Proč vůbec potřebujeme „garanta“
S novým zákonem o kybernetické bezpečnosti musí firmy v režimu vyšších povinností jasně stanovit odpovědné osoby za konkrétní aktiva a procesy. Tato funkce se označuje jako garant aktiva (owner).
Poznámka: Menší firmy v režimu nižších povinností mají jednodušší požadavky - stačí jim určit jednu osobu pověřenou kybernetickou bezpečností.
Garant však není jen „kontrolor checklistu“ – zastřešuje celý životní cyklus opatření: od návrhu přes implementaci až k pravidelnému vyhodnocování.
Jak se liší od jiných rolí?
- CISO – řídí celkovou strategii a architekturu kybernetické bezpečnosti celé organizace.
- Garant – vlastní konkrétní opatření nebo proces a zajišťuje jeho trvalou funkčnost.
- Procesní vlastník – dohlíží na provozní výkon procesu, avšak bez mandátu prosazovat bezpečnostní změny.
Zjednodušeně: CISO = strategie · garant = taktické vlastnictví · procesní vlastník = provoz.
Definice: Garant je osoba s mandátem a kompetencemi, která odpovídá za fungování svěřené oblasti a má právo alokovat potřebné zdroje.
Klíčové odpovědnosti garanta
- Stanovení cílů a metrik úspěchu – např. dosažení úrovně Maturity 3 u řízení přístupu nebo snížení míry úspěšných phishingových testů pod 5 %.
- Zajištění zdrojů – schválení rozpočtu, personálních kapacit a nákup potřebných nástrojů.
- Koordinace týmů – IT, OT, HR i externích dodavatelů.
- Kontrola dodržování – pravidelné audity a kontroly za účelem prověřování a zlepšování funkčnosti bezpečnostního systému.
- Reakce na incidenty – vyšetřování, eskalace a návrh nápravných opatření povedou k efektivnější reakci na příští incident. V neposlední řadě je také nutné každý incident nahlásit na NÚKIB.
5 tipů, jak nastavit roli garanta
1. Vyberte člověka s reálným vlivem
- Garant musí mít pravomoc měnit procesy a rozpočet.
- Titul bez autority = papírové krytí.
2. Zakotvěte roli ve vnitřních předpisech
- Příkaz ředitele, organizační řád či ISMS dokumentace.
- Zabráníte „zmizení“ odpovědnosti při personálních změnách.
- Pozor na “utopení” role v organizační struktuře.
3. Seznamte garanta s riziky a cíli byznysu
- Propojte bezpečnost s konkrétním dopadem na provoz a tržby.
- Získáte smysluplnou priorizaci opatření.
4. Podpořte garanta vzděláváním a nástroji
- Kurzy CISM nebo ISO 27001 Lead Implementer potřebuje hlavně CISO, ale garantovi také neuškodí.
- Garant musí být průběžně informován, aby měl dostatečné povědomí o bezpečnosti.
- Platformy jako Kraita Cyber One pro sledování plnění opatření.
5. Definujte KPI a frekvenci reportingu
- Např. % kritických zranitelností opravených do 14 dnů.
- Reportujte čtvrtletně představenstvu.
Časté chyby při určování garanta
Shrnutí
- Garant je klíčová osoba, která udržuje bezpečnostní opatření „při životě“.
- Bez jasného mandátu a KPI se z role stává formální funkce bez dopadu.
- 5 tipů výše vám pomůže nastavit garanta tak, aby podpořil byznys i compliance.
👉 Tip: V Kraita Cyber One můžete ke každému aktivu přiřadit konkrétního garanta, sledovat jeho KPI a automaticky generovat reporty pro management.
Doporučené zdroje
- ISO/IEC 27001:2022 – Annex A, Control 5.4 Assignment of responsibilities
- NIST CSF 2.0 – Govern function, ID.GV‑3
- NÚKIB – Metodika řízení bezpečnosti (2024)
- ISACA – CISM Job Practice Areas