Szacowanie ryzyka w obszarze cyberbezpieczeństwa

Szkolenie zostało zaprojektowane w sposób, który ma na celu przedstawić w skondensowany sposób najważniejsze kwestie związane z zarządzaniem ryzykiem w obszarze cyberbezpieczeństwa i ciągłości działania. Podczas szkolenia omawiana są zadania właścicieli procesów, informacji i zasobów (aktywów) oraz rola i odpowiedzialność komórek organizacyjnych odpowiedzialnych za utrzymanie systemów i infrastruktury.

Szkolenie adresuje również kwestię komunikacji i współpracy z kluczowymi interesariuszami organizacji, w tym z dostawcami zewnętrznymi i klientami.

Druga część szkolenia poświęcona jest aspektom organizacyjnym i technicznym procesu szacowania ryzyka w obszarze cyberbezpieczeństwa, zgodnie z naszą autorską metodyką oceny ryzyka ERAMIS (Evidence-based Risk Assessment Methodology for Infrastructure and Services). 

Cele szkolenia:

• Zrozumieć cele i wymagania dyrektywy NIS, Ustawy o KSC oraz przywołanych w niej norm w zakresie szacowania ryzyka w obszarze cyberbezpieczeństwa.
• Poznać terminologię stosowaną w dyrektywie NIS i Ustawie o KSC dot. szacowania ryzyka.
• Zrozumieć specyfikę zarządzania ryzykiem w obszarze cyberbezpieczeństwa, w tym kluczowe aspekty techniczne.
• Zrozumieć powiązania pomiędzy różnymi systemami zarządzania i możliwości wykorzystania ich elementów do zarządzania ryzykiem w obszarze bezpieczeństwa i cyberbezpieczeństwa.
• Uzyskać praktyczną wiedzę dotyczącą aspektów organizacyjnych i technicznych procesu zarządzania ryzykiem w obszarze bezpieczeństwa i cyberbezpieczeństwa.
• Poznać metody identyfikacji i formułowania wymagań w zakresie cyberbezpieczeństwa.
• Pozyskać wiedzę niezbędną do opracowywania, wdrażania, zarządzania i utrzymywania procesu zarządzania ryzykiem w obszarze cyberbezpieczeństwa.
• Pozyskać ekspercką wiedzę w zakresie przeprowadzania oceny ryzyka pod kątem cyberbezpieczeństwa.
• Rozwinąć umiejętności analizy, raportowania i prezentowania wyników oceny ryzyka.
• Rozwinąć wiedzę i umiejętności niezbędne do przeprowadzenia oceny ryzyka w przypadku wystąpienia incydentów i w sytuacjach kryzysowych.
• Poznać kluczowe punkty kontrolne, niezbędne do oceny prawidłowości procesu zarządzania ryzykiem w obszarze bezpieczeństwa i cyberbezpieczeństwa.

Egzamin i certyfikacja

Egzamin "Szacowanie ryzyka w obszarze cyberbezpieczeństwa" ma formę testu wielokrotnego wyboru i dotyczy następujących obszarów wiedzy:

• Obszar 1: Podstawowe zasady i koncepcje w zarządzaniu ryzykiem w obszarze cyberbezpieczeństwa
• Obszar 2: Standardy i dobre praktyki w zarządzaniu ryzykiem w obszarze cyberbezpieczeństwa
• Obszar 3: Identyfikacja wymagań w zakresie cyberbezpieczeństwa
• Obszar 4: Metodyka oceny ryzyka.
• Obszar 5: Postępowanie z wynikami oceny ryzyka i raportowanie.

Czas trwania egzaminu: 1 godzina zegarowa

Po pomyślnym zdaniu egzaminu, uczestnicy szkolenia otrzymają certyfikat ukończenia szkolenia z wynikiem pozytywnym (min. 75% poprawnych odpowiedzi).

