Manažér kybernetickej bezpečnosti je architektom digitálnej hradby organizácie. V dobe, kedy sú dáta cennejšie než ropa a kybernetické útoky sú bežnou súčasťou podnikania, táto osoba predstavuje most medzi technickým oddelením a vrcholovým manažmentom. Na rozdiel od systémových administrátorov, ktorí riešia „ako“ niečo funguje, manažér kybernetickej bezpečnosti rieši „prečo“ a „za akých podmienok“ má byť systém chránený.
Jeho úlohou nie je len inštalovať firewally. Musí vnímať organizáciu ako živý organizmus, identifikovať jej najzraniteľnejšie miesta a navrhnúť systém opatrení, ktoré minimalizujú dopad potenciálneho útoku. Ide o vysoko špecializovanú pozíciu, ktorá si vyžaduje kombináciu technického rozhľadu, analytického myslenia a schopnosti komunikovať zložité hrozby zrozumiteľným jazykom biznisu.
Tento odborník nesie zodpovednosť za nastavenie bezpečnostných politík, vzdelávanie zamestnancov a neustále monitorovanie legislatívneho a technologického prostredia. V slovenskom kontexte je táto rola striktne definovaná zákonom, čo jej dodáva nielen váhu, ale aj právnu zodpovednosť. V skratke: je to človek, ktorý nespí preto, aby zvyšok firmy mohol.
Postavenie podľa zákona o kybernetickej bezpečnosti
Na Slovensku definuje túto rolu primárne Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti. Podľa tohto zákona je manažér kybernetickej bezpečnosti povinnou osobou pre prevádzkovateľov základných služieb a niektorých poskytovateľov digitálnych služieb.
-
Nezávislosť: Zákon vyžaduje, aby bol manažér priamo podriadený štatutárnemu orgánu (riaditeľovi, predstavenstvu). Tým sa predchádza konfliktu záujmov – aby napríklad vedúci IT neodkýval bezpečnostné slabiny len preto, že nemá rozpočet na ich opravu.
-
Autorita: Má právomoc vydávať pokyny a kontrolovať ich plnenie v rámci celej organizácie.
Prepojenie na GDPR a ITVS
Rola manažéra kybernetickej bezpečnosti sa prirodzene prelína s ďalšími oblasťami:
-
GDPR a Zákon o ochrane osobných údajov: Kým Zodpovedná osoba (DPO) dohliada na zákonnosť spracúvania údajov, manažér kybernetickej bezpečnosti zabezpečuje technické a organizačné opatrenia, aby tieto údaje neunikli. Sú to „partneri v boji“.
-
ITVS (Informačné technológie verejnej správy): Pre štátne inštitúcie platí Zákon č. 95/2019 Z. z.. Tu sa bezpečnosť stáva integrálnou súčasťou riadenia celého životného cyklu IT systémov štátu.
Certifikačné požiadavky NBÚ
Národný bezpečnostný úrad (NBÚ) kladie na túto pozíciu vysoké nároky. Nestačí len prax, vyžaduje sa odborná spôsobilosť, ktorá sa preukazuje:
-
Vzdelaním a praxou: Minimálne 3 roky v oblasti informačnej bezpečnosti.
-
Certifikáciou: Musí byť držiteľom platného certifikátu manažéra kybernetickej bezpečnosti vydaného certifikačným orgánom akreditovaným podľa normy ISO/IEC 17024.
-
Skúškou: Absolvovanie špecializovaného vzdelávania a úspešné vykonanie certifikačnej skúšky, ktorá preverí znalosť legislatívy, štandardov (ISO 27001) a technických aspektov ochrany.
Hlavné úlohy manažéra kybernetickej bezpečnosti
| Oblasť | Konkrétna činnosť |
| Riadenie rizík | Identifikácia hrozieb a určovanie priorít pri ich odstraňovaní. |
| Legislatíva | Zabezpečenie súladu so zákonom č. 69/2018 Z. z. a vyhláškami NBÚ. |
| Incident Management | Koordinácia reakcie pri kybernetickom útoku a hlásenie incidentov NBÚ. |
| Vzdelávanie | Školenie zamestnancov, aby neotvárali podozrivé e-maily (phishing). |
| Audit a kontrola | Pravidelné testovanie bezpečnosti a kontrola plnenia prijatých opatrení. |
Interný vs. externý manažér
Organizácie majú často dilemu, či si vychovať vlastného človeka alebo si službu prenajať.
Interný manažér
-
Výhody: Detailne pozná procesy firmy, je neustále k dispozícii, buduje interné know-how.
-
Nevýhody: Vysoké mzdové náklady, riziko „prevádzkovej slepoty“, nutnosť neustáleho platenia drahých školení.
Externý manažér (ako služba)
-
Výhody: Prístup k tímu expertov (nie len k jednému človeku), nižšie náklady pre menšie firmy, objektivita a nadhľad.
-
Nevýhody: Menej intenzívny kontakt s dennou operatívou, závislosť na tretej strane.
Praktické odporúčanie
Ak hľadáte alebo ustanovujete manažéra kybernetickej bezpečnosti, zamerajte sa na komunikačné zručnosti. Technické znalosti sa dajú dobehnúť, ale schopnosť presvedčiť vedenie, aby investovalo do bezpečnosti skôr, než dôjde k problému, je kritická.
Tip: Neberte túto rolu len ako „papierovú povinnosť“ kvôli zákonu. Kvalitný manažér kybernetickej bezpečnosti vám v prípade úspešného ransomvérového útoku môže zachrániť celú firmu pred krachom.
