2 min. czytania 1 kwi 2020
ey-cyberatak

Jak zapewnić ciągłość działania i odpowiedzieć na cyberryzyka w trakcie oraz po kryzysie?

Autor Paweł Preuss

EY Polska, Lider Sektora Finansowego

Doradca sektora bankowego z ponad 20 letnim doświadczeniem w obszarze zarządzania ryzykiem i finansów. W wolnym czasie z rodziną poznaje odległe zakątki świata i pasjonuje się brytyjską piłką nożną.

2 min. czytania 1 kwi 2020
Powiązane tematy COVID-19

Pandemia koronawirusa silnie uderza w codzienne zachowania klientów i pracowników, co odbija się na modelu świadczenia usług i warunkach pracy.

P
rzejście w model pracy zdalnej stwarza szereg nowych zagrożeń. Wielu graczy na rynku przechodzi test wytrzymałości i zdolności adaptacji do nowej rzeczywistości. Nowa sytuacja powoduje także wyraźny wzrost działań hakerskich – cyberataki na kluczowe instytucje, wyłudzenia informacji z użyciem złośliwych domen lub ataki phisingowe związane z koronawirusem stały się nową rzeczywistością. Odpowiednie zarządzanie obecnym kryzysem będzie determinować przyszłość organizacji.

Przedstawiamy szereg inicjatyw w poszczególnych obszarach biznesowych wartych rozważenia w perspektywie krótko i średnioterminowej.

    ZADANIA KRÓTKOTERMINOWE ZADANIA ŚREDNIOTERMINOWE
1 CYBERBEZPIECZEŃSTWO
  • Weryfikacja mechanizmów bezpieczeństwa pracy zdalnej oraz wsparcie we wdrożeniu
  • Optymalizacja wąskich gardeł w infrastrukturze
  • Identyfikacja zagrożeń i kampanie uświadamiające
  • Automatyzacja czynności bezpieczeństwa IT
  • Czasowe wzmocnienie zespołów Bezpieczeństwa IT oraz IT Cloud
  • Optymalizacja architektury sieci oraz bezpieczeństwa
  • Transformacja procesów bezpieczeństwa IT do warunków pracy zdalnej
  • Automatyzacja procesów bezpieczeństwa
  • Stress-testy mechanizmów monitorowania, reakcji oraz mitygacji
2 CIĄGŁOŚĆ DZIAŁANIA
  • Wykorzystanie chmury i wirtualizacji w pracy zdalnej
  • Wsparcie w uruchomieniu planów ciągłości działania i utrzymaniu ciągłości działania
  • Program optymalizacji planów ciągłości działania
  • Stworzenie planów migracji do chmury
  • Analiza odpowiedzi na kryzys COVID
3 ZARZĄDZANIE KRYZYSOWE
  • Organizacja i wsparcie działania Sztabu Kryzysowego
  • Przebudowa planów przeglądów i audytów w obszarze bezpieczeństwa
  • Program optymalizacji systemu zarządzania kryzysowego
4 ZARZĄDZANIE RYZYKIEM STRON TRZECICH
  • Szybka analiza zależności od zewnętrznych dostawców (łańcucha dostaw)
  • Szybka ocena dostawców względem wpływu Covid-19
  • Transformacja modelu outsourcingu i zasad zarządzania ryzykiem dostawców zewn.
  • Aktualizacja planów ciągłości na wypadek utraty kluczowego dostawcy
  • Monitorowanie stabilności finansowej kluczowych dostawców

CYBERBEZPIECZEŃSTWO

  • Czy infrastruktura informatyczna jest gotowa na obciążenia związane z modelem pracy zdalnej?
  • Jak zabezpieczyć się przed cyberprzestępcami gdy sprzęt jest wynoszony poza siedzibę firmy a pracownicy korzystają z domowych sieci?
  • Efektywność - jaki jest potencjał na automatyzację czynności i procesów bezpieczeństwa?
  • Czy pracownicy są świadomi nowych cyberzagrożeń i wiedzą jak je rozpoznawać?

CIĄGŁOŚĆ DZIAŁANIA

  • Czy plany ciągłości działania przewidują scenariusz pandemii?
  • Jak obronić kapitał przedsiębiorstwa i zapewnić mu ciągłość działania?
  • Czy przejście do środowisk chmurowych stanowi rozwiązanie niektórych wyzwań w obecnym czasie?
  • Jak przygotować się na niepewną przyszłość aby zapewnić ciągłość działania organizacji?

