Majowa konferencja Atende Security Forum odbyła się już po raz czwarty. Wzięła w niej udział rekordowa liczba uczestników – prawie 200 przedstawicieli firm, zainteresowanych najnowszymi aspektami związanymi z cyberbezpieczeństwem przedsiębiorstw i instytucji, a także rozwiązaniami technologicznymi, które realnie wzmacniają odporność organizacji na ataki hakerskie.

Dla wszystkich prezentacji bardzo wyraźny był kontekst nowego spojrzenia na odpowiedzialność zarządów za bezpieczeństwo informatyczne przedsiębiorstw, które narzucają regulacje prawne: unijna dyrektywa NIS 2 – wdrożona na polskim gruncie prawnym przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa – i rozporządzenie DORA. To koniec końców osoby na szczytach organizacji ponoszą obecnie odpowiedzialność za ich odporność na próby ataków z zewnątrz oraz sprawność „podnoszenia się” z kryzysu, na wypadek, gdyby jednak atak się udał. Trzeba więc wzmocnić fundamenty, na których organizacje opierają swój wzrost o element, jakim jest cyberbezpieczeństwo.

Powyższe już na wstępie konferencji podkreślił wiceprezes zarządu Atende, Jacek Szczepański:

– Cyberbezpieczeństwo przestało już być domeną IT i stało się priorytetem zarządów z uwagi na to, że zmienia się również odpowiedzialność za wprowadzenie właściwej ochrony prowadzonych przez nich przedsiębiorstw. Zarządy odpowiadają obecnie nie tylko za wzrost wartości spółki, za marże, ale za stworzenie takiego środowiska, w którym te wzrosty  mogą być w sposób bezpieczny osiągane. Cyberbezpieczeństwo dobrze wdrożone ma napędzać wzrost organizacji, bez tworzenia barier.

W debacie poprowadzonej przez Magdalenę Dowgalec, radcę prawnego Atende, rozwinięto powyższy wątek. Z dyskusji uczestników debaty wynika, że kluczem do sukcesu jest tutaj zmiana dotychczasowego podejścia do kwestii zgodności z regulacjami prawnymi wymuszającymi stosowanie odpowiednich cyberzabezpieczeń w przedsiębiorstwie. A mianowicie należy przestać skupiać się wyłącznie na sprawach formalnych (audyty wykazujące odporność „na papierze” już nie wystarczą), a należy uczynić z cyberbezpieczeństwa element kultury, rozwoju i wzrostu organizacji. Przesunięcie tych akcentów w praktyce  nie jest łatwe.

DORA i NIS nie mówią tylko o technologiach – podkreślili goście Magdaleny Dowgalec. Sygnał dla organizacji jest następujący: przestańcie pytać o zabezpieczenia, a zacznijcie pytać o zdolność działania pod presją, gdy wystąpi udany atak. Stąd tak ważne są procedury, mapa procesów krytycznych, a także odporność psychiczna pracowników, dzięki dobrze zorganizowanemu wsparciu ze strony firmy również na tej płaszczyźnie. 

– Prawdziwa odporność ujawnia się nie wtedy, kiedy sytuacja jest stabilna, ona ujawnia się wtedy, gdy trzeba podjąć decyzję szybko, bez pełnych danych – powiedziała Katarzyna Piasecka, CEO, CyberShieldON.

Ekspertka wyjaśniła także, dlaczego NIS 2 i DORA tak mocno przesunęły akcenty na odpowiedzialność zarządów za cyberbezpieczeństwo organizacji:

– Cyberbezpieczeństwo dzisiaj jest domeną przywódczą. Dotychczas zarządy otrzymywały tylko raporty o ryzyku. Dziś regulator oczekuje tego, żeby zarząd te raporty rozumiał i w oparciu o nie umiał podejmować decyzje.

Ważne jest także, aby zarządy patrzyły na cyberryzyko w szerszym obrazie – łańcucha dostaw.

– Usługi, narzędzia – nawet jeśli przychodzą z zewnątrz – to odpowiedzialność za zawiązane z tym ryzyko będzie również po stronie ich odbiorcy. Umowa outsourcingu tej odpowiedzialności z niego nie zdejmuje –  zaakcentował  Kamil Konieczki, Cyber Security Consultant, PBSG S.A.

Jak wobec tego rozmawiać z zarządami i kto powinien to robić? Z debaty moderowanej przez Karola Kija, dyrektora Działu Rozwiązań Cyberbezpieństwa w Atende, wynika, że zarządy jeszcze ciągle nie są świadome swojej kluczowej roli w budowaniu cyberodporności we własnych organizacjach.