Szolgáltatás
Kiszervezett információbiztonsági felelős (IBF)
A legtöbb vállalatnak nincs szükséges egy teljes állású információbiztonsági felelősre. Sokkal inkább fontos számukra egy tapasztalt szakember, aki segít kezelni a kiberbiztonsági kockázatokat, biztosítja a törvényi megfelelőséget és támogatja az információbiztonsági stratégiát.
Kinek kötelező információbiztonsági felelőst kijelölni?
A 2024. évi LXIX. törvény (a NIS2 irányelv magyar átültetése) 2025. január 1. óta kötelezővé teszi az IBF kijelölését a hatálya alá tartozó szervezeteknél:
Közigazgatási szervek
Minisztériumok, kormányhivatalok, önkormányzati hivatalok – méretüktől függetlenül.
Állami többségű cégek
Legalább 50 fő, vagy 10 millió eurót meghaladó árbevétel és mérlegfőösszeg esetén.
Érintett ágazatok cégei
Energia, közlekedés, pénzügy, egészségügy, ivóvíz, digitális infrastruktúra, gyártás, élelmiszeripar és más ágazatok közép- és nagyvállalatai.
Méretüktől függetlenül
Távközlési és bizalmi szolgáltatók, DNS-szolgáltatók, domainregisztrátorok.
Kijelölt szervezetek
A hatóság által alapvetőnek vagy fontosnak azonosított szervezetek és a honvédelmi érdekű cégek.
Nem vagy biztos benne, hogy rátok vonatkozik? Egy rövid egyeztetésen megnézem a tevékenységi kört, a létszámot és az árbevételt, és megmondom, mi a teendő.
Nézzük meg együtt
Miért engem válassz?
- Információbiztonsági tanácsadói tapasztalat
- 10+ év
- Kiszervezett IBF szerepkörben szervezett tapasztalat
- 5+
- Leszállított információbiztonsági projekt és audit
- 100+
- Átlátható elszámolás, tiszta feladatmegosztás
- Praktikus, KKV környezetben is használható, gyakorlatias megközelítés
- NIS2 auditori tapasztalat
Big4-os precizitás egy kisvállalkozás rugalmasságával: velem dolgozol, nem egy kijelölt junior kollégával.
Hogyan dolgozom?
- 1
Felmérés
Rendszerek, meglévő szabályzatok, kockázatok és jogszabályi kötelezettségek.
- 2
Alapok lerakása
Biztonsági osztályba sorolás, szabályozási környezet és eljárásrendek elkészítése, kockázatelemzés.
- 3
Folyamatos működtetés
Havidíjas alapon: egyeztetések, döntéstámogatás, oktatás, incidenskezelés, naprakész dokumentáció.
- 4
Audit támogatás
Audit során kapcsolattartás az auditorral, vitás kérdések koordinálása. Adott esetben hatósági kommunikáció, kapcsolattartás.
Mik az információbiztonsági felelős feladatai?
A törvény szerint az IBF felel az információs rendszerek védelméért, értékeli és kezeli a kiberbiztonsági kockázatokat, incidens esetén koordinálja annak megoldását ill. hatósági jelentését. IBF-ként többek között az alábbi feladatokat látom el:
- Információbiztonsági szabályzatok, eljárásrendek és a biztonsági osztályba sorolás elkészítése, karbantartása
- Kockázatelemzés és üzletmenet-folytonossági tervezés
- Munkatársi tudatossági oktatás
- Kapcsolattartás a hatósággal, audit-támogatás, a jogszabályváltozások követése
- Incidenskezelés támogatása, a releváns sérülékenységek nyomon követése
- Vezetői döntéstámogatás: ott vagyok, amikor új rendszert vezettek be, beszállítót választotok vagy fejlesztésbe kezdtek
A felelősség kiszervezéskor is a vezetőnél marad – az én dolgom, hogy megalapozott döntésekre és rendben tartott dokumentációra épüljön.
Belsős vagy kiszervezett?
