Cyberbezpieczeństwo pod nadzorem zarządu

23 LUTEGO 2027 R.

8.45 Rejestracja na szkolenie

9.00 Rozpoczęcie szkolenia

NIS2/KSC – mapa obowiązków Zarządu

• Najważniejsze wymagania NIS2 i znowelizowanej ustawy o Krajowym Systemie Cyberbezpieczeństwa
• Podmiot kluczowy i podmiot ważny – znaczenie prawidłowej kwalifikacji
• Kierownik podmiotu i odpowiedzialność organu wieloosobowego
• Coroczny obowiązek szkoleniowy
• Wykaz KSC, obowiązki rejestrowe, osoby kontaktowe i System S46
• System Zarządzania Bezpieczeństwem Informacji – co powinien wiedzieć Zarząd?
• Personel, dokumentacja, incydenty, struktury odpowiedzialności i audyt
• Case study: „Cyberbezpieczeństwo jest pod kontrolą” – jakich informacji powinien zażądać Zarząd, zanim zaakceptuje taką ocenę?

Odpowiedzialność i delegowanie – czego nie można po prostu „oddać CISO”?

• Za co odpowiada kierownik podmiotu?
• Odpowiedzialność Zarządu a operacyjne wykonywanie zadań przez CISO, IT i inne funkcje
• Decyzje dotyczące systemu zarządzania bezpieczeństwem, zasobów i finansowania
• Podział kompetencji i nadzór nad realizacją zadań
• Rola Zarządu w budowaniu świadomości personelu
• Dokumentowanie procesu decyzyjnego i sprawowania nadzoru
• Sytuacja decyzyjna: „To zadanie CISO” – gdzie przebiega granica pomiędzy delegowaniem zadania a odpowiedzialnością Zarządu?

Cyber Risk Governance – jak Zarząd powinien rozumieć ryzyko?

• Cyberbezpieczeństwo jako ryzyko biznesowe, operacyjne, prawne i reputacyjne
• Ryzyko inherentne i rezydualne
• Wpływ ryzyka na działalność i ciągłość procesów
• Jak przekształcić raport techniczny w informację zarządczą?
• Kiedy ryzyko wymaga akceptacji lub decyzji na poziomie Zarządu?
• Adekwatność zabezpieczeń, budżet i zasoby
• Jakich informacji i wskaźników powinien wymagać Zarząd?
• Case study: bezpieczeństwo kontra budżet – jakich informacji potrzebuje Zarząd, zanim zaakceptuje lub odroczy istotną inwestycję w cyberbezpieczeństwo?

SZBI, ciągłość działania i dostawcy – co powinien widzieć Zarząd?

• System Zarządzania Bezpieczeństwem Informacji z perspektywy Zarządu
• Ryzyko, aktywa, dostęp, podatności, incydenty i ciągłość działania
• ISO/IEC 27001 i ISO 22301 jako elementy istniejącego systemu zarządzania
• Dlaczego certyfikat nie oznacza automatycznie realizacji obowiązków KSC?
• Outsourcing a odpowiedzialność organizacji
• Dostawcy ICT, cloud, SaaS i MSSP
• Bezpieczeństwo łańcucha dostaw
• SLA, obowiązki informacyjne, obsługa incydentów, podwykonawcy i exit plan
• Case study: „Cyberbezpieczeństwo mamy w outsourcingu” – co mimo korzystania z zewnętrznego dostawcy nadal powinien wiedzieć i nadzorować Zarząd?

AI jako nowe źródło Cyber Risk – co powinien widzieć Zarząd?

• Generative AI i Shadow AI w organizacji
• Przekazywanie danych do zewnętrznych modeli i narzędzi AI
• AI w procesach krytycznych i w łańcuchu dostaw ICT
• Dostawcy AI jako element third-party risk
• Nowe wektory ryzyka: social engineering, deepfake i phishing wspierany AI
• Kiedy wykorzystanie AI zmienia profil cyberryzyka organizacji?
• Cyber risk, privacy i AI governance – gdzie spotykają się obowiązki?
• Case study: „Przecież wszyscy używają AI” – kiedy sposób wykorzystywania narzędzi AI staje się problemem wymagającym informacji lub decyzji Zarządu?

Incydent – kiedy problem techniczny staje się problemem Zarządu?