Wszyscy uczestnicy, bez względu na wynik egzaminu otrzymają świadectwo uczestnictwa w szkoleniu. Podczas szkolenia uczestnicy zdobywają 13 godzin ciągłego doskonalenia zawodowego (CPE).

Sposób szacowania ryzyka przedstawiony podczas szkolenia jest każdorazowo dostosowywany do specyfiki organizacji reprezentowanych przez uczestników.

Szkolenie jest zgodne z normami PN-EN ISO/IEC 27001 (Systemy zarządzania bezpieczeństwem informacji — Wymagania), PN-EN ISO 22301 (Systemy zarządzania ciągłością działania — Wymagania) oraz innymi uznanymi standardami, w tym ISO 27031 („Wytyczne do gotowości technologicznej dla ciągłości działania w zakresie informacji i komunikacji”).

Kto powinien uczestniczyć?

• Kierownicy komórek organizacyjnych ds. zarządzania ryzykiem, którzy chcą doskonalić programy zarządzania ryzykiem operacyjnym i metodyki szacowania ryzyka.
• Kierownicy komórek organizacyjnych, kierownicy projektów, którzy chcą przygotować się do opracowania i wdrożenia procesu zarządzania ryzykiem w obszarze bezpieczeństwa i cyberbezpieczeństwa.
• Członkowie komórek organizacyjnych ds. zarządzania ryzykiem oraz ds. zarządzania zgodnością, którzy chcą poznać specyfikę wymagań Ustawy o KSC i wynikające z nich konsekwencje dla obszarów zarządzania bezpieczeństwem i cyberbezpieczeństwem.
• Audytorzy, którzy chcą w pełni zrozumieć wymagania dotyczące prawidłowego zarządzania ryzykiem naruszenia bezpieczeństwa i cyberbezpieczeństwa.
• Osoby odpowiedzialne za zarządzanie cyberbezpieczeństwem, pełnomocnicy ds. ochrony IK oraz koordynatorzy ds. zarządzania ciągłością działania.
• Członkowie zespołów ds. zarządzania bezpieczeństwem, cyberbezpieczeństwem lub ciągłością działania.

Zagadnienia na szkoleniu:

• Wymagania prawne i regulacyjne dotyczące KSC, dyrektywy NIS, ustawy o zarządzaniu kryzysowym oraz regulacji sektorowych.
• Normy i standardy związane z zarządzaniem ryzykiem: ISO/IEC 27001, ISO 22301, ISO 27031 oraz normy wspierające.
• Metodyka identyfikacji, analizy i szacowania ryzyka, obejmująca analizę statyczną i dynamiczną.
• Zarządzanie ryzykiem w środowisku teleinformatycznym, w tym ryzyka IT/OT i integracja z systemami zarządzania bezpieczeństwem i ciągłością działania.
• Terminologia i spójne podejście do analizy ryzyka zgodne z KSC, NIS i normami ISO.
• Dobre praktyki oraz wymagania dotyczące dokumentowania i utrzymywania procesu zarządzania ryzykiem.
• Ocena ryzyka w trakcie incydentów oraz w sytuacjach kryzysowych.
• Audytowanie procesu zarządzania ryzykiem i kluczowe punkty kontrolne.
• Raportowanie i prezentowanie wyników oceny ryzyka interesariuszom oraz zarządowi.
• Przykłady praktyczne, najczęstsze błędy i doświadczenia ekspertów z różnych sektorów.

Dwudniowe szkolenie pozwala Ci poznać sprawdzoną metodykę identyfikacji i szacowania ryzyka w środowisku teleinformatycznym, w tym w obszarze cyberbezpieczeństwa zgodnie z Ustawą o Krajowym Systemie Cyberbezpieczeństwa.

Ponieważ szkolenie zostało opracowane i jest prowadzone przez najlepszych ekspertów z wieloletnim doświadczeniem we wszystkich sektorach gospodarki, masz pewność, że każde Twoje pytanie otrzyma konkretną odpowiedź.