A törvény mindkettőt megengedi: a vezető kijelölhet belső munkatársat vagy megállapodhat egy külső szakértővel.
| Belsős | Kiszervezett | |
|---|---|---|
| Költség | Teljes állású bér és járulékok | Kiszámítható havidíj |
| Függetlenség | Állami és alapvető szervezeteknél nem lehet IT-üzemeltető vagy gazdasági vezető | Külső szakértő, nincs összeférhetetlenség |
| Tapasztalat | Egy szervezetre vonatkozó, specifikus tudás | Több iparág és audit tapasztalata |
| Folytonosság | Szabadság, betegség, felmondás megakaszthatja | Folyamatos ellátás |
| Kinek ajánlott? | Nagyvállalatoknak | KKV-knak, startupoknak, önkormányzatoknak |
Beszéljük át, mire van szükségetek
Egy rövid egyeztetésen felmérem, hol tartotok, és fix havidíjas ajánlatot adok – rejtett költségek nélkül.
Gyakori kérdések
Mi az az információbiztonsági felelős (IBF)?
Az információbiztonsági felelős összefogja és felügyeli egy szervezet információbiztonsági feladatait, a kockázatkezeléstől az incidensek bejelentésén keresztül az oktatásig. A kiberbiztonsági törvény hatálya alá tartozó szervezeteknek kötelező ilyen személyt kijelölniük.
Kötelező-e a cégünknek információbiztonsági felelőst kijelölni?
Ha a szervezet a 2024. évi LXIX. törvény hatálya alá tartozik, igen. Ez minden közigazgatási szervre, a többségi állami cégek egy részére és az érintett ágazatokban működő közép- és nagyvállalatokra vonatkozik, egyes szolgáltatókra (pl. távközlés, bizalmi szolgáltatás) méretüktől függetlenül. Ha nem vagy biztos benne, egy rövid egyeztetésen megnézzük.
Lehet-e külső szakértő az információbiztonsági felelős?
Igen. A törvény szerint a szervezet vezetője az IBF-et a szervezeten belül is kijelölheti, vagy külső személlyel is köthet rá megállapodást. Ilyenkor is meg kell nevezni a feladatot ténylegesen ellátó természetes személyt.
Milyen végzettség kell az információbiztonsági felelőshöz?
A vonatkozó kormányrendelet szerinti tanúsítvány vagy egyetemi végzettség szükséges állami, közigazgatási szervezeteknél. „Piaci” szereplőknél a törvény nem határoz meg végzettséget, de a gyakorlatban javasolt olyan személyre bízni, akinek megvan a kellő szaktudása.
Mennyibe kerül egy kiszervezett információbiztonsági felelős?
A havidíj a szervezet méretétől, a rendszerek számától és a szükséges rendelkezésre állástól függ. Egy rövid felmérés után fix havidíjas ajánlatot adok – rejtett költségek nélkül. A legtöbb vállalat számára 250 - 550 ezer forint közötti sáv a várható költség.
Mi a különbség az információbiztonsági felelős és az adatvédelmi tisztviselő (DPO) között?
Az adatvédelmi tisztviselőt a GDPR írja elő, és a személyes adatok védelmére figyel. Az információbiztonsági felelőst a kiberbiztonsági törvény, és a szervezet elektronikus információs rendszereinek biztonságáért felel – nemcsak a személyes adatokért, hanem minden rendszerért és adatért. A két terület sok ponton összeér.
Kell-e helyettest is kijelölni?
A törvény szerint indokolt esetben – például az IBF tartós távolléte vagy akadályoztatása esetére – helyettes is kijelölhető; rá ugyanazok a szabályok vonatkoznak, mint az IBF-re. Hogy nálatok szükséges-e, az a szervezet méretén és kockázatain múlik.
OT/SCADA rendszerek kiberbiztonsági kockázatkezelése az IBF feladatkörébe tartozik?
Igen, gyártásvezérlő / OT / SCADA rendszerek is az IBF "hatálya alá" tartoznak. Segítek praktikus, a gyakorlatban is használható, NIS2 kompatibilis kontroll környezetet kialakítani gyártócégek számára is.
Mi történik, ha nincs információbiztonsági felelősünk?
Megfelelőségi szempontból hatósági fellépést, adott esetben bírságot kockáztatunk. Gyakorlati szempontból pedig azt, hogy az információbiztonság nem kap kellő figyelmet, így veszélynek tesszük ki a vállalati és ügyféladatokat.