Interný manažér prináša každodennú dostupnosť a detailnú znalosť firmy. Externý manažér prináša nezávislý pohľad, skúsenosti z viacerých prostredí a kapacitu bez vytvorenia novej pracovnej pozície. Správna voľba preto nezávisí od toho, ktorý model je všeobecne lepší, ale od rizík, veľkosti, regulácie a interných možností konkrétnej organizácie.
V mnohých firmách je najpraktickejší hybridný model: interný vlastník pozná prevádzku a externý odborník zabezpečuje metodické vedenie, kontrolu a špecializovanú kapacitu.
Rýchle porovnanie možností
| Oblasť | Interný manažér | Externý manažér |
|---|---|---|
| Znalosť firmy | Hlboká znalosť ľudí, systémov a interných vzťahov | Znalosť sa buduje systematickým onboardingom a pravidelnou spoluprácou |
| Dostupnosť | Každodenná podľa pracovného úväzku | Dohodnutý rozsah, režim podpory a reakčné časy |
| Nezávislosť | Závisí od organizačného zaradenia a firemnej kultúry | Pri správne nastavenej zmluve prináša odstup od prevádzkových priorít |
| Odborný rozhľad | Silný v prostredí organizácie, rozvoj závisí od času a rozpočtu | Skúsenosti z viacerých organizácií a typov problémov |
| Náklady | Mzda, odvody, vzdelávanie, nástroje a zastupiteľnosť | Predvídateľný rozsah služby bez plného interného úväzku |
| Zastupiteľnosť | Treba ju vytvoriť interne | Môže byť súčasťou služby dodávateľa |
Porovnanie nákladov má zmysel iba pri rovnakom rozsahu. Jedna alebo dve konzultácie mesačne nie sú ekvivalentom plného interného úväzku. Naopak, menšia alebo stredná firma často nepotrebuje manažéra päť dní v týždni, ale potrebuje pravidelné riadenie, jasné výstupy a dostupnosť pri incidente.
Kedy dáva zmysel interný manažér
Interná pozícia je vhodná najmä vtedy, keď:
- organizácia je veľká, komplexná alebo prevádzkuje množstvo kritických služieb,
- bezpečnostná agenda naplní väčšinu pracovného času jednej alebo viacerých osôb,
- prebiehajú časté zmeny systémov, dodávateľov a procesov,
- firma potrebuje každodennú koordináciu s IT, právnym oddelením, nákupom a prevádzkou,
- existuje interný bezpečnostný tím, ktorý potrebuje vlastné vedenie,
- organizácia dokáže zabezpečiť odborný rozvoj, nezávislosť a zastupiteľnosť roly.
Najväčšou výhodou je znalosť kontextu. Interný manažér rozumie, ktoré procesy sú pre firmu skutočne kritické, pozná históriu rozhodnutí a vie rýchlo zapojiť správnych ľudí. Rizikom je, že sa rola postupne zmení na operatívnu IT podporu alebo dostane zodpovednosť bez potrebných právomocí.
Kedy je vhodný externý manažér
Externý manažér kybernetickej bezpečnosti je praktický najmä vtedy, keď firma:
- potrebuje skúseného odborníka, ale agenda nevyžaduje plný pracovný úväzok,
- pripravuje implementáciu NIS2, audit alebo zásadnú zmenu bezpečnostného programu,
- nemá internú osobu s dostatočnou praxou a nezávislým postavením,
- potrebuje zaviesť systém riadenia, dokumentáciu a reporting pre vedenie,
- chce nezávisle preveriť prácu IT tímu a dodávateľov,
- potrebuje dočasne preklenúť nábor alebo dlhodobú neprítomnosť interného odborníka.
Externý manažér nemá byť iba autorom dokumentov. Musí poznať prostredie firmy, pravidelne komunikovať s vedením a vlastníkmi služieb, sledovať plnenie opatrení a byť zapojený do rozhodnutí, ktoré menia rizikový profil organizácie.
Prečo je dôležitá nezávislosť od IT prevádzky
IT prevádzka a riadenie kybernetickej bezpečnosti majú spoločný cieľ, ale odlišnú úlohu. IT tím navrhuje, prevádzkuje a mení technické riešenia. Manažér kybernetickej bezpečnosti posudzuje riziká, navrhuje požiadavky, kontroluje plnenie a informuje vedenie.
