Ali lahko direktor ali člani uprave osebno odgovarjajo za kibernetski incident?

Kratek odgovor je: da.

Daljši odgovor je nekoliko manj enoznačen in bistveno bolj pomemben za razumevanje odgovornosti vodstva v praksi.

Ko pride do kibernetskega incidenta, se običajno pozornost najprej usmeri v tehnične vidike. Kaj se je zgodilo, kje je bila ranljivost, kako je prišlo do vdora in podobno. Vendar pa se danes težišče presoje vse bolj pomika k vprašanju, ali je organizacija ustrezno obvladovala tveganja in ali je vodstvo sprejemalo ustrezne odločitve.

Z zahtevami, ki izhajajo iz ZInfV-1 in NIS2, informacijska varnost ni več zgolj tehnično ali operativno področje. Postala je del upravljanja organizacije in s tem odgovornost vodstva.

To ne pomeni, da direktor ali člani uprave odgovarjajo za vsak incident. Pomeni pa, da lahko odgovarjajo zaradi načina, kako je do incidenta prišlo.

Če je organizacija sprejela ustrezne ukrepe, izvajala nadzor, razumela tveganja in kljub temu utrpela incident, je lahko takšen dogodek del običajnega poslovnega tveganja. Popolne varnosti ni in regulativa tega tudi ne zahteva.

Drugače pa je v primerih, ko se izkaže, da:

• tveganja niso bila ustrezno identificirana,
• odločitve niso bile utemeljene,
• ukrepi niso bili izvajani,
• vodstvo sploh ni imelo vpogleda v upravljanje informacijskih tveganj.

V takšnih situacijah incident ni več zgolj tehnični problem, temveč postane posledica pomanjkljivega upravljanja.

In prav tu se odpre vprašanje osebne odgovornosti.

V praksi se pogosto pokaže skozi na videz povsem običajne odločitve. Na primer, da se določeno tveganje ne obravnava, ker se ocenjuje kot malo verjetno. Da so sprejete politike zadosten dokaz urejenosti. Da se priprava načrtov za odziv na incidente odloži, ker “se ni še nič zgodilo”. Ali da s informacijska varnost v celoti prepusti zunanjim izvajalcem.

Vsaka od teh odločitev je lahko razumljiva. Težava nastane, ko zanjo ni mogoče pokazati jasne podlage.

Regulativa namreč ne zahteva le ukrepanja, temveč tudi dokazovanje. Ne zadostuje, da organizacija meni, da je ravnala pravilno, temveč mora biti sposobna to tudi utemeljiti.

V tem smislu odgovornost ne pomeni, da bi morali vodilni poznati vse tehnične podrobnosti, temveč da razumejo tveganja na ravni, ki omogoča sprejemanje učinkovitih odločitev. Ključno je, da obstaja povezava med tveganji, izvedenimi ukrepi in razpoložljivimi viri.

Pomembno je tudi zavedanje, da prenos izvajanja ne pomeni prenosa odgovornosti. Uporaba zunanjih izvajalcev, oblačnih storitev ali specializiranih partnerjev je lahko ustrezna odločitev, vendar je vodstvo še vedno odgovorno za informacijsko varnost.

Vprašanje odgovornosti direktorja in članov uprave za kibernetski incident je zato dejansko vprašanje kakovosti upravljanja informacijskih tveganj.

Ne gre za to, da se incident lahko zgodi, temveč ali je organizacija naredila vse, kar je razumno pričakovati, da bi tveganje obvladovala in se incidentu izognila.

In če želi vodstvo takšno razumevanje prenesti v prakso, potrebuje več kot zgolj pravne formulacije ter splošna načela.

Prav temu pa je namenjen priročnik o upravljanju informacijskih tveganj, ki sistematično povezuje vprašanje odgovornosti vodilnih, zakonske zahteve in rešitve za upravljanje informacijskih tveganj.