Zyskujesz również praktyczne wskazówki dotyczące stosowania dobrych praktyk przy wdrażaniu procesów związanych z zarządzaniem dokumentacją, szacowaniem wpływu incydentu oraz prowadzeniem audytów.

A bardziej szczegółowo?

• Zyskujesz pewność, że Twoje działania są zgodne z wymaganiami dyrektywy NIS, Ustawy o KSC i powiązanych norm, dzięki czemu minimalizujesz ryzyko błędów i niezgodności podczas audytów.

• Z łatwością poruszasz się w terminologii NIS i KSC, co usprawnia komunikację z zespołem, dostawcami i audytorami.

• Rozumiesz praktyczne zasady zarządzania ryzykiem cyber, w tym aspekty techniczne, co pozwala Ci szybciej identyfikować słabe punkty w środowisku IT.

• Widzisz, jak różne systemy zarządzania łączą się ze sobą i potrafisz wykorzystać ich elementy, aby budować spójny i efektywny proces zarządzania ryzykiem.

• Posiadasz praktyczną wiedzę operacyjną, która umożliwia Ci skuteczne zaprojektowanie i utrzymanie procesu zarządzania ryzykiem w organizacji.

• Potrafisz precyzyjnie identyfikować oraz formułować wymagania cyberbezpieczeństwa, co ułatwia wdrażanie odpowiednich zabezpieczeń i kontrolowanie ich jakości.

• Dysponujesz kompletnym zestawem kompetencji potrzebnych do opracowania, wdrożenia i prowadzenia procesu zarządzania ryzykiem cyber w sposób profesjonalny i zgodny z regulacjami.

• Posiadasz eksperckie umiejętności oceniania ryzyka cyberbezpieczeństwa, co zwiększa Twoją skuteczność w diagnozowaniu zagrożeń i rekomendowaniu działań.

• Swobodnie analizujesz, raportujesz i prezentujesz wyniki oceny ryzyka, dzięki czemu podejmowanie decyzji przez zarząd i interesariuszy staje się szybsze i bardziej świadome.

• Jesteś przygotowana(y) do wykonywania ocen ryzyka również w sytuacjach incydentów i kryzysów, co wzmacnia odporność organizacji na realne zdarzenia.

• Znasz kluczowe punkty kontrolne, które pozwalają Ci oceniać poprawność i skuteczność całego procesu zarządzania ryzykiem w bezpieczeństwie i cyberbezpieczeństwie.

Dzień 1:  Podstawy regulacyjne i organizacyjne zarządzania ryzykiem cyberbezpieczeństw

• Wstęp do tematyki zarządzania cyberbezpieczeństwem
• Omówienie celów i wymagań dyrektywy NIS i Ustawy o KSC.
• Wymagania Ustawy pod kątem operatorów usług kluczowych/dostawców usług cyfrowych
• Omówienie standardów ISO 27001 i ISO 22301 w kontekście Ustawy.
• Inne standardy zarządzania i wzajemne powiązania z obszarem cyberbezpieczeństwa.
• Omówienie kluczowych aspektów organizacyjnych procesu zarządzania ryzykiem.
• Specyfika obszaru cyberbezpieczeństwa omówienie kluczowych aspektów technicznych procesu zarządzania ryzykiem.
• Omówienie sposobu identyfikacji wymagań w zakresie cyberbezpieczeństwa, w tym wymagań w zakresie ciągłości działania oraz klasyfikacji informacji (pod kątem atrybutów bezpieczeństwa wskazanych przez ustawodawcę)

Dzień 2: Praktyczna analiza ryzyka cyberbezpieczeństwa: zagrożenia, podatności, propagacja i raportowanie

• Identyfikacja zagrożeń i ich źródeł.
• Analiza i ocena podatności komponentów infrastruktury informatycznej.
• Identyfikacja i ocena stosowanych zabezpieczeń.
• Ocena ryzyka naruszenia atrybutów bezpieczeństwa.
• Propagacja ryzyka z elementów infrastruktury na usługi oraz pomiędzy usługami.
• Dalsze postępowanie z ryzykiem.
• Wykorzystanie wyników oceny ryzyka do raportowania incydentów.
• Raportowanie i prezentacja wyników szacowania ryzyka.

