Az IBF szerepe

Az információbiztonsági felelős (IBF) a szervezet elektronikus információs rendszereinek védelmét és kiberbiztonsági folyamatainak működését koordináló, kijelölt szakember. Összefogja a kockázatkezelési, szabályozási és incidenskezelési feladatokat, támogatja a vezetői döntéshozatalt, valamint kapcsolatot tart a hatósággal, az incidenskezelő központtal és az auditorral. Az IBF feladata, hogy az információbiztonsági követelmények a mindennapi működésben is érvényesüljenek. Ennek részeként támogatja a kockázatok feltárását és kezelését, gondoskodik a biztonsági szabályzatok naprakészségéről, és nyomon követi a szükséges intézkedések megvalósítását. A szerepkör belső munkatárssal vagy külső szakértő bevonásával is betölthető. Cégünk kiszervezett IBF szolgáltatásában név szerint kijelölhető, minősített szakértő támogatja szervezetét, szakmai csapatra és helyettesítési háttérre támaszkodva.

Kötelezettség hatálya

Az IBF kijelölése a kiberbiztonsági törvény hatálya alá tartozó szervezetek kötelezettsége. A kiemelten kockázatos és kockázatos ágazatokban működő vállalkozásoknál az érintettség megállapításának fontos szempontja az 50 főt elérő foglalkoztatotti létszám vagy a 10 millió eurónak megfelelő forintösszeget meghaladó éves nettó árbevétel. Bizonyos szolgáltatókra mérettől függetlenül vonatkoznak az előírások. A pontos érintettséget a tevékenység és a jogszabályi feltételek alapján egyedileg vizsgáljuk.

Kockázatok, ha nincs IBF

A kijelölt információbiztonsági felelős hiánya a kötelezett szervezeteknél megfelelési hiányosságot jelent és a napi működésben is kockázatot teremt. Egyértelmű szakmai koordináció nélkül nehezebb követni a biztonsági intézkedéseket, kezelni az incidenseket és igazolni a követelmények teljesítését.

Szolgáltatás tartalma

Kiszervezett IBF szolgáltatásunkkal folyamatos szakértői támogatást kap az információbiztonsági feladatok irányításához, így vezetése és belső IT-csapata több figyelmet fordíthat az üzleti működésre. Segítünk a követelményeket átlátható feladatokká, a feltárt kockázatokat pedig követhető intézkedési tervekké alakítani. A szabályzatok naprakészen tartásától az incidenskezelés támogatásán át az auditokra való felkészülésig összehangoljuk a szükséges teendőket és rendszeres vezetői riportokkal támogatjuk a megalapozott döntéseket. Minősített szakértői és helyettesítési hátterünk révén a feladatellátás folytonosságát is biztosítjuk, teljes állású információbiztonsági szakember alkalmazása nélkül. A pontos feladatkört szervezete működéséhez, érettségéhez és szabályozási kötelezettségeihez igazítjuk, hogy a szolgáltatás a megfelelés mellett a mindennapi működés biztonságát is erősítse. Együttműködésünk az alábbi területekre terjedhet ki.

Belső vagy kiszervezett IBF

Az információbiztonsági felelős szerepkörének kialakítása hosszú távú működési döntés. Olyan szakmai hátteret érdemes választani, amely a napi feladatok mellett a változó követelmények követését, az auditokra való felkészülést és a váratlan biztonsági események kezelését is támogatja. A belső IBF előnye a közvetlen szervezeti jelenlét és a vállalati folyamatok részletes ismerete, míg a kiszervezett modell több szakterület tapasztalatát, független szakmai kontrollt és szervezett helyettesítési hátteret biztosíthat. A választásnál a munkabéren vagy a szolgáltatási díjon túl a toborzás, a továbbképzés, a rendelkezésre állás és a feladatellátás folytonosságának költségeit is érdemes figyelembe venni. Mindkét megoldás lehet megfelelő, a döntést szervezete mérete, kockázatai, belső kapacitása és elvárt támogatási igénye alapján célszerű meghozni.

