Prawa i przepisy regulujące bezpieczeństwo cybernetyczne

Definicja bezpieczeństwa organizacyjnego, a w szczególności zakotwiczenie bezpieczeństwa cybernetycznego lub teleinformatycznego w już funkcjonujących strukturach organizacji, ma bardzo istotne znaczenie dla potencjalnego zarządzania zagrożeniami lub atakami cybernetycznymi.

Kwestia bezpieczeństwa powinna być rozpatrywana na poziomie operacyjnym, taktycznym i strategicznym w organizacji z perspektywy jej kierownictwa.

Z punktu widzenia bezpieczeństwa ważne jest, aby jednostka (dział) zajmująca się bezpieczeństwem cybernetycznym była oddzielona od jednostki (działu), która zapewnia funkcjonowanie technologii informacyjno-komunikacyjnych. [1]

Przykład: autor spotkał się z administratorem sieci, który został zobowiązany przez pracodawcę do objęcia stanowiska kierownika ds. bezpieczeństwa. W praktyce oznaczałoby to, że
administrator opracowywałby wytyczne, których należałoby przestrzegać, a także samodzielnie sprawdzałby je i egzekwował. Absurdalność tej sytuacji jest
widoczna na pierwszy rzut oka.

Bezpieczeństwo organizacyjne z założenia polega na tym, że wyznaczone podmioty stosują system zarządzania bezpieczeństwem informacji, aby:

Role bezpieczeństwa to:

·      Kierownik ds. bezpieczeństwa cybernetycznego,

·      Architekt ds. bezpieczeństwa cybernetycznego,

·      Poręczyciel majątkowy,

·      Audytor bezpieczeństwa cybernetycznego:

Aby przypisać i wyświetlić (w tabeli) obowiązki poszczególnych osób (role bezpieczeństwa wg VoKB) w organizacji, należy zastosować macierz odpowiedzialności RACI (matryca RACI). RACI to akronim złożony z początkowych liter słów:

R - Odpowiedzialny	kto jest odpowiedzialny za wykonanie zadania (czynności)
A - Odpowiedzialność (lub zatwierdzający)	kto jest odpowiedzialny za całe zadanie lub za zapewnienie, że proces jest realizowany zgodnie z wcześniej ustalonymi zasadami
C - konsultowany	który może udzielać cennych rad lub konsultacji w zakresie zadania, ale nie bierze odpowiedzialności za wykonanie procesu
I - poinformowany	kto ma być informowany o postępach w realizacji zadania lub decyzjach dotyczących zadania

Zasadą jest, że tylko jedna osoba ponosi ogólną odpowiedzialność (A - Accountability) za dane zadanie; liczba zaangażowanych osób (R - Responsibility) powinna być odpowiednia do zadania. Metoda RACI jest prostą formą modelu kompetencji. [2]

Rysunek: matryca RACI [3]