Prowadzący:

Renata Davidson
Ekspert ciągłości działania i zarządzania kryzysowego

Ekspertka z ponad 25-letnim doświadczeniem w projektach BCM. Posiada certyfikaty PECB ISO 22301:2012 Master oraz PECB Lead Cybersecurity Manager.

Pełni rolę eksperta technicznego ds. normy ISO 22301 w Polskim Centrum Akredytacji. Wykładowczyni na Akademii Marynarki Wojennej w programach eMBA i DBA „Zarządzanie cyberbezpieczeństwem i usługami cyfrowymi".

Igor Ziniewicz

Zgłoszenie i warunki uczestnictwa

Koszt uczestnictwa (w zależności od terminu zgłoszenia):

•  12000 zł +VAT za grupę

Dlaczego warto zdecydować się już dziś?

• Szkolenie prowadzone jest w formule zamkniętej, co gwarantuje indywidualne podejście ekspertów do specyfiki organizacji.

• Liczba terminów jest ograniczona – eksperci realizują projekty w wielu sektorach, więc dostępność dat szybko się zapełnia.

• Metodyka szkolenia jest zgodna z obowiązującymi wymaganiami prawnymi (KSC, NIS), które organizacje muszą spełnić — opóźnienie wdrożeń zwiększa ryzyko niezgodności.

• Uczestnicy otrzymują wiedzę opartą na bieżącej praktyce rynkowej, w tym doświadczeniach ekspertów współtworzących metodykę dla NASK — to wiedza, która zmienia się dynamicznie.

• Sposób szacowania ryzyka jest dostosowywany do specyfiki organizacji, więc wcześniejsza rezerwacja pozwala przeprowadzić krótką konsultację przygotowawczą.

• Dwudniowa formuła pozwala na szybkie uporządkowanie i wdrożenie procesu ryzyka, co jest kluczowe w kontekście nadchodzących zmian regulacyjnych i sektorowych.

• Egzamin i certyfikacja potwierdzają kompetencje, co jest przydatne zarówno dla audytów, jak i dla budowania zgodności wewnętrznej.

• Szkolenie zapewnia 13 godzin CPE, które są wymagane dla wielu stanowisk (audytorzy, security officers, compliance).

• Cena grupowa pozostaje stała, więc wcześniejsza decyzja blokuje koszt bez ryzyka zmian budżetowych lub podwyżek.

REGULAMIN UCZESTNICTWA W SZKOLENIACH

Davidson Consulting i Wspólnicy Sp. z o. o.

§1. Definicje i postanowienia ogólne

Organizator: Davidson Consulting i Wspólnicy Sp. z o. o. z siedzibą w Warszawie, przy ul. Pięknej 24/26a, odpowiedzialna za organizację i przeprowadzenie Szkolenia.

Szkolenie: wydarzenie edukacyjne organizowane przez Organizatora w formie stacjonarnej, online, hybrydowej lub w formie materiałów cyfrowych (np. VOD), którego szczegółowy opis, program, cena oraz warunki uczestnictwa określone są w ofercie opublikowanej na oficjalnej stronie internetowej Organizatora.

Zgłaszający: podmiot (firma, instytucja lub przedsiębiorca prowadzący działalność gospodarczą), który dokonuje zgłoszenia Uczestnika lub Uczestników oraz jest odpowiedzialny za dokonanie płatności za udział w Szkoleniu.

Uczestnik: osoba fizyczna zgłoszona przez Zgłaszającego i uprawniona do udziału w Szkoleniu.

