuje hybrydowo. To dobry moment na zmianę podejścia do rozwiązań IT w firmie. Te nie mogą już być tylko odpowiedzią na doraźne potrzeby poszczególnych departamentów lub pracowników. Należy je postrzegać jako integralne elementy spójnej firmowej architektury i pod tym kątem planować ich zakup. W przeciwnym razie przedsiębiorstwo wykona swój pierwszy krok na drodze chaosu technologicznego.

… trudno opanować

Wdrażanie nowych systemów i narzędzi IT bez uprzedniego przeprowadzenia profesjonalnej analizy, która dostarcza pełnej wiedzy o procesach w organizacji, utrudnia ich płynną integrację. Listę katalizatorów chaosu technologicznego w firmach powiększyły obecnie sztuczna inteligencja oraz wzrost cyberataków. Chęć korzystania z narzędzi AI, które mają wynieść konkurencyjność firmy na wyższy poziom, często powoduje, że są one stosowane w organizacjach w sposób nieskoordynowany, bez dogłębnej ich znajomości i odpowiedniego rozpoznania potencjalnych zagrożeń, które mogą generować. Przy czym większość firm ma już problemy z kontrolą zjawiska Shadow AI, nakładającego się na znane od dawna i ciągle niebezpieczne zjawisko Shadow IT.

Z kolei nowe obowiązki firm wynikające z nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa czy z rozporządzenia DORA definitywnie kończą erę podejścia deklaratywnego do bezpieczeństwa IT. Obecnie regulator wymaga podejścia proaktywnego i dowodowego, w którym każda decyzja, proces i aktywność związana z zabezpieczeniem organizacji przed cyberatakami pozostawia mierzalny ślad.

Warto podkreślić, że nowe przepisy prawne nie dotyczą wyłącznie dużych przedsiębiorstw o kluczowym znaczeniu, ale też mniejszych podmiotów, należących do ich łańcucha dostaw. W obliczu kar finansowych grożących za niedopełnienie obowiązków, zarządy firm mogą podejmować paniczne, nieprzemyślane decyzje zakupowe, na przykład kupować odizolowane, punktowe narzędzia z obszaru IT Security od różnych dostawców, kierując się często ceną, bez wcześniej stworzonej szczegółowej koncepcji cyberochrony.

Tymczasem kary są drastycznie wysokie. W przypadku podmiotu kluczowego mogą sięgać nawet 10 mln euro lub 2 proc. przychodów osiągniętych przez ów podmiot z działalności gospodarczej w roku obrotowym poprzedzającym wymierzenie kary (przy czym zastosowanie ma kwota wyższa). Natomiast dla podmiotu określanego w KSC jako podmiot ważny kara może wynosić 7 mln euro lub 1,4 proc. przychodów osiągniętych z działalności gospodarczej w roku obrotowym poprzedzającym jej wymierzenie.

Ustawa o Krajowym Systemie Cyberbezpieczeństwa przewiduje też osobistą odpowiedzialność majątkową członków zarządu danego podmiotu. W przypadku publicznego podmiotu właściwa osoba może ponieść karę do 100 proc. otrzymywanego wynagrodzenia, natomiast w przypadku podmiotu prywatnego – w kwocie do 300 proc. wynagrodzenia. KSC przewiduje także wysokie kary okresowe w celu przymuszenia podmiotu do wykonania nałożonych na niego obowiązków. Każdy dzień opóźnienia może kosztować od 500 do 100 tys. złotych. Warto też wspomnieć o karze ekstraordynaryjnej (maks. 100 mln zł) – stosowanej np. przy naruszeniach, których skutkiem jest bezpośrednie zagrożenie bezpieczeństwa państwa, życia i zdrowia obywateli.