Dowód zgodności – jak wykazać, że system bezpieczeństwa naprawdę działa

W realiach dyrektywy unijnej i ustawy o krajowym systemie cyberbezpieczeństwa trzeba odejść od myślenia o zgodności jako zbiorze dokumentów przechowywanych np. w repozytorium plików. Ważniejsza jest zdolność wykazania, że przyjęte rozwiązania rzeczywiście funkcjonują, są stosowane w praktyce oraz podlegają bieżącej ocenie i doskonaleniu.

adwokat i wspólnik w Krzysztof Rożko i Wspólnicy Kancelaria Prawna

prawnik, ekspert ds. cyberbezpieczeństwa w Kancelarii Krzysztof Rożko i Wspólnicy

W zakresie zarządzania ryzykiem związanym z ICT (tj. związanym z wykorzystaniem technologii informacyjno-komunikacyjnych) wiele organizacji skupiało się dotychczas przede wszystkim na opracowywaniu stosownych polityk i procedur. Według tego podejścia dokumentacja miała stanowić podstawowy miernik dojrzałości systemu zarządzania bezpieczeństwem informacji, a przygotowanie obszernego zestawu procedur często (błędnie) postrzegano jako synonim zgodności z wymaganiami regulacyjnymi.

Wejście w życie dyrektywy 2022/2555 w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium UE (NIS2) oraz nowelizacji ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (ustawa o KSC) powinno ostatecznie zmienić podejście do compliance. Dzisiaj nie ma wątpliwości, że samo posiadanie dokumentów nie jest wystarczające. Organ nadzoru, który będzie przeprowadzał kontrolę u podmiotu kluczowego lub ważnego, będzie oczekiwał odpowiedzi na znacznie ważniejsze pytanie: czy przyjęte środki bezpieczeństwa rzeczywiście funkcjonują w praktyce oraz czy organizacja potrafi to wykazać na podstawie obiektywnych dowodów?

To właśnie dlatego coraz głośniej należy mówić o koncepcji evidence-based...