Niniejszy Regulamin stanowi integralną część umowy zawartej pomiędzy Organizatorem a Zgłaszającym z chwilą dokonania zgłoszenia na Szkolenie.

§2. Zasady uczestnictwa i rejestracja

1. Udział w Szkoleniach mogą brać pracownicy firm, instytucji oraz przedsiębiorcy prowadzący jednoosobową działalność gospodarczą, o ile oferta konkretnego Szkolenia nie stanowi inaczej.

2. Rejestracja na Szkolenie odbywa się poprzez formularz zgłoszeniowy dostępny na stronie internetowej Organizatora.

3. Organizator może wymagać dokonania rejestracji przy użyciu firmowego adresu e-mail powiązanego z domeną Zgłaszającego.

4. Warunkiem uczestnictwa w Szkoleniu jest:

a) dokonanie zgłoszenia poprzez wypełnienie formularza rejestracyjnego,

b) akceptacja niniejszego Regulaminu,

c) dokonanie płatności zgodnie z warunkami określonymi w §4.

5. Za moment dokonania zgłoszenia uznaje się datę i godzinę zarejestrowania formularza w systemie teleinformatycznym Organizatora.

6. Szczegółowe terminy rejestracji, limity miejsc oraz warunki uczestnictwa określone są w ofercie danego Szkolenia dostępnej na stronie internetowej Organizatora.

7. Zgłoszenie uznaje się za potwierdzone w momencie przesłania Zgłaszającemu wiadomości e-mail zawierającej potwierdzenie rejestracji oraz fakturę pro-forma lub informację o płatności.

§3. Koszty uczestnictwa i zakres świadczeń

1. Cena udziału w Szkoleniu określona jest każdorazowo w ofercie danego Szkolenia dostępnej na stronie internetowej Organizatora.

2. Organizator może stosować różne poziomy cen w zależności od momentu dokonania zgłoszenia, w szczególności ceny promocyjne, pre-order, early bird lub ceny standardowe.

3. Zakres świadczeń w ramach ceny Szkolenia określony jest w ofercie danego Szkolenia i może obejmować w szczególności:

a) udział w prelekcjach lub warsztatach,

b) materiały szkoleniowe,

c) dostęp do materiałów cyfrowych lub nagrań,

d) certyfikat udziału,

e) dodatkowe konsultacje lub usługi edukacyjne.

4. W przypadku udostępnienia nagrań lub materiałów cyfrowych dostęp do nich może być ograniczony czasowo, zgodnie z informacją podaną w ofercie Szkolenia.

§4. Płatność i warunki rezygnacji

1. Płatność za udział w Szkoleniu należy uiścić w terminie wskazanym na fakturze pro-forma lub w komunikacie przesłanym przez Organizatora, jednak nie później niż przed rozpoczęciem Szkolenia, o ile oferta danego Szkolenia nie stanowi inaczej.

2. Niedokonanie płatności nie jest równoznaczne z rezygnacją z udziału w Szkoleniu.

3. Rezygnacja z udziału w Szkoleniu powinna zostać zgłoszona drogą elektroniczną na adres e-mail Organizatora, z adresu użytego podczas rejestracji.

4. Za moment zgłoszenia rezygnacji uznaje się datę wpływu wiadomości e-mail na serwer Organizatora.

5. W przypadku rezygnacji z udziału w Szkoleniu stacjonarnym Organizator pobiera opłatę manipulacyjną w wysokości 400 zł netto, powiększoną o należny podatek VAT. Opłata ta ma charakter bezzwrotny i stanowi pokrycie kosztów administracyjnych oraz kosztów związanych z rezerwacją miejsca.

6. W przypadku rezygnacji zgłoszonej po rozpoczęciu Szkolenia lub braku udziału w Szkoleniu bez wcześniejszej rezygnacji, tzw. no-show, Zgłaszający zostaje obciążony pełnymi kosztami uczestnictwa zgodnie z ofertą danego Szkolenia.