ZARZĄDZANIE KRYZYSOWE

  • Jak zapewnić, że Sztab Kryzysowy posiada odpowiednią ilość specjalistów i jest w stanie szybko reagować na dynamicznie zmieniającą się sytuację?
  • Czy częstotliwość i przekaz w komunikacji w Klientami, Regulatorami, Pracownikami i Inwestorami jest ze sobą spójny?
  • Jak zapewnić odpowiednia wydajność w modelu pracy zdalnej?
  • Które ze strategicznych inicjatyw i planów będą wymagać zmian w pierwszej kolejności?

ZARZĄDZANIE RYZYKIEM STRON TRZECICH

  • Jaki kluczowi dostawcy radzą sobie z kryzysem?
  • Czy są oceniani w oparciu o te same metryki?
  • Czy na pewno wszyscy kluczowi dostawcy są zidentyfikowani?
  • Jaki jest plan na wypadek utraty kluczowego dostawcy?
  • Jak szybko zachwiania stabilności dostawców mogą wpłynąć na biznes?

Cyberbezpieczeństwo

ZADANIA KRÓTKOTERMINOWE

Weryfikacja mechanizmów bezpieczeństwa pracy i administracji zdalnej oraz wsparcie we wdrożeniu

Testy bezpieczeństwa i analiza ryzyka już zastosowanych w organizacji narzędzi do pracy zdalnej (np. dostępów VPN, komunikacji, narzędzi pracy grupowej, narzędzi dla administratorów IT) pod kątem odporności na obecne zagrożenia. Wsparcie w uruchamianiu narzędzi DLP w trybie blokowania. Niezależna ocena konfiguracji oraz przyjętych rozwiązań, dająca możliwość zaadresowania problemów, które mogły zostać przypadkowo pominięte w początkowej fazie wdrożenia. Wsparcie zapewnienia pryncypiów „Privacy/Security by design” przy wdrażaniu nowych rozwiązań, w tym chmurowych typu O365, Teams, Skype itp. Analiza rynku i ewaluacja dostępnych produktów.

Optymalizacja wąskich gardeł w infrastrukturze

Analiza konfiguracji i architektury sieciowej w celu identyfikacji nieefektywności oraz wymagających pilnej zmiany lub doinwestowania z punktu widzenia zapewnienia ciągłości dostępu przy zwiększonym zapotrzebowaniu. Identyfikacja możliwych rozwiązań zastępczych lub uzupełniających w zakresie dostępu i środowiska pracy zdalnej (np. wystawienie usług bez VPN, przegląd black-list pod kątem redukcji ruchu, optymalizacja load-balancerów itp.)

 Identyfikacja zagrożeń i kampanie uświadamiające

 Przygotowanie materiałów, kampanii informacyjnych i prowadzenie szkoleń on-line z zakresu obecnych zagrożeń i ryzyk dla bezpieczeństwa IT i informacji, szczególnie z punktu widzenia pracy z domu – najlepsze praktyki, jak korzystać z sieci domowych do pracy służbowej itp. Może także obejmować przygotowanie zasad zabezpieczania stanowiska pracy zdalnej, czy bieżący monitoring nowych zagrożeń.

Automatyzacja czynności bezpieczeństwa IT

Analiza możliwości i wdrożenie narzędzi do automatyzacji niektórych czynności w procesach bezpieczeństwa w celu zmniejszenia obciążenia zespołów ds. bezpieczeństwa – np. obsługi incydentów bezpieczeństwa przy wykorzystaniu rozwiązań klasy SOAR (Security Orchestration, Automation and Response).

Czasowe wzmocnienie zespołów Bezpieczeństwa IT oraz IT Cloud

Wsparcie specjalistami w przypadku braków kadrowych lub w przypadku konieczności wypracowania nowych rozwiązań lub zmiany istniejących. Wykorzystanie specjalistów mogących pełnić różne role – od inżynierów poprzez architektów rozwiązań i ekspertów ds. bezpieczeństwa informacji i DLP. Wsparcie w rekonfiguracji mechanizmów bezpieczeństwa pod kątem kontroli pracy zdalnej – np. narzędzi klasy Data Leakage Prevention (DLP), czy też np. w aktualizacji analiz ryzyk w związku z obecną sytuacją.

