Prema istraživanju IBM-a pod nazivom „Cost of a Data Breach Report 2024“, prosječan globalni trošak povrede podataka doseže oko 4,88 milijuna dolara. I dok, naravno, taj iznos skalira ovisno o veličini tvrtke, odnosno korporacije, on jasno pokazuje da pitanje kibernetičke sigurnosti već neko vrijeme nije više pitanje samo budžeta za IT odjel.
To je ključno područje poslovanja i upravljanja poslovnim rizikom kojim se uprava svake tvrtke treba redovito baviti, te kontinuirano raditi na njegovu poboljšanju. Upravo zato im treba strukturiran pristup kojim će vodstvo tvrtke bolje razumjeti gdje su najveće prijetnje i koje mjere donose najbolji učinak.
Prema Agenciji za kibernetičku sigurnost Europske unije, upravo takvi novi regulatorni okviri prvi put definiraju odgovornost uprava i nadzornih odbora za upravljanje kibernetičkim rizicima. Ako NIS2 i slični zakonski okviri utječu na vaše poslovanje, pitanje kibernetičke sigurnosti je posljednjih godina postalo sve važnije i sve kompleksnije u vašem upravljanju tvrtkom.
Upravo u takvom kontekstu pojavljuje se vCISO – virtualni direktor informacijske sigurnosti. Riječ je o vanjskom, iskusnom stručnjaku koji preuzima stratešku ulogu upravljanja sigurnošću u organizaciji bez zapošljavanja na puno radno vrijeme.
Umjesto operativnog rada, vCISO fokusira se na savjetovanje uprave, postavljanje sigurnosnog okvira i upravljanje rizicima. Direktnije rečeno, možemo ga smatrati produženom rukom menadžmenta za sva pitanja o kibernetičkog sigurnosti organizacije.
Prednosti koje vCISO donosi organizaciji
Radi se o poziciji koja uvelike pomaže sa strukturiranjem sustava upravljanja rizicima – prvenstveno jer su s njim u vašem procesu upravljanja odgovornosti definirane, prioriteti jasno postavljeni, a odluke ćete moći temeljiti na podacima.
Još jedna vrijednost ovog vCISO modela je transparentnost. Odnosno, umjesto tehničkog žargona i fragmentiranih informacija koje biste potencijalno mogli dobiti od svog internog tima, a koje vam ne pomažu u vođenju posla jer zbog njih morate provesti još više vremena istražujući što one znače, vCISO menadžmentu daje jasan uvid u stanje sigurnosti.
To znači da vam taj vanjski stručnjak, sagledavajući cijelu sliku, konkretno odgovara na pitanja o tome gdje su najveći rizici, kolika je izloženost regulatornim sankcijama, koje investicije imaju najveći učinak i koliko je organizacija spremna na potencijalne incidente. Tako ćete moći donijeti informirane odluke i smanjiti potrebu za improvizacijom i „krpanjem“ privremenih rješenja.
Stoga nije ni čudo da se s angažmanom vCISO-a najčešće povezuju smanjenje troškova, brži početak rada i pristup spektru stručnosti. Osim toga, takav oblik suradnje dio je šireg trenda prelaska na „as-a-service“ modele u odnosu na interno zapošljavanje.
No to nije jedini razlog zašto se tvrtke sve češće odlučuju za ovaj model. Naime, podaci društva International Information System Security Certification Consortium ukazuju na nedostatak stručnjaka na svjetskoj razini, navodeći da globalno nedostaje oko četiri milijuna stručnjaka za kibernetičku sigurnost. U takvim okolnostima vCISO tvrtkama omogućuje pristup potrebnoj ekspertizi bez dugoročnih i visokih troškova.
Što je NIS2 direktiva Europske unije?
Osim sve učestalijih prijetnji, dodatan sloj kompleksnosti za upravljanje poslovanja predstavlja i sve stroža regulativa poput NIS2 direktive koja je morala stupiti na snagu do listopada 2024. godine, a u Hrvatskoj je to učinjeno i ranije – 15. veljače te godine.
Radi se o ključnoj direktivi Europske unije o kibernetičkoj sigurnosti koja dijeli subjekte koji joj podliježu na ključne i važne, a obuhvaća broj sektora na koje se odnosi, propisuje osjetno veće kazne za one koji ju prekrše i, dakako, strože zahtjeve za primjenu kibernetičke sigurnosti.
Provjerite koje sve sektore obuhvaća NIS2:
Osim sektora, NIS2 direktiva također je i kvantificirala obvezu usklađivanja s njenim odredbama, uz bitnu napomenu da veličina organizacije nije isključivi kriterij. Drugim riječima, ako su manje tvrtke od navedenih brojki procijenjene kao važne za nacionalnu ili javnu sigurnost, i na njih se odnosi direktiva.
Tako se kod ključnih subjekata fokusira na one koji broje više od 250 zaposlenih, imaju godišnji prihod iznad 50 milijuna eura i imovinu veću od 43 milijuna eura. Za važne subjekte, te brojke su nešto niže: više od 50 zaposlenih ili godišnji prihod iznad deset milijuna eura.
Struktura, transparentnost i kvantifikacija sigurnosti
Dakle, vCISO pomaže organizacijama s usklađivanjem direktivama i zakonodavstvu, transparentno komuniciraju sve probleme i dostupne opcije upravi te kvantificiraju sigurnost, zahvaljujući čemu vodeći ljudi organizacije u svakom trenutku mogu pratiti napredak, identificirati slabosti i razumjeti učinak poduzetih mjera.
Upravo zato je A1 Hrvatska razvila vCISO uslugu kao dio šireg paketa usluga u domeni kibernetičke sigurnosti. U digitalnoj ekonomiji, gdje se inovacije događaju brzo, a rizici rastu paralelno s njima, takva usluga pružit će vam sposobnost sigurnog upravljanja promjena, što zapravo postaje ključna konkurentska prednost na tržištu.
