Pierwsze 90 dni po odkryciu, że firma podlega KSC

Firma dowiaduje się, że podlega ustawie o KSC, zwykle w najgorszym możliwym momencie: po pytaniu od dużego kontrahenta w przetargu, po pierwszej kontroli, albo przypadkiem, przy okazji lektury artykułu o nowelizacji przepisów. Ten artykuł pokazuje, jak zaplanować pierwsze dziewięćdziesiąt dni od takiego odkrycia, żeby zamiast chaosu i gaszenia pożarów powstał uporządkowany, realistyczny plan.

Od czego zacząć w pierwszym tygodniu

Pierwszy tydzień nie jest czasem na wdrażanie zabezpieczeń. Jest czasem na zrozumienie skali obowiązku. Trzeba formalnie potwierdzić kwalifikację: sprawdzić, czy firma rzeczywiście podlega ustawie jako podmiot kluczowy czy ważny, na podstawie sektora działalności i wielkości organizacji, a nie tylko na podstawie jednej rozmowy z kontrahentem. Warto od razu sprawdzić też termin rejestracji w wykazie podmiotów kluczowych i ważnych, bo to jest twardy, kalendarzowy punkt odniesienia dla całego planu.

W tym samym tygodniu potrzebna jest jedna osoba, która weźmie na siebie koordynację całego procesu. Nie chodzi o zatrudnienie kogoś nowego w tydzień, tylko o wskazanie osoby już obecnej w firmie, z czasem i mandatem do prowadzenia tematu: zbierania informacji, kontaktu z doradcami, raportowania do zarządu. Bez takiego wskazania temat rozmywa się między kilkoma ludźmi i nikt nie czuje się w pełni odpowiedzialny za terminy.

Co zrobić najpierw, a co może poczekać

Po tygodniu orientacji przychodzi czas na szybką, uproszczoną analizę stanu obecnego, czymś w rodzaju skróconego gap analysis. Nie chodzi jeszcze o pełne wdrożenie wszystkich czternastu obszarów wymaganych przez ustawę, tylko o wyłapanie największych, najpilniejszych braków. Warto sprawdzić:

• czy firma ma jakikolwiek proces zarządzania incydentami i wie, do kogo zgłaszać poważne zdarzenia,
• czy istnieje podstawowa kontrola dostępu do kluczowych systemów,
• czy ktokolwiek w organizacji zna terminy zgłoszeniowe (24 godziny, 72 godziny) i wie, jak wygląda kanał zgłoszenia,
• czy firma robi kopie zapasowe i czy ktokolwiek sprawdzał, czy da się z nich odtworzyć dane.

Pełna, rozbudowana dokumentacja polityk bezpieczeństwa czy szczegółowa analiza ryzyka obejmująca każdy możliwy scenariusz może poczekać na kolejny etap. W pierwszych tygodniach liczy się zbudowanie podstawowej zdolności do wykrycia i zgłoszenia poważnego incydentu w wymaganym terminie, nie dopracowanie dokumentu, którego i tak nikt jeszcze nie jest w stanie w pełni wdrożyć.

Kolejność, w jakiej firma zabiera się za te braki, ma znaczenie większe niż sama ich lista. Zdolność do wykrycia i zgłoszenia incydentu w terminie chroni firmę przed najdotkliwszą, najbardziej wymierną karą, czyli tą za spóźnione albo brakujące zgłoszenie. Rozbudowana polityka bezpieczeństwa, choćby najlepiej napisana, nie chroni przed niczym, jeśli w międzyczasie dojdzie do incydentu, o którym nikt nie wie, jak i do kogo zgłosić. Dlatego to właśnie zdolność reagowania, a nie kompletność dokumentacji, powinna być priorytetem tych pierwszych tygodni.

Jak zaplanować 90 dni bez chaosu

Rozkład tych trzech miesięcy warto oprzeć na trzech prostych etapach po trzydzieści dni. Dni od pierwszego do trzydziestego to orientacja i szybka analiza braków opisana wyżej: potwierdzenie kwalifikacji, wyznaczenie osoby odpowiedzialnej, zrozumienie, gdzie firma stoi względem najważniejszych wymogów. Dni od trzydziestego do sześćdziesiątego to wdrożenie najpilniejszych braków zidentyfikowanych w pierwszym etapie: podstawowej procedury zgłaszania incydentów, minimalnej kontroli dostępu, pierwszej wersji rejestru ryzyk opartej na prostej metodyce.

Ostatni etap, dni od sześćdziesiątego do dziewięćdziesiątego, to formalizacja: dopracowanie dokumentacji, przygotowanie do rejestracji w wykazie podmiotów kluczowych i ważnych, jeśli jeszcze nie nastąpiła, oraz zaplanowanie dalszej pracy wykraczającej poza pierwszy kwartał. Pełne dostosowanie do wszystkich wymogów ustawy to zwykle projekt na kilka miesięcy, nie na jeden kwartał, więc dziewięćdziesiąt dni to fundament, a nie meta.

Najważniejsze w tym planie jest to, żeby nie próbować zrobić wszystkiego naraz w pierwszym tygodniu, pod wpływem stresu wywołanego pytaniem kontrahenta czy zapowiedzią kontroli. Weźmy przykład firmy logistycznej, zatrudniającej trzydzieści pięć osób, która dowiedziała się o obowiązku po tym, jak duży klient zapytał o certyfikat i status rejestracji w KSC przy okazji odnowienia umowy. Zamiast rzucić się jednocześnie na wszystkie fronty, firma wyznaczyła kierownika IT jako osobę koordynującą, w pierwszym tygodniu potwierdziła status podmiotu ważnego, a w kolejnych tygodniach skupiła się wyłącznie na trzech najpilniejszych brakach: braku procedury zgłaszania incydentów, braku podstawowej segmentacji dostępu do systemu spedycyjnego i braku testowanych kopii zapasowych. Taki wąski, skoncentrowany zakres dał wymierny postęp w ciągu miesiąca, zamiast rozproszenia się na dziesięciu równoległych zadaniach na raz.

Rozłożenie działań na etapy, z jasnymi priorytetami w każdym z nich, pozwala firmie przejść przez ten proces w sposób uporządkowany, zamiast gasić kolejne pożary bez żadnego planu.

Warto też z góry założyć, że nie wszystko pójdzie zgodnie z harmonogramem. Wdrożenie nowego procesu zgłaszania incydentów może zająć dłużej niż planowane dwa tygodnie, bo okaże się, że trzeba jeszcze przeszkolić kilka osób albo dogadać się z dostawcą IT w sprawie dostępu do logów systemowych. To nie jest powód do porzucenia planu, tylko sygnał, żeby elastycznie przesunąć mniej pilne zadania z tego samego etapu na później, zamiast poświęcać jednakową uwagę wszystkim frontom naraz i nie domykać żadnego z nich do końca.