Máme zprávu z auditu a nikoho, kdo to opraví · jak postupovat?

Proč nestačí zprávu jen „vzít na vědomí“

Zpráva z auditu bez následného rozhodnutí je z pohledu odpovědnosti nejhorší možná situace. Ví-li firma o riziku a nic s ním neudělá, při incidentu nebo kontrole to působí jako nedbalost. Vědomé rozhodnutí riziko akceptovat naproti tomu legitimním manažerským krokem je · pokud je zdůvodněné a schválené.

Rozdíl spočívá v jednom slově: vědomě. Nejde o to nález ignorovat, ale explicitně rozhodnout, co se s ním stane. V auditech CIAD se opakovaně ukazuje, že firmy nálezy nezpochybňují ani neodmítají · prostě je nechají ležet ve zprávě, protože chybí proces, kdo a jak má rozhodnout dál.

Čtyři možnosti, mezi kterými reálně vybíráte

U každého nálezu z auditu máte prakticky čtyři cesty:

1. Oprava · nález se odstraní, ideálně s termínem a odpovědnou osobou.
2. Akceptace rizika · vedení vědomě rozhodne, že riziko je přijatelné vzhledem k nákladům opravy nebo nízké pravděpodobnosti dopadu.
3. Dočasný odklad s kompenzačním opatřením · oprava se neprovede hned, zavede se ale náhradní opatření, které riziko sníží (např. omezení přístupu, dodatečné logování, segmentace).
4. Outsourcing · oprava se svěří externímu dodavateli, protože interní kapacita chybí trvale, ne jen dočasně.

Volba mezi nimi závisí na třech faktorech: závažnosti nálezu, nákladech na opravu a délce reálného nedostatku kapacity. Kritický nález, například neopravená zranitelnost na veřejně dostupném serveru, by se neměl akceptovat ani odkládat · tam je namístě outsourcing nebo rychlé provizorní opatření. Nízkorizikový nález, třeba chybějící formální směrnice pro postup, který firma fakticky dělá správně, může vedení klidně akceptovat na delší dobu.

Modelový příklad: Menší výrobní firma v Pardubickém kraji dostane audit, který upozorní na neaktualizovaný firewall a chybějící zálohování jedné databáze. Interního správce na firewall nemá · řešením je smlouva s externím IT dodavatelem na pravidelnou správu. Zálohování databáze naopak zvládne stávající administrátor za dva týdny, takže jde do plánu oprav s konkrétním termínem. Vedení navíc rozhodne, že riziko spojené s chybějící dvoufaktorovou autentizací u méně citlivého systému na půl roku akceptuje, protože náklady na okamžité řešení převyšují aktuální dopad. Rozhodnutí je zapsané, podepsané a má termín přehodnocení.

Jak se rozhodnutí zapisuje, aby obstálo při kontrole

Rozhodnutí bez záznamu je z pohledu důkazu, jako by neexistovalo. Remediační plán by měl u každého nálezu obsahovat popis nálezu, zvolenou reakci (oprava/akceptace/odklad/outsourcing), zdůvodnění volby, odpovědnou osobu, termín a datum příštího přehodnocení.

Takový dokument nemusí být složitý · často stačí tabulka v jednom sešitu, kterou vidí a schvaluje vedení, ne jen IT oddělení. Akceptaci rizika musí podepsat osoba s rozhodovací pravomocí, protože jde o rozhodnutí s dopadem na celou firmu, nikoli jen o technickou poznámku.

Klíčovým prvkem, který se často vynechává, je termín přehodnocení. Riziko akceptovatelné dnes nemusí být akceptovatelné za rok · mění se prostředí, hrozby i hodnota dat. Proto by měl mít každý akceptovaný nebo odložený nález datum, kdy se k němu firma vrátí a znovu zváží, zda rozhodnutí stále platí.

Kdy dává smysl outsourcing místo interního řešení

Outsourcing dává smysl tam, kde kapacita chybí trvale, ne jen momentálně kvůli vytížení. Nemá-li firma a nebude-li mít vlastního specialistu na kybernetickou bezpečnost, je racionálnější uzavřít smlouvu s externím dodavatelem na pravidelnou správu a opravu nálezů, než je donekonečna přesouvat v tabulce.

Při výběru externího dodavatele se vyplatí ověřit, že rozumí kontextu nálezů z auditu, nejen že „opraví, co se řekne“. Dobrý dodavatel umí sám navrhnout prioritizaci a případně doporučit akceptaci u nálezů, kde oprava ekonomicky nedává smysl.

Co to znamená: Zpráva z auditu bez kapacity na opravu není důvod k panice ani k mlčení · je to podnět k rozhodnutí. Každý nález potřebuje vlastníka a jednu ze čtyř cest (oprava, akceptace, odklad, outsourcing), zapsanou s datem a zdůvodněním. Právě tento záznam, ne bezchybný stav systémů, firmu chrání při kontrole nebo po incidentu.