System zarządzania cyberbezpieczeństwem

System zarządzania cyberbezpieczeństwem to uporządkowany sposób organizowania ochrony informacji i innych zasobów informacyjnych organizacji przed cyberzagrożeniami. Pojęcie to, zdefiniowane w ustawie o krajowym systemie certyfikacji cyberbezpieczeństwa, obejmuje nie pojedyncze zabezpieczenie ani jednorazowe działanie, lecz zestaw przyjętych w organizacji procedur i wytycznych oraz stały sposób postępowania.

Istotą systemu jest systematyczne zajmowanie się bezpieczeństwem sieci i systemów informatycznych. W jego ramach organizacja powinna kolejno lub równolegle:

• ustanawiać rozwiązania służące bezpieczeństwu, czyli określać zasady, procedury i wytyczne ochrony;
• wdrażać te rozwiązania w praktyce;
• zapewniać ich bieżącą obsługę i funkcjonowanie;
• monitorować ich działanie oraz poziom bezpieczeństwa;
• przeprowadzać przeglądy sieci i systemów informatycznych.

Elementem definicji jest także cel tych działań, którym jest ochrona zasobów informacyjnych organizacji przed cyberzagrożeniami. System powinien więc obejmować zarówno rozwiązania organizacyjne, takie jak ustalone sposoby postępowania, jak i działania odnoszące się bezpośrednio do sieci oraz systemów informatycznych. Ważne jest również zachowanie ciągłości procesu. Samo przyjęcie procedur nie wystarcza, jeżeli nie są one stosowane, nadzorowane i okresowo sprawdzane.

W ustawie pojęcie służy określeniu zorganizowanego modelu zarządzania ochroną cyberbezpieczeństwa. Pozwala opisać, że bezpieczeństwo organizacji jest traktowane jako proces wymagający planowania, wdrożenia, utrzymania i oceny, a nie jako rezultat jednego środka technicznego. W praktyce system zarządzania cyberbezpieczeństwem pomaga uporządkować odpowiedzialność i działania związane z ochroną informacji, kontrolować funkcjonowanie przyjętych rozwiązań oraz dostrzegać potrzebę ich przeglądu i dalszego doskonalenia.