Przygotuj dokumentację SZBI dla Twojej organizacji
Opracujemy dla Ciebie kompletną dokumentację Systemu Zarządzania Bezpieczeństwem Informacji, dopasowaną do specyfiki Twojej organizacji, obowiązujących regulacji i standardów bezpieczeństwa.
Firmy, które powierzyły nam swoje cyfrowe bezpieczeństwo
Czym jest SZBI?
System Zarządzania Bezpieczeństwem Informacji (SZBI) to uporządkowany sposób zarządzania bezpieczeństwem informacji w organizacji. Jego dokumentacja określa zasady, odpowiedzialności i procedury związane m.in. z zarządzaniem ryzykiem, ochroną informacji, reagowaniem na incydenty, ciągłością działania i bezpieczeństwem dostawców. Dobrze przygotowana dokumentacja SZBI:
- porządkuje zasady i odpowiedzialności,
- wspiera zarządzanie ryzykiem,
- przekłada wymagania regulacyjne na konkretne procesy,
- pozwala wykazać sposób zarządzania bezpieczeństwem podczas audytu,
- stanowi podstawę do ciągłego doskonalenia systemu bezpieczeństwa.
Jakich podmiotów dotyczy wymóg dokumentacji SZBI?
SZBI jest obowiązkowym elementem systemu cyberbezpieczeństwa dla podmiotów objętych KSC. Zgodnie z art. 8 znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa, podmioty kluczowe i podmioty ważne mają obowiązek wdrożenia Systemu Zarządzania Bezpieczeństwem Informacji. SZBI jest również podstawą systemowego zarządzania bezpieczeństwem informacji zgodnie z PN-EN ISO/IEC 27001 – normą, która określa wymagania dotyczące ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia SZBI. Dotyczy to w szczególności organizacji, które:
- zostały zakwalifikowane jako podmioty kluczowe lub ważne zgodnie z ustawą o KSC,
- wdrażają lub utrzymują ISO/IEC 27001,
- podlegają wymaganiom wynikającym z regulacji sektorowych,
- muszą wykazać przed klientem, partnerem lub audytorem odpowiedni poziom zarządzania bezpieczeństwem informacji.
Potrzebujesz wsparcia z dokumentacją SZBI?
Zakres SZBI powinien wynikać z charakteru działalności, procesów, wykorzystywanych systemów, poziomu ryzyka oraz wymagań, którym podlega organizacja. Sprawdzimy wymagania i dobierzemy zakres SZBI do Twojej organizacji.
Najważniejsze informacje dotyczące dokumentacji SZBI
-
Dokumentacja SZBI nie powinna być gotowym pakietem szablonów. Powinna odpowiadać na rzeczywiste ryzyka i potrzeby organizacji. Dlatego przygotowujemy ją w oparciu o warsztaty oraz współpracę z Twoim zespołem.
-
SZBI nie kończy się w momencie przygotowania dokumentów. Polityki, procedury i plany powinny być regularnie przeglądane i aktualizowane wraz ze zmianami w organizacji, technologii, ryzykach i wymaganiach.
-
SZBI powinien przekładać wymagania bezpieczeństwa na konkretne działania, role i odpowiedzialności. Dokumentacja powinna być zrozumiała dla osób, które będą z niej korzystać, i możliwa do wykorzystania podczas rzeczywistego incydentu. To nie zbiór teoretycznych możliwych działań, a praktyczna instrukcja dopasowana do organizacji.
-
Zmiany prawne, wynikające przede wszystkim z NIS2/KSC, narzucają obowiązek wyższego standardu bezpieczeństwa na wiele organizacji. Spójna dokumentacja pozwala uporządkować sposób zarządzania bezpieczeństwem i wykazać, że wymagane procesy zostały ustanowione i są realizowane. W przypadku podmiotów kluczowych KSC przewiduje obowiązek przeprowadzenia audytu bezpieczeństwa co najmniej raz na 3 lata.
