Zaczynam od sprawdzenia, jak wygląda bezpieczeństwo w danej organizacji, nie od sprzedaży gotowego rozwiązania. Rozmawiam z zespołem IT, sprawdzam dokumentację, procesy i to, jak wygląda codzienna praca z systemami, zanim zaproponuję jakikolwiek kierunek działania.

Na tej podstawie buduję plan dopasowany do konkretnej firmy: czy to program szkoleniowy dla zespołu, przygotowanie do certyfikacji ISO 27001, dostosowanie do wymagań ustawy o KSC, czy wybór odpowiednich zabezpieczeń. Każdy z tych obszarów wymaga innego podejścia, dlatego nie proponuję gotowych pakietów, tylko rozwiązanie oparte na konkretnej sytuacji organizacji.

Pracuję zarówno z osobami technicznymi, jak i z zarządem, który musi rozumieć ryzyko bez znajomości żargonu branżowego. Umiem rozmawiać w obu tych językach i traktuję to jako część swojej pracy, nie dodatek do niej. Zależy mi na tym, żeby decyzje dotyczące bezpieczeństwa podejmowane były świadomie, a nie pod presją czasu albo strachu.

Po wdrożeniu programu lub zakończeniu audytu nie znikam. Wolę długofalową współpracę, w której mogę reagować na zmieniające się ryzyka i przepisy, zamiast jednorazowego projektu, który po pół roku traci aktualność.