Ak tá istá osoba bez primeranej kontroly navrhuje opatrenia, realizuje ich a zároveň hodnotí ich účinnosť, vzniká konflikt rolí. Slovenský zákon preto pri regulovaných subjektoch vyžaduje, aby manažér kybernetickej bezpečnosti bol pri návrhu, prijímaní a presadzovaní opatrení nezávislý od riadenia prevádzky a vývoja IT služieb.
Nezávislosť neznamená izoláciu. Manažér musí s IT úzko spolupracovať, ale potrebuje prístup k vedeniu a možnosť otvorene reportovať aj nepríjemné zistenia.
Hybridný model býva najpraktickejší
Pri hybridnom modeli zostáva v organizácii interný vlastník, ktorý zabezpečuje každodennú koordináciu. Externý manažér prináša metodiku, kontrolu, skúsenosť a kapacitu pre náročnejšie úlohy.
Typické rozdelenie môže vyzerať takto:
- interná osoba: zber informácií, koordinácia termínov, evidencia zmien, komunikácia s tímami a dodávateľmi,
- externý manažér: analýza rizík, návrh programu, reporting vedeniu, kontrola opatrení, príprava na audit a metodické vedenie incidentov,
- IT tím alebo dodávateľ: realizácia technických opatrení, prevádzka, monitoring a riešenie technických udalostí,
- vedenie: schvaľovanie priorít, zdrojov a rozhodnutí o rizikách.
Ako sa rozhodnúť
Pred výberom modelu si odpovedzte na tieto otázky:
- Aké služby a informácie sú pre firmu kritické?
- Patrí organizácia pod reguláciu a aké konkrétne povinnosti musí plniť?
- Koľko riadiacej práce vzniká každý mesiac a koľko projektov práve prebieha?
- Má interný kandidát potrebné znalosti, čas, právomoci a nezávislosť?
- Kto zastúpi manažéra počas neprítomnosti alebo incidentu?
- Aké výstupy očakáva vedenie a ako často ich potrebuje?
- Je súčasťou služby aj podpora pri incidente, audite alebo kontrole?
Dobré rozhodnutie vychádza z analýzy rizík a odhadu potrebnej kapacity. Nie z predpokladu, že externé riešenie je vždy lacnejšie alebo interné riešenie vždy kvalitnejšie.
Čo má obsahovať spolupráca s externým manažérom
- presne definovaný rozsah, zodpovednosti a hranice služby,
- prístup k vedeniu a dohodnutý spôsob eskalácie rizík,
- pravidelný harmonogram stretnutí a reportov,
- konkrétne výstupy: register rizík, plán opatrení, stav plnenia a rozhodnutia,
- reakčné časy a spôsob zapojenia pri incidente,
- pravidlá práce s dôvernými informáciami a odovzdania dokumentácie,
- merateľné ciele a pravidelné vyhodnotenie prínosu.
Najčastejšie otázky
Prenesie sa využitím externého manažéra zodpovednosť na dodávateľa?
Nie. Dodávateľ zodpovedá za dohodnuté plnenie služby, ale vedenie organizácie zostáva zodpovedné za riadenie rizík, schválenie priorít a zabezpečenie podmienok na realizáciu opatrení.
Môže byť manažérom vedúci IT?
Pri regulovanom subjekte treba posúdiť zákonnú požiadavku nezávislosti od riadenia prevádzky a vývoja IT služieb. Aj mimo regulácie je vhodné oddeliť realizáciu opatrení od ich nezávislého hodnotenia.
Koľko času mesačne externý manažér potrebuje?
Závisí to od veľkosti, rizík, aktuálnej vyspelosti a počtu zmien. Úvodná analýza a zavedenie systému zvyčajne vyžadujú viac kapacity než jeho neskoršia stabilná prevádzka. Rozsah má vychádzať z konkrétneho plánu, nie z univerzálneho balíka.
Môže externý manažér pripraviť firmu na audit?
Áno, môže koordinovať odstránenie nedostatkov, dokumentáciu a dôkazy. Samotný zákonný audit však musí zostať nezávislým overením a vykonáva ho oprávnený audítor podľa príslušných pravidiel.
Potrebujete jasno v kybernetických rizikách?
Na úvodnej konzultácii prejdeme situáciu vašej organizácie a navrhneme najbližší praktický krok.
