Czy zarząd powinien dostawać raporty o cyberbezpieczeństwie od IT, czy z zewnątrz?

Od obu, w różnych celach. Wewnętrzne raporty IT lub właściciela bezpieczeństwa dają regularny obraz: wskaźniki, otwarte sprawy i potrzebne decyzje. Niezależne spojrzenie, od audytora, z testu penetracyjnego lub od zewnętrznego doradcy, co rok lub dwa sprawdza, czy ten obraz jest prawdziwy. Opieranie się tylko na raportach wewnętrznych oznacza, że odpowiedzialni sami oceniają swoją pracę; tylko na zewnętrznych zostawia długie przerwy między migawkami. Warto poprosić obie strony o te same kilka wskaźników, żeby dało się porównać ich wnioski. Gdzie to możliwe, zarząd powinien widzieć też surowe dowody, na przykład raport z alertami, a nie tylko slajdy. Raporty NetSenX pochodzą z ruchu własnej sieci, więc mogą wspierać oba rodzaje przeglądu, ale obejmują tylko to, co obserwują jego sensory.

Informacja ogólna, nie porada prawna. Przepisy krajowe mogą uzupełniać cytowane tu akty UE, na przykład o terminy, formularze czy kanały zgłoszeń: sprawdź przepisy swojego kraju.

← Wszystkie pytania (40): Dla zarządu i finansówWszystkie tematy