Cyberbezpieczeństwo bywa traktowane jako zadanie działu IT. W firmie pracującej dla sektora obronnego to zbyt wąskie podejście: bezpieczeństwo informacji obejmuje cały sposób, w jaki organizacja otrzymuje, wykorzystuje, przechowuje i przekazuje dane.
Technologia to jeden element
Zapora sieciowa, kopie zapasowe i ochrona stacji roboczych są ważne. Równie istotne są uprawnienia użytkowników, procedury dostępu, szkolenia, obsługa incydentów, dostawcy, urządzenia mobilne, praca zdalna, obieg dokumentacji i fizyczny dostęp do pomieszczeń.
Najsłabszym elementem może być proces
Firma może mieć dobre narzędzia, a jednocześnie nie kontrolować przekazywania danych podwykonawcom albo nie mieć procedury odebrania dostępu osobie, która odchodzi z organizacji.
Trzy różne zagadnienia
Informacje niejawne, tajemnica przedsiębiorstwa i system zarządzania bezpieczeństwem informacji (np. ISO/IEC 27001) podlegają różnym zasadom. Warto je rozróżniać już na etapie planowania.
Zarząd musi rozumieć ryzyko
Bezpieczeństwo informacji wpływa na zdolność zdobycia projektu, ciągłość działania, odpowiedzialność kontraktową i reputację. Dlatego powinno być omawiane na poziomie zarządu.
