KIBERNETIČKA SIGURNOST · VANJSKI CISO

Usluge kibernetičke sigurnosti.

Za tvrtke kojima treba iskusna osoba koja vodi kibernetičku sigurnost, bez zapošljavanja na puno radno vrijeme. Kao vanjski CISO procjenjujemo rizike, postavljamo politike i plan mjera, pratimo dobavljače i incidente, educiramo zaposlenike i jednom godišnje izvještavamo upravu. Po potrebi preuzimamo i vođenje i održavanje sigurnosnih sustava.

Zatražite besplatnu konzultaciju
Savjetnik s klijentima pregledava dokumentaciju
300+ PROJEKATA U REGULIRANIM SEKTORIMA
  • PBZ
  • Fortenova
  • Roche
  • Inditex
  • Končar
  • Plodine
  • Cromaris
ZAKONI I UGOVORI

Koji propisi traže sigurnosne mjere

Zakon o kibernetičkoj sigurnosti obvezuje ključne i važne subjekte na mjere iz Uredbe o kibernetičkoj sigurnosti. GDPR svakoj tvrtki koja obrađuje osobne podatke nalaže odgovarajuće tehničke i organizacijske mjere. Obveznici Zakona sigurnosne zahtjeve prenose i na svoje dobavljače.

ZAKON O KIBERNETIČKOJ SIGURNOSTI

Ključni i važni subjekti

Mjere iz Uredbe na razini iz obavijesti o kategorizaciji. Uprava ih odobrava i nadzire provedbu (članak 29.).

GDPR · ČLANAK 32.

Svaka tvrtka koja obrađuje osobne podatke

Mjere razmjerne riziku, uključujući redovito testiranje i ocjenjivanje njihove učinkovitosti.

DOBAVLJAČI OBVEZNIKA

Sigurnosni zahtjevi u ugovorima

Obveznici moraju ugovorom tražiti obavještavanje o incidentima, upravljanje ranjivostima i pravo na reviziju ili dokaz o provedenoj reviziji.

ŠTO RADI VANJSKI CISO
Osoba odgovorna za kibernetičku sigurnostPrilog II., 1.6.Osoba koja je na razini cijelog subjekta operativno odgovorna za kibernetičku sigurnost. Obvezna na srednjoj i naprednoj razini mjera. Tu ulogu preuzima vanjski CISO.
Godišnji izvještaj upraviPrilog II., 1.7.Stanje mjera, uočene prijetnje i rizici te preporuke za poboljšanje. Obvezan na svim razinama mjera.
Sigurnosne metrikePrilog II., 1.8.Pokazatelji za praćenje stanja kibernetičke sigurnosti i izvještavanje uprave. Obvezne na srednjoj i naprednoj razini.
Politike i procjena rizikačl. 30. ZKSAnaliza rizika, kontrola pristupa, kriptografija, sigurnosne kopije i upravljanje imovinom.
DobavljačiPrilog II., 8.Popis izravnih dobavljača, procjena rizika i sigurnosni zahtjevi u ugovorima.
Testiranje mjeračl. 32. GDPRRedovito testiranje i ocjenjivanje učinkovitosti tehničkih i organizacijskih mjera.
Osposobljavanječl. 29. ZKSUprava pohađa osposobljavanja i omogućuje ih zaposlenicima.
ROKOVI KOD INCIDENTA
Rano upozorenje24 sataNadležnom CSIRT-u od saznanja za značajan incident (čl. 66. Uredbe).
Početna obavijest72 sataNadležnom CSIRT-u, s procjenom ozbiljnosti i učinka (čl. 67. Uredbe).
Primatelji usluga72 sataObavijest korisnicima na koje incident može utjecati (čl. 85. Uredbe).
Povreda osobnih podataka72 sataPrijava AZOP-u od saznanja, osim ako povreda vjerojatno ne ugrožava prava pojedinaca (čl. 33. GDPR-a).
Završno izvješće30 danaOd početne obavijesti. Ako incident još traje, šalje se izvješće o napretku (čl. 70. i 71. Uredbe).
SURADNJA

Načini suradnje

STALNA PODRŠKA

Vanjski CISO

Za tvrtke bez vlastitog voditelja sigurnosti. Preuzimamo ulogu osobe odgovorne za kibernetičku sigurnost u dogovorenom opsegu.

  • Plan mjera i proračun za sigurnost
  • Politike i upravljanje rizicima
  • Praćenje dobavljača i ranjivosti
  • Godišnji izvještaj upravi i sigurnosne metrike
  • Podrška kod incidenata
Zatražite ponudu →
UPRAVLJANE USLUGE

Vođenje i održavanje sigurnosti

Za tvrtke kojima treba netko tko svakodnevno vodi sigurnosne sustave. Preuzimamo rad i održavanje u dogovorenom opsegu.