ZADANIA ŚREDNIOTERMINOWE

Optymalizacja architektury sieci oraz bezpieczeństwa

Przekrojowa analiza architektury sieci i bezpieczeństwa pod kątem optymalizacji funkcjonalnej, zasobowej i kosztowej oraz identyfikacji nadmiarowych lub brakujących elementów do zapewnienia właściwej ochrony kluczowych aktywów – zarówno w warstwie technologicznej, jak i procesowej i ludzkiej. W efekcie powstaje lista overlapów i luk, wraz z propozycją ich optymalizacji. Wsparcie pełnego przejścia na prace zdalnąa, wraz z analizą wymagań aplikacji.

Transformacja procesów bezpieczeństwa IT do warunków pracy zdalnej

 Wsparcie w redefinicji zadań i narzędzi obszaru bezpieczeństwa tak, aby jak najefektywniej była możliwa realizacja zadań także w warunkach pracy zdecentralizowanej i zdalnej. Określenie czynności, mierników i sposobów monitorowania i rozliczania pracowników oraz identyfikację oraz opcjonalnie wdrożenie niezbędnych narzędzi wspierających.

Automatyzacja procesów bezpieczeństwa

Analiza możliwości i wdrożenie narzędzi do automatyzacji całych procesów bezpieczeństwa w celu zapewnienia optymalizacji zasobów zespołów ds. bezpieczeństwa – przy wykorzystaniu rozwiązań klasy SOAR (Security Orchestration, Automation and Response) i RPA (Robotic Process Automation).

Stress-testy mechanizmów monitorowania, reakcji oraz mitygacji

Praktyczna weryfikacja mechanizmów bezpieczeństwa pod kątem skuteczności blokowania, wykrywania i reakcji na zagrożenia w zmienionych warunkach działania – przy wykorzystaniu działań typu red i blue-team oraz ćwiczeń sztabowych. Identyfikacja w kontrolowanych warunkach potencjalnych braków oraz optymalizacja narzędzi i procesów.

Ciągłość działania

ZADANIA KRÓTKOTERMINOWE

Wykorzystanie chmury i wirtualizacji w pracy zdalnej

Zapewnienie zgodności wdrażanych rozwiązań w obszarze pracy zdalnej z regulacjami prawnymi i wykorzystanie najlepszych praktyk m. in. w zakresie rozwiązań chmurowych i wirtualizacji. Kompleksowe wsparcie prawne, procesowe i technologiczne.

Wsparcie w uruchomieniu planów ciągłości działania i utrzymaniu ciągłości działania Zidentyfikowanie wąskich gardeł w kwestiach zapewniania ciągłości działania, zaplanowanie działań priorytetowych z uwzględnieniem dobrych praktyk oraz doświadczeń z rynku. Koordynacja wdrażania nowych lub zrewidowanych planów ciągłości działania.

ZADANIA ŚREDNIOTERMINOWE

Program optymalizacji planów ciągłości działania

Kompleksowy przegląd i optymalizacja planów ciągłości działania pod kątem scenariuszy m.in. pandemii, niedostępności personelu, niedostępności biura, środków komunikacji. W szczególności: dostosowanie procesów do pracy zdalnej, określenie priorytetowych czynności w ramach procesów w razie ograniczonej obsady zespołów; weryfikacja macierzy kompetencji w zespołach i listy zastępstw dla kluczowych pracowników; analiza zasad powiadamiania pracowników o sytuacji kryzysowej.

Stworzenie planów migracji do chmury

Koordynacja przygotowania, wdrożenia i utrzymania usług chmurowych zgodnie z wymaganiami nowego komunikatu chmurowego Komisji Nadzoru Finansowego oraz innych właściwych regulacji a także pryncypiów „Privacy/Security by design”. Analiza wymagań bezpieczeństwa, technicznych oraz modelu kosztowego przejścia do rozwiązań chmurowych oraz opracowanie strategii wyjścia od strony regulacyjnej, organizacyjnej i technicznej.

Analiza odpowiedzi na kryzys COVID

Przegląd decyzji podejmowanych przez sztab kryzysowy, komunikacji kierowanej do pracowników, skuteczności wdrożenia procedur awaryjnych, skuteczności uruchomienia niezbędnej infrastruktury IT. Analiza na podstawie planów awaryjnych, zarchiwizowanej komunikacji oraz wywiadów z jednostkami organizacyjnymi.

