Czy ryzyko cyber powinno trafić do rejestru ryzyk firmy?
Tak, zapisane jako ryzyka biznesowe, a nie jedna techniczna pozycja. Każde ryzyko warto opisać językiem zarządu: produkcja zatrzymana przez ransomware, kradzież danych klientów, oszustwo płatnicze, włamanie u kluczowego dostawcy, kara za przekroczony termin zgłoszenia. Przy każdym: prawdopodobny skutek, istniejące zabezpieczenia, właściciel i to, czego wciąż brakuje. Dzięki temu ryzyko cyber da się porównać z innymi przy ustalaniu budżetu, a audytorzy i ubezpieczyciele dostają czytelny ślad. Rejestr warto przeglądać co najmniej raz w roku i po każdym poważnym incydencie. NIS2NIS2: druga unijna dyrektywa w sprawie bezpieczeństwa sieci i informacji. Unijne prawo o cyberbezpieczeństwie (dyrektywa (UE) 2022/2555), które nakłada na wiele firm obowiązki bezpieczeństwa i zgłaszania incydentów. oczekuje, że podmioty objęte dyrektywą oprą swoje środki na analizie ryzyka, a ISO/IEC 27001 jest na niej zbudowana. NetSenX nie prowadzi rejestru ryzyk; dostarcza dowody dla zapisanych w nim środków wykrywania.
Informacja ogólna, nie porada prawna. Przepisy krajowe mogą uzupełniać cytowane tu akty UE, na przykład o terminy, formularze czy kanały zgłoszeń: sprawdź przepisy swojego kraju.
Czytaj dalej
Powiązane pytania
- Jak zarząd powinien zatwierdzać budżet na cyberbezpieczeństwo?
- Czym różni się alert bezpieczeństwa od incydentu?
- Jak cyberincydent wpływa na sprzedaż firmy?
- Czym jest apetyt na ryzyko cyber i dlaczego zarząd powinien go określić?
- Czy zarząd powinien dostawać raporty o cyberbezpieczeństwie od IT, czy z zewnątrz?
Pojęcia użyte tutaj
- NIS2 (druga unijna dyrektywa w sprawie bezpieczeństwa sieci i informacji)
- Unijne prawo o cyberbezpieczeństwie (dyrektywa (UE) 2022/2555), które nakłada na wiele firm obowiązki bezpieczeństwa i zgłaszania incydentów.
← Wszystkie pytania (40): Dla zarządu i finansówWszystkie tematy