Scenariusz: średnia firma produkcyjna, około 180 pracowników, trzy zakłady, ERP i MES, IT częściowo outsourcowane. Firma nie ma pełnego SZBI, ale ma ISO 9001 i chce w 90 dni dojść do powtarzalnego systemu, który przetrwa audyt i nie zatrzyma produkcji.

To nie jest historia konkretnej firmy. To model wdrożenia, który można dopasować do organizacji z sektora produkcji, usług albo sektora publicznego.

Punkt startowy

  • Brak rejestru aktywów i rejestru ryzyk.
  • Polityki bezpieczeństwa istnieją częściowo, ale są rozproszone.
  • Backup jest wykonywany, ale nie ma protokołów odtworzenia.
  • Incydenty są zgłaszane mailowo, bez rejestru i klasyfikacji.
  • Dostawcy nie są oceniani pod kątem krytyczności.
  • Zarząd nie ma jednego raportu o stanie bezpieczeństwa.

Cel na 90 dni

Celem nie jest certyfikat ani idealny system. Celem jest poziom 3 dojrzałości: procesy są powtarzalne, mają właścicieli i dowody. Reszta może być zaplanowana na kolejne kwartały.

Etapy wdrożenia

Plan wdrożenia SZBI w 90 dni: sześć etapów
Plan 90 dni. Najpierw zakres i aktywa, potem ryzyko, dokumenty, kontrole, szkolenia i przegląd.

0-2 tygodnie: zakres i sponsor

Zarząd wyznacza sponsora i właściciela SZBI. Zespół roboczy ustala usługi, procesy i lokalizacje w zakresie. Powstaje mapa procesów i lista interesariuszy. Na tym etapie nie kupujemy narzędzi. Ustalamy, co naprawdę musi być chronione.

Rezultat: zakres SZBI, mapa procesów, macierz ról, plan 90 dni.

3-4 tygodnie: aktywa i luki

Zespół zbiera rejestr systemów, aplikacji, usług chmurowych, urządzeń i integracji. Dla każdego elementu wskazuje właściciela, krytyczność, dostawcę i cykl życia. Równolegle robi analizę luk: co już mamy, czego brakuje, co jest tylko na papierze.

Rezultat: rejestr aktywów, analiza luk, lista priorytetów.

5-8 tygodni: ryzyko i dokumentacja

Zespół wybiera prostą metodykę ryzyka, np. macierz 5×5, i tworzy rejestr ryzyk dla krytycznych procesów. Każde ryzyko ma właściciela, ocenę, sposób postępowania i termin. Następnie powstaje polityka bezpieczeństwa informacji i procedury szczegółowe: dostęp, backup, praca zdalna, poczta, chmura, dostawcy i incydenty.

Rezultat: metodyka ryzyka, rejestr ryzyk, polityka i procedury z zatwierdzeniem.

9-10 tygodni: kontrole i dowody

Dla najważniejszych ryzyk zespół wdraża kontrole: MFA, przegląd uprawnień, backup offline, test odtworzenia, segmentację, aktualizacje i klauzule dla dostawców. Każda kontrola ma dowód: log, protokół, raport albo zrzut konfiguracji.

Rezultat: plan kontroli, dowody wdrożenia, protokół testu backupu.

11-12 tygodni: szkolenia i ćwiczenia

Kierownik przechodzi szkolenie z art. 8e, pracownicy szkolenie z cyberhigieny, a zespół IT ćwiczy procedurę incydentu. Firma robi tabletop: ransomware w systemie ERP. Sprawdza, kto decyduje, jak informuje klientów i kiedy włącza plan awaryjny.

Rezultat: rejestr szkoleń, scenariusz ćwiczenia, raport z wnioskami.

13 tydzień: przegląd i audyt wewnętrzny

Zespół zbiera metryki, przeprowadza audyt wewnętrzny i zapisuje niezgodności. Zarząd zatwierdza plan działań korygujących na kolejne 90 dni. To moment, w którym system zaczyna żyć, a nie tylko istnieć.

Rezultat: raport z audytu, rejestr niezgodności, plan CAPA, przegląd zarządzania.

Co powstało w 90 dni

  • Rejestr aktywów i usług ICT.
  • Rejestr ryzyk i plan postępowania.
  • Polityka bezpieczeństwa informacji i procedury.
  • Rejestr incydentów i procedura zgłoszeń.
  • Rejestr dostawców i klauzule bezpieczeństwa.
  • Plan ciągłości i protokół testu backupu.
  • Rejestr szkoleń i raport z ćwiczenia.
  • Raport dla zarządu i plan działań.

Metryki, które warto mierzyć

  • Procent krytycznych aktywów z właścicielem i oceną krytyczności.
  • Liczba ryzyk wysokich bez zaakceptowanego planu działania.
  • Czas od wykrycia incydentu do zgłoszenia.
  • Procent testów backupu zakończonych sukcesem.
  • Procent dostawców krytycznych z oceną i klauzulami.
  • Procent pracowników po szkoleniu i wyniki quizu.
  • Liczba niezgodności i średni czas ich zamknięcia.

Czego nauczyło to wdrożenie

  • Nie zaczynaj od aplikacji. Najpierw zakres, aktywa i ryzyko.
  • Jeden model danych jest ważniejszy niż dziesięć arkuszy.
  • Dowody projektuj razem z procesem, nie po fakcie.
  • Zarząd musi podejmować decyzje, a nie tylko otrzymywać raport.
  • Dostawcy są częścią systemu, nie dodatkiem.
  • 90 dni wystarczy na poziom 3, ale nie na perfekcję.

Powiazane materiały

Model referencyjny i pełną listę elementów SZBI opisuje artykuł Jakie elementy powinien mieć SZBI zgodny z NIS2 i KSC. Wymagania znajdziesz w Wymagania SZBI, a praktyczny plan w Jak wdrożyć SZBI w 10 krokach.