Dyrektor nie musi znać konfiguracji firewalla, aby sensownie nadzorować cyberbezpieczeństwo. Potrzebuje pytań, na które można odpowiedzieć konkretnym wykazem, wynikiem testu lub wskazaniem osoby odpowiedzialnej. Dzięki temu rozmowa z IT kończy się ustaleniami przydatnymi do decyzji.
Poniższa lista nadaje się na pierwsze spotkanie z własnym administratorem albo zewnętrzną firmą. Warto wysłać ją wcześniej, dając czas na przygotowanie danych. Celem rozmowy jest rozpoznanie sytuacji i ułożenie planu prac. Odpowiedź „tego jeszcze nie wiemy” też jest użyteczna, jeśli prowadzi do zadania z terminem.
1. Które usługi muszą działać, żeby organizacja mogła pracować
Poproś o krótką listę usług i ich zależności: poczty, finansów, obsługi klientów, produkcji, sprzedaży lub udostępniania dokumentów. Dla każdej wskaż właściciela po stronie organizacji.
Przydatny dowód: mapa usługa–system–dostawca–właściciel. Pytanie uzupełniające: która usługa jest najbardziej wrażliwa na przerwę i jak długo możemy pracować bez niej?
Jeżeli odpowiedź obejmuje wyłącznie serwery, dołącz do rozmowy osoby korzystające z aplikacji. Technicznie sprawny serwer nie oznacza, że pracownik może wykonać potrzebną czynność.
2. Kto podejmuje działanie, gdy konkretna usługa przestaje działać
Ustal główny kontakt, zastępstwo i wykonawców poszczególnych części. Przy usłudze chmurowej może być potrzebna współpraca dostawcy aplikacji, firmy IT i operatora łącza.
Przydatny dowód: aktualna ścieżka eskalacji i przykład obsłużonego zgłoszenia. Pytanie uzupełniające: kto koordynuje sprawę, kiedy dostawcy wskazują na siebie nawzajem?
Zapis „zgłaszamy do informatyka” wymaga rozwinięcia o kanał, godziny dostępności i sposób potwierdzenia przyjęcia. Przetestujcie numer telefonu lub adres zgłoszeń w uzgodnionym terminie.
3. Kto ma uprawnienia administracyjne i dlaczego
Uprawnienia pozwalające zmieniać konfigurację lub dostęp innych osób powinny mieć właściciela i uzasadnienie. Poproś o rozdzielenie kont osobowych, technicznych i kont dostawców.
Przydatny dowód: wykaz kont uprzywilejowanych z datą ostatniego przeglądu. Pytanie uzupełniające: jak odzyskamy dostęp, jeżeli jedyny administrator będzie niedostępny?
Nie proś o przesyłanie haseł w zwykłym e-mailu. Potrzebujesz potwierdzenia procesu i zabezpieczonej możliwości odzyskania dostępu. Warto też sprawdzić, gdzie działa uwierzytelnianie wieloskładnikowe, czyli MFA, i jakie wyjątki pozostają otwarte.
4. Co dzieje się z dostępem po odejściu pracownika
Zapytaj o cały proces: kto zgłasza zmianę, w jakim terminie administrator ją wykonuje i jak potwierdza zakończenie. Uwzględnij pocztę, aplikacje zewnętrzne, VPN oraz dostęp do urządzeń i wspólnych zasobów.
Przydatny dowód: przykład zamkniętego zgłoszenia z listą systemów. Pytanie uzupełniające: czy proces obejmuje również zmianę stanowiska, zakończenie współpracy z wykonawcą i konta poza centralnym katalogiem?
Jeżeli nie ma spójnej listy aplikacji, najpierw trzeba ją uzupełnić. Bez niej łatwo odebrać dostęp do poczty, pozostawiając aktywne konto w ważnej usłudze internetowej.
5. Czy wszystkie uzgodnione urządzenia mają działającą ochronę
Sama liczba kupionych licencji nie pokazuje stanu ochrony. Porównaj listę urządzeń z konsolą bezpieczeństwa. Sprawdź urządzenia nieaktywne, brak ostatniego kontaktu i przypadki, w których oprogramowanie ochronne jest wyłączone.
Przydatny dowód: zestawienie z mianownikiem, np. liczba urządzeń raportujących na liczbę urządzeń w uzgodnionym zakresie. Pytanie uzupełniające: jak identyfikujemy sprzęt, którego nie ma w konsoli?
Urządzenie wyłączone na czas urlopu i urządzenie bez ochrony wymagają różnej oceny. Raport powinien rozróżniać te stany oraz wskazywać niewyjaśnione braki.
6. Które aktualizacje i podatności czekają na usunięcie
Poproś o listę istotnych zaległości wraz ze znaczeniem systemu, planem działania i powodem odłożenia. Sama liczba podatności nie wskazuje, które z nich realnie zagrażają najważniejszej usłudze.
