erisk wspiera zarządzanie ryzykiem w ZUS

ZUS poszukiwał partnera, który zaktualizuje i zinformatyzuje metodykę zarządzania ryzykiem bezpieczeństwa informacji. Dostawca oprogramowania musiał sprostać wysokim wymaganiom, w tym udokumentować doświadczenie z wdrożeń w dużych organizacjach o podobnej specyfice. Narzędzie miało umożliwiać wdrożenie metodyk zgodnie z wymaganiami norm ISO 27001, ISO 27005 oraz ISO 31000. Wśród kluczowych oczekiwań wymieniano m.in. gromadzenie i porównywanie danych ze wszystkich departamentów centrali i jednostek terytorialnych (łącznie 80 lokalizacji); analitykę i raportowanie, ponadto ważne było zapewnienie dostępu do danych w każdym momencie i z każdego miejsca. Narzędzie miało być elastyczne, łatwe w obsłudze oraz gotowe do dalszego rozwoju i modyfikacji w zależności od potrzeb. Oferowane przez nas oprogramowanie erisk w pełni wpisywało się w te potrzeby i zapewniało zgodność z międzynarodowymi standardami.

Projekt rozpoczął się w styczniu 2020 i trwał do końca roku. Co warto zaznaczyć, został zrealizowany szybko i pomyślnie pomimo wielkości organizacji, jej rozproszonej struktury i trwającej pandemii COVID-19.

Opracowaliśmy dokumentację techniczną

Pierwszym krokiem była dokładna analiza wymagań. W tym celu przyjrzeliśmy się funkcjonującemu modelowi zarządzania ryzykiem bezpieczeństwa informacji w kontekście wymagań biznesowych, potrzeb, kierunków i możliwości jego doskonalenia. Wyniki analizy posłużyły nam do opracowania koncepcji modelu zarządzania ryzykiem, projektu bazy danych i dokumentacji systemowej.

Dostarczyliśmy narzędzie

Dostarczyliśmy licencję na erisk. Narzędzie składało się z trzech modułów: Ryzyko, Zdarzenia operacyjne i Raporty. W zależności od modułów przyznaliśmy odpowiednie licencje, w tym dla samego modułu Ryzyko były to 222 licencje wieczyste.

Skonfigurowaliśmy i dostosowaliśmy erisk

Odpowiednio przygotowaliśmy narzędzie, aby mogło być wykorzystane w przyszłości w innych obszarach zarządzania, tj. ciągłość działania, ryzyko operacyjne i RODO. Zaimplementowaliśmy metodykę zarządzania ryzykiem bezpieczeństwa informacji oraz ustaliliśmy docelową strukturę i hierarchię formularzy. Największym wyzwaniem było tu stworzenie w pełni zarządzanego rejestru ryzyka w tak ogromnej organizacji, jaką jest Zakład Ubezpieczeń Społecznych. Jednak i tutaj erisk zdało egzamin, ponieważ jest w pełni elastyczne i daje możliwość zastosowania m.in. bibliotek lokalnych, indywidualnej analizy i oceny właściciela ryzyka czy list referencyjnych ryzyk na poziomie centralnym i lokalnym.

Przeprowadziliśmy warsztaty

Jednym z wymagań projektu było przeszkolenie i przygotowanie użytkowników narzędzia do identyfikacji, analizy, oceny i szacowania ryzyk oraz budowy planów postępowania z ryzykami nieakceptowalnymi. Przeprowadziliśmy praktyczne warsztaty z obsługi narzędzia dla wybranych pracowników, w tym właścicieli ryzyk i administratora merytorycznego. Wspólnie z uczestnikami warsztatów zbudowaliśmy w narzędziu erisk bazę wiedzy na temat ryzyk, co było jednym z kluczowych elementów realizowanego projektu i optymalizowanego procesu zarządzania ryzykiem w bezpieczeństwie informacji. Warsztaty odbyły się on-line ze względu na panującą pandemię, ale nie zmniejszyło to ich wartości merytorycznej.

Zapewniliśmy wsparcie techniczne i merytoryczne

ZUS mógł liczyć na wsparcie naszych konsultantów, którzy byli do ciągłej jego dyspozycji, również po zakończeniu projektu. W ramach asysty technicznej pomagaliśmy w obsłudze i optymalizacji narzędzia, w tym wprowadziliśmy odpowiednie modyfikacje w bazie danych i nowe opcje.

• Automatyzację procesu zarządzania ryzykiem bezpieczeństwa informacji.
• Skrócenie czasu przygotowania raportów i ograniczenie ich wadliwości.
• Optymalizację rejestru ryzyka bezpieczeństwa informacji i zwiększenie wartości przekazywanych danych.
• Dostęp do zawsze aktualnych i spójnych danych w dowolnym momencie i zestawieniu oraz możliwość analizy i oceny ryzyka w poszczególnych terenowych jednostkach organizacyjnych.
• Wzrost świadomości pracowników w zakresie zarządzania ryzykiem bezpieczeństwa informacji.