Jakie artefakty powstają w ramach SZBI?
Dokładny zakres dokumentacji dobieramy do organizacji, jej ryzyka oraz wymagań regulacyjnych. W zależności od zakresu projektu mogą powstać m.in.:
- polityka bezpieczeństwa informacji,
- polityki tematyczne i procedury bezpieczeństwa,
- dokumentacja zarządzania ryzykiem,
- zasady zarządzania aktywami i kontrolą dostępu,
- procedury zarządzania incydentami,
- plany ciągłości działania i odtworzenia,
- procedury bezpieczeństwa dostawców i łańcucha dostaw,
- procedury związane z bezpieczeństwem pracowników,
- procedury zarządzania zmianą i bezpieczeństwem systemów,
- rejestry, formularze i inne dokumenty wspierające realizację procesów,
- playbooki opisujące sposób postępowania w konkretnych scenariuszach zagrożeń.
Jeżeli Twoja organizacja podlega NIS2/KSC, wdrożenie SZBI jest jednym z podstawowych obowiązków.
Znowelizowana ustawa o KSC wprost zobowiązuje podmioty kluczowe i ważne do wdrożenia SZBI. System ma obejmować m.in. systematyczne zarządzanie ryzykiem, odpowiednie środki techniczne i organizacyjne, zarządzanie incydentami, ciągłość działania oraz bezpieczeństwo łańcucha dostaw. Dlatego przygotowanie SZBI warto rozpocząć od sprawdzenia, czego rzeczywiście wymaga Twoja organizacja. Zacznij od audytu NIS2.
Audyt pozwoli określić:
- jakie wymagania dotyczą Twojej organizacji,
- jaki jest obecny poziom bezpieczeństwa,
- gdzie występują najważniejsze luki,
- jakiej dokumentacji brakuje,
- jakie działania należy podjąć w pierwszej kolejności.
Dlaczego warto powierzyć przygotowanie SZBI ekspertom?
Przygotowanie SZBI to nie tylko stworzenie dokumentów zgodnych z wymaganiami. Dokumentacja powinna przekładać wymagania bezpieczeństwa na sposób działania organizacji i przygotowywać ją na rzeczywiste scenariusze zagrożeń.
Cyber360 łączy znajomość standardów i regulacji z wieloletnim doświadczeniem w praktycznym przeciwdziałaniu cyberzagrożeniom.
W ramach przygotowania SZBI uwzględniamy m.in.:
- Ciągłość działania
Przygotowanie organizacji do utrzymania kluczowych procesów oraz odtworzenia działania po poważnym incydencie. - Ocenę i zarządzanie ryzykiem
Identyfikację najważniejszych zagrożeń, ocenę ich wpływu i określenie sposobów postępowania z ryzykiem. - Polityki i procedury
Przełożenie wymagań bezpieczeństwa na konkretne zasady, odpowiedzialności i procesy obowiązujące w organizacji. - Playbooki bezpieczeństwa
Praktyczne scenariusze postępowania, które pomagają zespołom reagować na konkretne rodzaje incydentów i zagrożeń. - Bezpieczeństwo łańcucha dostaw
Ocena ryzyka związanego z dostawcami i usługami zewnętrznymi oraz określenie zasad zarządzania tym ryzykiem. - Przygotowanie do audytu
Dokumentacja tworzona w oparciu o wymagania regulacyjne i uznane standardy, tak aby wspierała organizację podczas audytów i kontroli.
Dlaczego organizacje wybierają Cyber360?
Ty skupiasz się na rozwoju biznesu, podczas gdy my dbamy o jego bezpieczeństwo. Wybierając Cyber360, wybierasz zespół ekspertów, usługę dopasowaną do Twoich potrzeb i 12 lat doświadczenia w pracy z wieloma firmami.