Przydatny dowód: rejestr priorytetów z właścicielem i wynikiem ponownej weryfikacji. Pytanie uzupełniające: jakie zabezpieczenie tymczasowe stosujemy, gdy poprawki nie można jeszcze zainstalować?
Nie każdy problem usuwa aktualizacja. Czasem potrzebne są zmiana konfiguracji, ograniczenie dostępu albo wymiana niewspieranego produktu. Taka decyzja powinna być widoczna w planie kosztów.
7. Co dokładnie obejmują kopie zapasowe
Poproś o wskazanie danych, aplikacji, konfiguracji i usług objętych kopiami. Ustal częstotliwość, miejsce przechowywania, zasady dostępu oraz ochronę przed usunięciem przez przejęte konto.
Przydatny dowód: aktualny zakres backupu powiązany z listą ważnych usług. Pytanie uzupełniające: co pozostaje poza kopiami i kto zaakceptował ten zakres?
Synchronizacja plików, kosz i historia wersji mogą być pomocne. Trzeba jednak sprawdzić, jakie sytuacje obsługują oraz czy wystarczą do uzgodnionego odtworzenia. Odpowiedź zależy od konkretnej usługi.
8. Kiedy ostatnio odtworzyliśmy ważną usługę
Zapytaj o faktyczny rezultat, czas próby i osobę, która potwierdziła działanie. Odtworzenie pliku i uruchomienie całej aplikacji to różne testy.
Przydatny dowód: protokół z datą kopii, zakresem, czasem odzyskania i wynikiem testu użytkownika. Pytanie uzupełniające: które problemy wykryte podczas próby nadal są otwarte?
Jeżeli takiego testu nie było, uzgodnijcie go w oddzielnym środowisku. To zadanie wymaga przygotowania; nie należy sprawdzać możliwości odzyskania przez nieplanowane wyłączenie produkcji.
9. Kto odbiera alarm bezpieczeństwa wieczorem lub w weekend
Rozdziel automatyczne działanie systemu od czasu pracy specjalistów. Sprawdź, czy ktoś ma dyżur, jaki kanał jest używany i jakie czynności wolno podjąć bez dodatkowej zgody.
Przydatny dowód: harmonogram obsługi, procedura eskalacji i wynik próbnego powiadomienia. Pytanie uzupełniające: co dzieje się, gdy pierwszy odbiorca nie potwierdzi przyjęcia?
Warunki zapisane w umowie powinny odpowiadać temu, czego oczekuje kierownictwo. Hasło „monitoring 24/7” wymaga doprecyzowania, czy obejmuje zbieranie danych, alarmowanie, analizę człowieka czy wszystkie te elementy.
10. Czego obecnie nie widzimy w monitoringu
To jedno z najważniejszych pytań. Poproś o źródła niepodłączone, integracje z błędami, opóźnienia oraz dane niedostępne z powodu uprawnień lub licencji.
Przydatny dowód: mapa pokrycia i stan ostatniego kontaktu każdego źródła. Pytanie uzupełniające: czy przerwa w dostarczaniu logów wywoła osobne zgłoszenie?
Brak alarmów jest łatwy do pokazania. Trudniejsze, ale potrzebne, jest potwierdzenie, że system miał dane pozwalające zauważyć problem.
Jak zamienić rozmowę w plan działań
Przy każdej odpowiedzi zapisz stan, odnośnik do materiału, brakującą informację, wykonawcę i termin. Nie sumuj odpowiedzi w automatyczny „procent zgodności”. Dziesięć pytań pomaga organizować nadzór, lecz nie zastępuje oceny wszystkich właściwych wymagań.
| Ustalenie modelowe | Następna czynność | Kto odbiera wynik |
|---|---|---|
| Brak testu aplikacji finansowej | Uzgodnić i wykonać izolowane odtworzenie | Właściciel usługi finansowej |
| Nieznany zakres kont dostawców | Zebrać konta, uprawnienia i uzasadnienia | Osoba zatwierdzająca dostęp |
| Trzy źródła nie przesyłają danych | Wyjaśnić stan i sprawdzić alarm o przerwie | Osoba nadzorująca monitoring |
Jak DataOne może wesprzeć tę rozmowę
Możemy pomóc przełożyć odpowiedzi administratorów na zakres monitoringu, listę integracji i czytelne informacje dla kierownictwa. Z obecnym IT ustalimy, które czynności wykonuje DataOne, które pozostają po stronie dostawców i co wymaga dodatkowych prac.
Umów rozmowę o zakresie opieki DataOne Cyber. Wystarczy zacząć od pytań, na które dziś nie potraficie odpowiedzieć. Na ich podstawie ustalimy sensowny pierwszy krok.