Zarządzanie kryzysowe

ZADANIA KRÓTKOTERMINOWE

Organizacja i wsparcie działania Sztabu Kryzysowego

Zapewnienie optymalnej organizacji i struktury zespołu kryzysowego, w tym zdefiniowanie poziomów decyzyjnych, zdefiniowanie ról i odpowiedzialności w procesie, zdefiniowanie zasad wzajemnej współpracy. Wsparcie specjalistami w przypadku braków kadrowych.

Przebudowa planów przeglądów i audytów w obszarze bezpieczeństwa

Ustalenie nowych priorytetów dla regularnych procesów i czynności kontrolnych w zakresie trzech linii obrony, w tym m. in. przeglądów uprawnień do systemów IT, testów ciągłości działania, wewnętrznych i zewnętrznych audytów IT oraz bezpieczeństwa.

ZADANIA ŚREDNIOTERMINOWE

Program optymalizacji systemu zarządzania kryzysowego

Gruntowna optymalizacja obszaru zarządzania kryzysowego realizowana w oparciu o przeprowadzone uprzednio analizy odpowiedzi na kryzys COVID oraz skuteczności zastosowanych mechanizmów kontrolnych.

Zarządzanie ryzykiem stron trzecich

ZADANIA KRÓTKOTERMINOWE

Szybka analiza zależności od kluczowych dostawców

Przegląd modelu współpracy i zależności od zewnętrznych dostawców z uwzględnieniem oceny ryzyka. Analiza przeprowadzona w oparciu o ustandaryzowane podejście stworzone na podstawie standardów, najlepszych praktyk rynkowych i własnego doświadczenia. Rozwiązanie pozwalające na ocenę zależności od zewnętrznych dostawców biorąc pod uwagę najważniejsze aspekty w przejrzysty sposób, nie wymagający nadmiernego nakładu pracy.

Szybka ocena dostawców względem potencjalnego wpływu kryzysu COVID

Ocena dostawców względem potencjalnego wpływu kryzysu COVID-19, w tym wpływu na prowadzoną działalność, a także zrewidowanie planów na przyszłość względem stron trzecich.

ZADANIA ŚREDNIOTERMINOWE

Transformacja modelu outsourcingu i zasad zarządzania ryzykiem dostawców zewn.

Wyciągnięcie wniosków z pandemii COVID-19 w celu rozbudowania modelu współpracy z zewnętrznymi dostawcami poprzez: zastosowanie nowoczesnych narzędzi usprawniających proces zarządzania ryzykiem stron trzecich takich jak EY Integrated Vendor Risk Compliance (IVRC) czy Third Party Risk as a Service (TPRaaS); zwiększenie świadomości w organizacji mającej na celu pokreślenie konieczności proaktywnego zarządzania ryzykiem stron trzecich; poprawę procesu raportowania; zacieśnienie współpracy w procesach obsługi incydentów – zarówno wewnętrznie jak i w ramach całego sektora biznesowego.

Aktualizacja planów ciągłości na wypadek utraty kluczowego dostawcy

Weryfikacja planów ciągłości działania dla kluczowych dostawców, obecności scenariuszy na wypadek utraty dostawcy, wdrożenie środków mitygujących ryzyko takich jak dywersyfikacja dostawców, przeniesienie zadań do zespołów wewnętrznych, uproszczenie procesów itp.

Monitorowanie stabilności kluczowych dostawców

 Profilowanie ryzyka dla zewnętrznych dostawców w oparciu o metryki operacyjne, finansowe i jakościowe. Pogłębiona analiza ryzyka i sporządzenie planów mitygujących dla dostawców wysokiego ryzyka.

Bezpośrednio na maila

Bądź na bieżąco i subskrybuj newsletter EY

Subskrybuj

Podsumowanie

Potrzebujesz więcej informacji? Jesteśmy gotowi aby wspomóc Ciebie i Twoją firmę w kluczowych obszarach, wymagających obecnie szczególnego wsparcia.

Kontakt

Porozmawiaj z jednym z naszych specjalistów o tym, jak możemy wesprzeć Cię podczas epidemii COVID-19.

Informacje

Autor Paweł Preuss

EY Polska, Lider Sektora Finansowego

Doradca sektora bankowego z ponad 20 letnim doświadczeniem w obszarze zarządzania ryzykiem i finansów. W wolnym czasie z rodziną poznaje odległe zakątki świata i pasjonuje się brytyjską piłką nożną.

Powiązane tematy COVID-19