Rozhodnutia, zdroje a kontrola
Určuje vlastníkov, schvaľuje priority a vyžaduje zrozumiteľné reporty.
Roly a zodpovednosti
Technickú prácu možno delegovať. Zodpovednosť za rozhodnutia nie.
Najväčší chaos vzniká, keď riaditeľ očakáva, že všetko vyrieši správca, správca nemá mandát ani rozpočet a zriaďovateľ nemá porovnateľné informácie zo škôl.
Podstata
Každá rola potrebuje jasný rozsah, právomoc a výstup.
RACI tabuľka alebo jednoduchá matica zodpovedností často odstráni viac rizika než ďalší bezpečnostný produkt bez vlastníka.
Prevádzka a odborné odporúčania
Spravuje prostredie, dokumentuje zmeny, eskaluje riziká a testuje postupy.
Štandard a koordinácia
Nastavuje spoločné požiadavky, porovnáva stav a plánuje investície.
Zmluvne definovaný výkon
Má jasný rozsah, reakčné časy, prístupy, dokumentáciu a povinnosť odovzdania.
Vedenie školy
Čo nemá zostať iba na správcovi
schválenie bezpečnostných a prevádzkových priorít
určenie vlastníkov systémov a údajov
rozhodnutie o akceptácii významného rizika
zabezpečenie rozpočtu a ľudských kapacít
kontrola reportov, incidentov a nápravných opatrení
nastavenie zastupiteľnosti a krízových kontaktov
IT správca
Čo má byť pravidelnou prevádzkovou disciplínou
aktuálna dokumentácia a bezpečné uloženie prístupov
správa identít, aktualizácií a konfigurácií
monitoring, incidenty a eskalácia rizík
kontrola záloh a testovanie obnovy
evidencia zariadení, licencií a životného cyklu
odovzdanie informácií pri zastupovaní alebo odchode
Zriaďovateľ a dodávatelia
Spoločné pravidlá namiesto pätnástich neporovnateľných svetov
Zriaďovateľ môže nastaviť minimálny štandard dokumentácie, zálohovania, reportingu, ochrany účtov a obstarávania. Školám tým nevezme autonómiu, ale zníži závislosť od náhodnej úrovne lokálnej správy.
Externý dodávateľ musí mať v zmluve rozsah, prístupy, reakčné časy, spôsob hlásenia incidentu, vlastníctvo konfigurácií a povinnosť odovzdania dokumentácie.
Čo má zostať po kontrole
Matica zodpovedností a pravidelný report
Každá kritická oblasť musí mať vlastníka a kontrolný bod.
zoznam systémov a ich vlastníkov
kontakty a zastupiteľnosť
rozsah interného správcu a dodávateľov
schvaľovacie a eskalačné pravidlá
pravidelný manažérsky report
otvorené riziká, termíny a rozhodnutia vedenia
Časté otázky
Praktické odpovede pre školy
Môže riaditeľ preniesť zodpovednosť za IT na externú firmu?
Môže zmluvne preniesť výkon konkrétnych činností, nie však úplne rezignovať na riadenie, kontrolu a rozhodovanie organizácie.
Kto má vlastniť globálny administrátorský účet?
Účty a tenant majú byť pod kontrolou školy, nie osobným majetkom technika alebo dodávateľa. Kritické prístupy majú byť oddelené, zdokumentované a zastupiteľné.
Oficiálne zdroje
Overujte aktuálne znenie, nie staré prezentácie.
Slov-LexZákon č. 18/2018 Z. z.Ochrana osobných údajov a zodpovednosť prevádzkovateľa
Slov-LexZákon č. 95/2019 Z. z.Riadenie informačných technológií verejnej správy
Slov-LexZákon č. 69/2018 Z. z.Kybernetická bezpečnosť a roly regulovaných subjektov
Dôležité: Táto stránka je praktické technické a organizačné vysvetlenie. Nenahrádza právne stanovisko, výkon zodpovednej osoby ani zákonný audit vykonaný oprávnenou osobou.