• Kiedy informacja o incydencie powinna trafić do Zarządu?
• Ścieżka eskalacji i zakres informacji potrzebnych do decyzji
• Role CISO, IT, Legal, Compliance, biznesu i komunikacji
• Obowiązki związane z incydentem poważnym
• Równoległe obowiązki wynikające z KSC, ochrony danych i zobowiązań kontraktowych
• Podejmowanie decyzji przy niepełnych informacjach
• Ciągłość działania i przywracanie usług
• Komunikacja z organami, klientami i innymi interesariuszami
• Dokumentowanie procesu decyzyjnego

Symulacja: Zarząd w sytuacji kryzysowej

• Uczestnicy wcielają się w Zarząd fikcyjnego przedsiębiorstwa i reagują na rozwijający się incydent cyberbezpieczeństwa
• Kolejne informacje przekazywane są stopniowo – sytuacja zmienia się wraz z rozwojem zdarzenia
• Zakłócenie kluczowych procesów i możliwy cyberatak
• Problem po stronie kluczowego dostawcy
• Ryzyko naruszenia poufności informacji i wątek wykorzystania AI
• Obowiązki regulacyjne i presja czasu
• Komunikacja z klientami i otoczeniem
• Podejmowanie decyzji dotyczących ciągłości i przywracania działalności przy niepełnej wiedzy o zdarzeniu
• Warsztat decyzyjny: jakich informacji potrzebuje Zarząd, co powinien zdecydować, co może delegować i co należy udokumentować?

Debrief – czego nauczył nas incydent?

• Jakich informacji zabrakło Zarządowi?
• Które decyzje były najtrudniejsze?
• Co zostało zbyt szybko zdelegowane?
• Gdzie odpowiedzialność była niejasna?
• Jakie informacje i mechanizmy powinny być dostępne jeszcze przed wystąpieniem incydentu?
• Jakie elementy procesu powinny pozostawić dowód?
• Model pracy: prawo → ryzyko → informacja → decyzja → odpowiedzialność → dowód

Audyt, kontrola i dowody sprawowania nadzoru

• Obowiązki audytowe wynikające z KSC
• Rola raportów z audytów i działań naprawczych
• Monitorowanie realizacji zaleceń
• Akceptacja ryzyka
• Dashboardy i raportowanie do Zarządu
• Uchwały, protokoły i inne dowody procesu decyzyjnego
• Jak dokumentować rzeczywiste wykonywanie funkcji zarządczej i nadzorczej?

KSC Self-Check – „Jak wyglądałoby to u mnie?”

• Czy wiem, kiedy problem cyberbezpieczeństwa powinien zostać eskalowany?
• Czy wiem, kto poinformuje Zarząd o istotnym incydencie?
• Czy raporty dotyczące cyberbezpieczeństwa pozwalają podejmować decyzje?
• Czy wiem, którzy dostawcy są krytyczni dla działalności organizacji?
• Czy znam najważniejsze cyberryzyka akceptowane przez organizację?
• Czy wiem, w jakim zakresie wykorzystywane są narzędzia AI?
• Czy model działania zadziała również poza standardowymi godzinami pracy?
• Czy wiem, jakie dowody dokumentują wykonywanie obowiązków przez Zarząd?
• Indywidualna refleksja: 3–5 pytań, które warto zadać po powrocie do własnej organizacji

16.00 Zakończenie szkolenia

Materiały w formie elektronicznej

Szkolenie prowadzone jest na platformie clickmeeting

• • Wymagania sprzętowe:
  • Wymagania przeglądarki w laptopie/komputerze stacjonarnym:
  • aktualne wersje przeglądarek Chrome, Firefox
  • przeglądarki: Safari, IE, Edge powinny działać
  • Wymagania w telefonie/tablecie:
  • telefon z Androidem 6.0+ i korzystający z przeglądarki Chrome
  • telefon z system iOS 12.2+(iPhone) i przeglądarką Safari Mobile
  • podczas dołączania do pokoju, należy pozwolić aplikacji (będzie komunikat systemowy) na dostęp do mikrofonu)
  • Wymagania sieciowe:
  • dla uczestnika szkolenia: min. 2 Mbits/sek pobieranie (download) oraz 1 Mbits/sek wysyłanie (upload)
  • można korzystać z Internetu w telefonie tzw. LTE
  • w sieciach firmowych należy sprawdzić firewall i skontaktować się ze swoim działem IT i przekazać im następującą informację:“Aplikacja do webinarów korzysta z portów TCP 80/443(HTTP/HTTPS) UDP 16384-32767 do WebRTC audio”
  • Wymagania fizyczne:
  • do słuchania webinaru potrzebny jest tylko głośnik/słuchawki w komputerze
  • do przesyłania dźwięku potrzebny jest mikrofon
  • kamera wbudowana w laptopa/telefon jest wystarczająca

Link do spotkania online wraz z danymi dostępowymi zostanie przekazany przed rozpoczęciem usługi.