7. Zgłaszający ma prawo wskazać inną osobę, która weźmie udział w Szkoleniu w miejsce zgłoszonego Uczestnika, pod warunkiem przekazania danych tej osoby przed rozpoczęciem Szkolenia.

§5. Zmiany, odwołanie Szkolenia i przyjmowanie zgłoszeń

1. Organizator zastrzega sobie prawo do weryfikacji zgłoszeń, w szczególności do odmowy przyjęcia zgłoszeń od podmiotów prowadzących działalność konkurencyjną wobec Organizatora.

2. Organizator zastrzega sobie prawo do zmian w terminie, programie, miejscu, prowadzących lub formule Szkolenia.

3. W przypadku istotnej zmiany dotyczącej Szkolenia Organizator poinformuje o tym Zgłaszającego drogą elektroniczną.

4. W przypadku odwołania Szkolenia z przyczyn leżących po stronie Organizatora Zgłaszający otrzyma zwrot uiszczonej opłaty w terminie do 14 dni od daty odwołania Szkolenia.

5. Organizator nie ponosi odpowiedzialności za niewykonanie lub opóźnienie w realizacji Szkolenia wynikające z działania siły wyższej. Przez siłę wyższą rozumie się zdarzenia zewnętrzne, niemożliwe do przewidzenia i pozostające poza kontrolą Organizatora, w szczególności klęski żywiołowe, awarie infrastruktury technicznej, przerwy w dostawie energii, działania władz publicznych, konflikty zbrojne, strajki lub inne zdarzenia o podobnym charakterze.

§6. Ochrona wizerunku, nagrania i prawa autorskie

1. Podczas Szkolenia Organizator może utrwalać jego przebieg w formie zdjęć, nagrań audio lub wideo w celach dokumentacyjnych, relacyjnych i promocyjnych Organizatora.

2. W przypadku szkoleń realizowanych w formule online Organizator zastrzega sobie prawo do nagrywania przebiegu Szkolenia w celach archiwizacyjnych, szkoleniowych lub organizacyjnych.

3. Wykorzystanie wizerunku Uczestników do celów marketingowych Organizatora odbywa się wyłącznie na podstawie odrębnej zgody.

4. Materiały szkoleniowe, prezentacje, nagrania oraz inne treści udostępniane podczas Szkolenia stanowią własność intelektualną Organizatora lub prowadzących.

5. Zabronione jest samodzielne nagrywanie Szkolenia, wykonywanie zapisu audio, wideo lub zrzutów ekranu przez Uczestników bez uprzedniej zgody Organizatora.

6. Zabronione jest kopiowanie, rozpowszechnianie lub udostępnianie materiałów szkoleniowych osobom trzecim bez zgody Organizatora.

§7. Rabaty dla uczestników

1. Organizator może przyznawać rabaty lub inne korzyści dla uczestników wcześniejszych Szkoleń.

2. Szczegółowe zasady przyznawania rabatów określane są w ofercie danego Szkolenia lub w komunikacji Organizatora.

§8. Ochrona danych osobowych

1. Administratorem danych osobowych Uczestników i Zgłaszających jest Organizator.

2. Dane osobowe przetwarzane są w celu organizacji i realizacji Szkolenia, wystawienia dokumentów księgowych, kontaktu organizacyjnego oraz realizacji prawnie uzasadnionych interesów Organizatora.

3. Szczegółowe informacje dotyczące przetwarzania danych osobowych znajdują się w Polityce Prywatności dostępnej na stronie internetowej Organizatora.

§9. Odpowiedzialność Organizatora

1. Szkolenia mają charakter edukacyjny i informacyjny.

2. Organizator nie ponosi odpowiedzialności za decyzje biznesowe, organizacyjne lub inwestycyjne podejmowane przez Uczestników na podstawie wiedzy uzyskanej podczas Szkolenia.