Kto w organizacji powinien odpowiadać za przeprowadzanie testów bezpieczeństwa?

ODPOWIEDŹ

To zależy od rodzaju testów. Testy penetracyjne powinny być zlecane i nadzorowane przez dział IT lub CISO, natomiast ich wykonaniem najlepiej, aby zajmowała się zewnętrzna firma. Niezależność jest tutaj kluczowa, ponieważ trudno obiektywnie testować własne rozwiązania i procedury.

Testy procedur organizacyjnych, np. sprawdzające reakcję pracowników na phishing, mogą być koordynowane przez dział IT. Odpowiedzialność za to, aby testy w ogóle były planowane i realizowane, spoczywa jednak na administratorze danych osobowych (ADO), ponieważ to on odpowiada za wykazanie skuteczności zastosowanych zabezpieczeń.

W praktyce najlepiej sprawdza się model, w którym harmonogram testów stanowi element planu bezpieczeństwa organizacji, a wyniki trafiają zarówno do działu IT, który odpowiada za usunięcie wykrytych problemów, jak i do IOD, wspierającego ADO w zakresie zgodności z RODO.