Cégünk szakmai előnyei

Az IBF feladatokat CISA és CISM minősítéssel rendelkező szakértői háttérrel, Big4 módszertani tapasztalatra építve látjuk el. A kijelölt IBF mögött helyettesíthető csapat áll, az elkészített dokumentumokat négy szem elv szerint ellenőrizzük, munkánkat pedig szakmai felelősségbiztosítás támogatja. Ügyfeleink így egy kijelölt kapcsolattartón keresztül több szakterület tudásához férhetnek hozzá, miközben a feladatellátás folytonosságát szervezett szakmai háttér segíti. Az együttműködés során megismerjük vállalata működését, üzleti prioritásait és meglévő informatikai környezetét, hogy a javasolt intézkedések a gyakorlatban is megvalósíthatók legyenek.

Nem elszigetelt megfelelőségi feladatként kezeljük az IBF szerepet. Összekapcsoljuk a vezetői döntéshozatalt, a szabályozást, a kockázatkezelést, az auditot és a technikai megvalósítást, hogy a dokumentált megfelelés a szervezet tényleges biztonságát is erősítse. A feltárt hiányosságokat kockázati és üzleti jelentőségük alapján rangsoroljuk, majd követhető feladatokká és intézkedési tervekké alakítjuk. Ezzel segítjük, hogy a rendelkezésre álló erőforrások a vállalat számára legfontosabb biztonsági célokat szolgálják.

A vezetés számára érthető, döntést támogató tájékoztatást adunk a nyitott kockázatokról, az intézkedések előrehaladásáról és a szükséges következő lépésekről. A belső IT-csapattal és a szolgáltatókkal együttműködve összehangoljuk a szakmai teendőket, az auditok előkészítésekor pedig segítünk rendezett, áttekinthető dokumentációval alátámasztani az elvégzett munkát. Így a megfelelés fenntartása tervezhető folyamattá válhat, amelybe a szervezet érintett munkatársai egyértelmű feladatmegosztással kapcsolódhatnak be.

Cégünkkel olyan szakmai partnerre támaszkodhat, aki a követelmények értelmezésétől a megvalósítás követéséig támogatja vállalatát. A szolgáltatás hatókörét az aktuális igényekhez igazítjuk, és szükség esetén a kapcsolódó felkészítési vagy technikai biztonsági feladatokat is bevonjuk az együttműködésbe. Célunk, hogy a vezetés átlássa szervezete információbiztonsági helyzetét, a belső csapat pedig használható szakmai támogatást kapjon a mindennapi feladatokhoz.

Hogyan indul az együttműködés?

Ügyféladatok védelme

Információbiztonsági szolgáltatóként saját működésünkben is következetesen alkalmazzuk azokat az alapelveket, amelyeket ügyfeleinknek javaslunk. Az IBF feladatok során megismert rendszerinformációk, kockázatelemzések és belső szabályzatok érzékeny üzleti tartalmat hordozhatnak, ezért kezelésük az együttműködés lényeges része. Már az induláskor egyeztetjük, milyen információkra van szükségünk, kik vesznek részt a munkában és milyen szabályok mentén történik az anyagok kezelése és átadása. Az alábbi alapelvek segítik az átlátható, kontrollált szakmai együttműködést.

Gyakori kérdések

Hogyan állapítható meg, hogy szervezetünknek kötelező-e IBF-et kijelölnie?

Az érintettséget a szervezet tevékenysége, mérete és a rá vonatkozó jogszabályi feltételek alapján kell megállapítani. Egyes szolgáltatókra mérettől függetlenül vonatkozhatnak az előírások, ezért az ágazati besorolás önmagában nem elegendő. Az előzetes konzultáción áttekintjük a releváns adatokat és segítünk tisztázni a szükséges következő lépéseket.

Lehet külső szolgáltató a szervezet információbiztonsági felelőse?

Igen. A magyar kiberbiztonsági szabályozás lehetővé teszi a feladat ellátását külső személlyel kötött megállapodás alapján. Ebben az esetben is meg kell nevezni a feladatokat ténylegesen ellátó természetes személyt, és teljesíteni kell a rá vonatkozó alkalmassági, kijelölési és bejelentési követelményeket. A szolgáltatás indulásakor támogatjuk a szükséges dokumentumok és bejelentés előkészítését.

Mi a különbség az IBF és a NIS2-felkészítés között?

