Veľa firiem potrebuje zvýšiť svoju schopnosť odolať útoku kyberútočníka. No uvedomujete si, čo to znamená? Hovoríte, že budovanie odolnosti je finančne náročné? Áno aj nie. Je to určite náročné na čas a odhodlanie.

Bez financií to asi tiež nepôjde, ale začať sa dá rozhodne aj bez nich. Je tu pár domácich úloh a stoja „len“ čas a chuť sa do nich pustiť. A neverte ani tomu, že túto domácu úlohu za vás niekto urobí, aj keď vám to ponúka.

Najdôležitejšou je inventarizácia vašich aktív a procesov. Aktívum je niečo ako váš poklad. A keď neviete, čo chcete chrániť, dodávateľ vám to nepovie.

Ak sa však firma ocitne na pokraji svojej schopnosti niekam sa posunúť v budovaní kybernetickej ochrany, začne zvažovať, že si niekoho prizve, kto jej bude vedieť pomôcť.

Práve v tejto chvíli budete potrebovať určiť, čo je nevyhnutné obstarať a za akú cenu. Tu je niekoľko nutných podmienok a rád, ako uspieť a nestratiť veľa peňazí.

Aj týmito pravidlami viete zredukovať prepotrebné peniaze a navyše ich významne rozložiť v čase.

Budujte odolnosť, nie dokumentáciu

Nezačínajte obstaraním dokumentácie. Tá vás pred útokom nezachráni a ak nemáte postavenú kybernetickú obranu, nie je čo dokumentovať. Aj napriek tomu, že je veľa dodávateľov, ktorí by to ochotne urobili, dokumentácia má byť obrazom vášho stavu organizácie a nie iba víziou.

To je ako chcieť podrobný prevádzkový manuál k super autu, ktoré ešte neexistuje. Ak by ho niekto napísal, počas konštruovania auta ho musí tisíckrát upraviť a nakoniec bude pramálo podobný tomu na začiatku.

Cena nie je všetko

Nestanovujte ako jediné kritérium na výber odborných služieb cenu. Nie ste taký bohatý, aby ste si vedeli kupovať predražené neefektívne riešenia.

To je, ako keby ste si vyberali jedlo len na základe ceny. Je jedno, ako to chutí, hlavne, že je to najlacnejšie. To naozaj nechcete. Už to len vysvetliť kolegom pri obstarávaní.

Začnite s otázkou PREČO

Veľmi jasne identifikujte cieľ implementovaného opatrenia kybernetickej bezpečnosti. Aj vy, aj dodávateľ musíte rozumieť tomu, čo potrebujete dosiahnuť.

Často sa stretávam napríklad s tým, že firmy obstarávajú SIEM – technológiu bezpečnostného monitoringu siete, ale nevedia, čo a prečo budú monitorovať. A najmä vôbec neplánujú budovať schopnosť s touto informáciou niečo následne urobiť. Cieľom nie je mať SIEM, ale vedieť zasiahnuť proti útoku.

Dodávateľ pracuje pre nás a nie my pre dodávateľa

Nenechávajte dodávateľa bez vašej podpory. Ak dodávateľ pracuje sám a odovzdá vám „len“ výsledky svojej práce, nemusia napĺňať vaše ciele. Navyše si potrebujete výsledky dodávateľa osvojiť, prijať ich a zaradiť do svojho prostredia.

Často sa stáva, že práca dodávateľa zostane nedotknutá, bez pochopenia výsledkov a izolovaná od ostatného prostredia vo firme. V tom prípade prichádzate práve o tie peniaze, ktoré tak potrebujete ušetriť.

David Dvořák, audítor kybernetickej bezpečnosti