Security Operations Center (SOC) — zespół i narzędzia monitorujące bezpieczeństwo IT organizacji 24 godziny na dobę — bywa dziś przedstawiany jako uniwersalne rozwiązanie na wymogi NIS2. Artur Markiewicz z ISSA Polska, prezentując na konferencji dla administracji publicznej organizowanej przez GigaCon temat wprost zatytułowany „Jak (nie) kupować SOC”, ostrzegał przed najczęstszym błędem instytucji publicznych — traktowaniem zakupu usługi SOC jako jednorazowej transakcji, która automatycznie rozwiązuje problem zgodności.
W rzeczywistości SOC, żeby działał skutecznie, wymaga dobrze zdefiniowanych procesów po stronie klienta — kto w instytucji odbiera alerty od dostawcy SOC, w jakim czasie musi zareagować, jakie ma uprawnienia do podjęcia działań. Bez tego nawet najlepszy zewnętrzny SOC generuje alerty, na które nikt nie reaguje na czas, co w praktyce daje złudne poczucie bezpieczeństwa zamiast realnej ochrony.
Testy bezpieczeństwa jako element audytu
Bartosz Wiszniewski z Galach Consulting, prezentujący na tej samej konferencji temat testów bezpieczeństwa infrastruktury IT, pokazywał, jak takie testy wpisują się w szerszy audyt systemu zarządzania bezpieczeństwem informacji (SZBI). Regularne testy penetracyjne czy skanowanie podatności to nie jednorazowe wydarzenie przed audytem, tylko stały element cyklu zarządzania bezpieczeństwem — instytucje, które traktują je jako coroczny obowiązek do odhaczenia, zwykle są zaskoczone, gdy między jednym testem a drugim pojawia się poważna luka.
Adam Parysz z ISSA Polska, analizując incydenty bezpieczeństwa z lat 2024-2025, zwracał uwagę na powtarzający się wzorzec — wiele udanych ataków na instytucje publiczne wykorzystywało luki znane i możliwe do wykrycia znacznie wcześniej, gdyby regularne testy były przeprowadzane konsekwentnie, a nie okazjonalnie.
Budżet na bezpieczeństwo jako proces, nie jednorazowy wydatek
Instytucje publiczne, ograniczone sztywnymi procedurami budżetowymi, mają trudniej niż firmy prywatne z elastycznym reagowaniem na nowe zagrożenia w trakcie roku. Tym bardziej istotne jest planowanie budżetu na bezpieczeństwo jako stałego procesu, a nie jednorazowej pozycji w budżecie inwestycyjnym.
Jeśli pracujecie w administracji publicznej i odpowiadacie za bezpieczeństwo IT, warto zobaczyć więcej praktycznych wskazówek. Zapisz się na konferencję IT w Administracji organizowaną przez GigaCon.