- 12 lat doświadczenia w cyberbezpieczeństwie
- Zaufanie liderów wielu branż
- Certyfikacje ISO 27001 i ISO 22301
- Zgodność z KSC, NIS2, SOC2 oraz RODO
- Kompleksowe wsparcie – od audytu po monitoring i reakcję na incydenty
FAQ
Czym jest SZBI?
SZBI, czyli System Zarządzania Bezpieczeństwem Informacji, to zestaw zasad, procesów i zabezpieczeń służących ochronie informacji w organizacji. Obejmuje m.in. zarządzanie ryzykiem, kontrolę dostępu, reagowanie na incydenty, ciągłość działania i bezpieczeństwo dostawców.
Kto ma obowiązek wdrożenia SZBI?
Obowiązek wdrożenia SZBI dotyczy podmiotów kluczowych i ważnych objętych ustawą o krajowym systemie cyberbezpieczeństwa (KSC). Wymagania dotyczące bezpieczeństwa informacji mogą wynikać również z innych przepisów, norm, umów lub wymagań branżowych. Zakres obowiązków zależy od sytuacji konkretnej organizacji.
Czy SZBI jest wymagany przez NIS2?
Tak. NIS2, wdrożona w Polsce poprzez nowelizację KSC, wymaga od objętych nią podmiotów wdrożenia odpowiednich środków zarządzania ryzykiem i bezpieczeństwem informacji. SZBI jest jednym z kluczowych elementów realizacji tych obowiązków.
Jakie dokumenty wchodzą w skład SZBI?
Zakres dokumentacji zależy od organizacji, jej działalności i zidentyfikowanych ryzyk. Mogą to być m.in. polityki bezpieczeństwa, procedury zarządzania dostępem, bezpieczeństwa dostawców, reagowania na incydenty, ciągłości działania oraz zarządzania ryzykiem.
Czy sama dokumentacja SZBI wystarczy?
Nie. Dokumentacja powinna opisywać sposób, w jaki bezpieczeństwo faktycznie działa w organizacji. Skuteczny SZBI wymaga również wdrożenia odpowiednich procesów, zabezpieczeń, odpowiedzialności i regularnej oceny ryzyka.
Czy muszę przygotować SZBI samodzielnie?
Nie. SZBI można przygotować we współpracy z zewnętrznym ekspertem. Cyber360 analizuje specyfikę organizacji, identyfikuje wymagania i ryzyka oraz przygotowuje dokumentację dopasowaną do rzeczywistego sposobu działania firmy.
Jak wygląda przygotowanie dokumentacji SZBI?
Zaczynamy od poznania organizacji i jej środowiska IT, procesów oraz wymagań, którym podlega. Następnie identyfikujemy ryzyka i luki, określamy wymagane zasady i procedury oraz przygotowujemy dokumentację SZBI. W razie potrzeby możemy również wesprzeć organizację we wdrożeniu opisanych procesów i zabezpieczeń.
Jak często należy aktualizować dokumentację?
SZBI powinien być regularnie przeglądany i aktualizowany, szczególnie gdy zmieniają się procesy, technologie, infrastruktura, dostawcy lub wymagania prawne. Nie jest to dokumentacja przygotowywana raz i pozostawiana bez zmian.
Czy Cyber360 pomaga we wdrożeniu przygotowanej dokumentacji?
Tak. Możemy wesprzeć organizację nie tylko w przygotowaniu dokumentacji, ale również w ocenie ryzyka, wdrożeniu procesów i zabezpieczeń oraz dalszym monitorowaniu bezpieczeństwa. Dzięki temu SZBI staje się elementem działającego systemu bezpieczeństwa, a nie tylko zestawem dokumentów.
Czy przygotowanie SZBI pomoże nam przejść audyt KSC/NIS2?
SZBI jest jednym z wymogów NIS2, natomiast samo przygotowanie dokumentacji nie stanowi warunku spełniającego pełen zakres prac związanych z NIS2 oraz potencjalnymi warunkami audytu.