  • Upravljanje ranjivostima i zakrpama
  • Održavanje sigurnosnih postavki i prava pristupa
  • Redovita penetracijska testiranja i simulacije phishinga
  • Provjera sigurnosnih kopija i oporavka
  • Mjesečni izvještaj o stanju sigurnosti
Zatražite ponudu →
PRVI KORAK

Procjena stanja i plan mjera

Za tvrtke koje žele znati gdje su prije revizije, natječaja ili zahtjeva kupca.

  • Pregled prema Uredbi o kibernetičkoj sigurnosti ili normi ISO 27001
  • Procjena rizika
  • Popis odstupanja po prioritetu
  • Plan mjera s rokovima
Zatražite ponudu →
OPSEG RADA

Što radimo za tvrtke

01 / 04

Upravljanje

02 / 04

Rizici i kontrole

03 / 04

Dobavljači i incidenti

PITANJA

Česta pitanja o kibernetičkoj sigurnosti i vanjskom CISO-u

Što radi vanjski CISO?

Vodi kibernetičku sigurnost tvrtke u dogovorenom opsegu: procjenu rizika, politike, plan mjera i proračun, praćenje dobavljača i incidenata te izvještavanje uprave. Tehničke mjere može provoditi vaš IT tim ili partner, a vođenje i održavanje sigurnosnih sustava možemo preuzeti i mi.

Kada je vanjski CISO bolji izbor od zaposlenog?

Kad tvrtka nema posla za puno radno vrijeme ili joj treba iskustvo s propisima i revizijama koje interno nema. Opseg i broj dana mjesečno dogovaramo prema veličini tvrtke i razini mjera.

Može li vanjski CISO biti osoba odgovorna za kibernetičku sigurnost prema Uredbi?

Mjera 1.6 traži osobu koja je na razini cijelog subjekta operativno odgovorna za kibernetičku sigurnost i ima pristup upravi i nositeljima mjera. Na srednjoj i naprednoj razini mjera ta je osoba obvezna. Mjera ne navodi da to mora biti zaposlenik, za razliku od administratora nacionalne platforme, kojeg Uredba izričito imenuje iz reda zaposlenika. Odgovornost za mjere i dalje snosi uprava (članak 29. Zakona).

Trebamo li ISO 27001 ako smo obveznik Zakona?

Zakon ne propisuje ISO 27001, a certifikat ne zamjenjuje reviziju ni samoprocjenu. Sustav prema normi ipak pokriva velik dio istih mjera i olakšava dokazivanje. Više na stranici ISO 27001 savjetovanje.

U kojim se rokovima prijavljuje značajan incident?

Rano upozorenje nadležnom CSIRT-u šalje se u 24 sata od saznanja, početna obavijest u 72 sata, a završno izvješće u 30 dana od početne obavijesti. Ako su pogođeni osobni podaci, povredu prijavljujete i AZOP-u u 72 sata.

Što obveznici traže od svojih dobavljača?

Uredba im nalaže da u ugovorima traže obavještavanje o incidentima, upravljanje ranjivostima, pravo na reviziju ili dokaz o provedenoj reviziji te pravila za podugovaratelje i za podatke nakon raskida. Pomažemo dobavljačima ispuniti te zahtjeve i obveznicima ih ugovoriti.

Provodite li penetracijska testiranja?

Da. Opseg, metode i pravila testiranja dogovaramo unaprijed u pisanom obliku. Nalaze dobivate s ocjenom rizika i preporukama za otklanjanje. Više na stranici Penetracijsko testiranje.

Radite li s našim IT partnerom i postojećim alatima?

Da. Radimo s alatima koje već koristite. Možemo raditi uz vaš IT tim ili partnera, ili preuzeti vođenje i održavanje sigurnosnih sustava u dogovorenom opsegu.

Kako počinje suradnja?

Pošaljite nam djelatnost, broj zaposlenika i jeste li kategorizirani prema Zakonu. Nakon besplatne konzultacije šaljemo prijedlog opsega.

POVEZANO

Vodiči i povezane usluge

KONTAKT

Zatražite besplatnu konzultaciju

Pošaljite nam djelatnost i broj zaposlenika. Javit ćemo se s prijedlogom za procjenu stanja i plan mjera.

  • ODGOVOR U 1 RADNOM DANU
  • UGOVOR O POVJERLJIVOSTI NA ZAHTJEV
  • BEZ OBVEZE
Zatražite besplatnu konzultaciju