A NIS2-felkészítés jellemzően egy meghatározott célú projekt: feltárja a hiányosságokat és támogatja a szükséges intézkedések bevezetését. Az IBF folyamatos szerepkör, amely koordinálja és nyomon követi a kapcsolódó szabályozási, kockázatkezelési, incidenskezelési és riportálási feladatokat. A két szolgáltatás összekapcsolható, így a felkészülés során kialakított folyamatok fenntartása is szakmai támogatást kap.

Kiváltja a kiszervezett IBF a belső IT-csapatot?

Az IBF az információbiztonsági feladatok szakmai irányítását és koordinációját támogatja, együttműködve a belső IT-csapattal és a szolgáltatókkal. A rendszerek üzemeltetése, a technikai fejlesztések és az incidensek technikai elhárítása külön feladatkör. A szerződésben egyértelműen rögzítjük a feladatmegosztást; igény esetén kapcsolódó technikai biztonsági szolgáltatásokat is bevonhatunk.

Ki viseli a jogi felelősséget a megfelelésért?

A jogszabályi kötelezettségek teljesítéséért a szervezet és annak vezetése felel; ez a felelősség a kiszervezéssel nem szűnik meg. A kijelölt IBF a rá vonatkozó előírások és a szerződés szerinti feladatok ellátásával, rendszeres riportokkal és döntés-előkészítéssel támogatja a vezetést. Az együttműködés kezdetén rögzítjük a felelősségi kereteket és a szükséges belső közreműködést.

Mi történik kiberbiztonsági incidens esetén?

Az IBF támogatja az esemény értékelését, a kezelés koordinálását és dokumentálását, valamint a szükséges hatósági bejelentések előkészítését. Együttműködik a szervezet IT-csapatával, szolgáltatóival és az illetékes szervekkel. A technikai elhárítás feladatait, az elérhetőséget és a vállalt reakcióidőket a szolgáltatási megállapodásban rögzítjük, a szervezetre vonatkozó bejelentési határidők figyelembevételével.

Kapcsolható az IBF szolgáltatáshoz DORA- vagy ISO 27001-támogatás?

Igen. A szolgáltatás hatóköre kiegészíthető NIS2-, DORA- vagy ISO 27001-felkészítéssel, audit-támogatással és technikai biztonsági megoldásokkal. A kapcsolódó feladatokat a szervezet kötelezettségei és céljai alapján külön egyeztetjük. Az IBF szolgáltatás önmagában nem jelent tanúsítást vagy automatikus megfelelést valamennyi követelménynek.

Mi történik, ha a kijelölt szakértő nem elérhető?

A kijelölt IBF mögött helyettesítési és senior szakértői háttér áll, amely támogatja a feladatellátás folytonosságát. A helyettesítés rendjét, a kapcsolattartást és a sürgős feladatok kezelését az együttműködés keretei között rögzítjük. Ha a név szerint kijelölt személy változik, a szükséges kijelölési és bejelentési lépéseket is rendezni kell.

Mitől függ a kiszervezett IBF szolgáltatás díja?

A díjat a szervezet mérete, rendszereinek összetettsége, biztonsági érettsége és a vállalt feladatok hatóköre határozza meg. Figyelembe vesszük a szükséges szakértői kapacitást, a riportálási igényt és az esetleges kapcsolódó felkészítési projekteket is. Az előzetes konzultáció után egyedi ajánlatban rögzítjük a szolgáltatás tartalmát és díjazását.

Milyen közreműködés szükséges a szervezet részéről?

Szükség van egy belső kapcsolattartóra, a releváns rendszerinformációk és dokumentumok rendelkezésre bocsátására, valamint a vezetés részvételére a döntésekben és az intézkedési tervek jóváhagyásában. A belső IT-csapat és az üzleti területek közreműködése a feladatok megvalósításához is fontos. A felelősségi köröket és az egyeztetések rendjét induláskor közösen rögzítjük.

Milyen adatokhoz és rendszerekhez kérnek hozzáférést?

Csak a megállapodás szerinti feladatokhoz szükséges információkat és hozzáféréseket kérjük, az ügyféllel egyeztetett jogosultsági körrel. Ahol elegendő, dokumentumok és összefoglalók alapján dolgozunk. Az ügyfélanyagokat elkülönítve kezeljük, a titoktartási, megőrzési és átadási feltételeket pedig az együttműködés kezdetén rögzítjük.