Ha a cége a kiberbiztonsági törvény (Kbtv.) hatálya alá tartozik, ki kell jelölnie egy információbiztonsági felelőst (IBF). Az első kérdés, amit a legtöbb ügyvezető feltesz: kell ehhez új ember, vagy megoldható házon belül?
A formai feltételek
Az SZTFH felügyelete alá tartozó magáncégeknél a törvény két feltételt ír elő az IBF-re: legyen cselekvőképes, és legyen büntetlen előéletű. Szakirányú végzettséget ezeknél a cégeknél nem követel meg. Ez a közigazgatásra, a többségi állami cégekre, valamint a kritikus és a honvédelmi szempontból jelentős szervezetekre vonatkozik.
A törvény azt is megengedi, hogy ezeknél a cégeknél a saját rendszergazda vagy a gazdasági vezető legyen az IBF.
Akkor miért ne a rendszergazda?
Lehet ő is. Három dolgot érdemes előtte végiggondolni:
- Függetlenség. Az IBF feladata többek között ellenőrizni, hogy a rendszer biztonságos-e. Ha ugyanaz az ember üzemelteti, aki ellenőrzi, nehéz észrevenni a saját vakfoltjait.
- Folytonosság. Ha a rendszergazda kilép, vele megy a nyilvántartás, a kockázatelemzés és az incidenskezelés ismerete is. A megfelelés papíron megmarad, a gyakorlatban megáll.
- Idő. A rendszergazdának általában van elég dolga. Az IBF-feladatok (szabályzatok, oktatás, vezetői jelentés, kapcsolattartás a hatósággal) könnyen a hét végére csúsznak.
Mi a megbízott IBF?
A megbízott IBF egy külső szakember, aki szerződés alapján látja el a szerepet. A cég vezetője kijelöli, a feladatokat a szerződés és egy felelősségi mátrix rögzíti. A dokumentáció a cégé marad, a döntések a vezetésnél.
Egy 50–249 fős cégnél ez általában olcsóbb, mint egy teljes munkaidős szakember, és függetlenebb, mint a házon belüli megoldás.
Mit érdemes most megtenni?
- Nézze meg, érintett-e a cég. A gyorsteszt 30 másodperc alatt megmutatja.
- Ha igen, döntse el, házon belül vagy megbízással oldja meg a szerepet.
- Bármelyiket választja, kezdje egy felméréssel: mi van meg, és mi hiányzik.
Az írás tájékoztató jellegű, nem jogi vélemény. A hatályos jogszabályszöveg az irányadó.