Klient: bank komercyjny działający w Polsce, ok. 4 mln użytkowników
Obszar: cyberbezpieczeństwo, zgodność regulacyjna, zarządzanie ryzykiem dostawców ICT
Model współpracy: usługi i technologie dostarczane bezpośrednio przez PREBYTES
Rezultat: uproszczenie nadzoru nad dostawcą, ograniczenie ryzyka łańcucha dostaw i dostęp do specjalistycznych kompetencji bez zwiększania zatrudnienia
Wraz ze wzrostem wymagań regulacyjnych bank musiał oceniać nie tylko skuteczność technologii, ale również jej pochodzenie, sposób rozwoju i liczbę podmiotów uczestniczących w świadczeniu usługi.
Rosnące wymagania regulacyjne zwiększają znaczenie zarządzania ryzykiem w łańcuchu dostaw. W przypadku banków DORA nakłada wymagania związane z odpornością operacyjną i zarządzaniem ryzykiem wynikającym ze współpracy z zewnętrznymi dostawcami ICT. RODO z kolei określa zasady korzystania z podmiotów przetwarzających oraz transferu danych poza EOG.
Każdy dodatkowy podwykonawca mógł oznaczać kolejną zależność wymagającą uwzględnienia w procesach Vendor Risk Management, due diligence i compliance. Bank potrzebował jasnej informacji, kto odpowiada za technologię, gdzie przetwarzane są dane i kto reaguje w przypadku incydentu.
Alternatywą było rozwijanie potrzebnych kompetencji wewnętrznie, co oznaczałoby nie tylko rozbudowę zespołów i rekrutację ekspertów, ale też zbudowanie procesu opartego na współpracy z integratorem, producentami technologii, dostawcami infrastruktury lub chmury oraz kolejnymi źródłami danych i podwykonawcami. W modelu z PREBYTES bank wzmacnia istniejące zespoły, korzystając z jednego partnera odpowiedzialnego za własną technologię i infrastrukturę, a tym samym ogranicza liczbę zależności i złożoność całego procesu.
Bank zdecydował się na współpracę z PREBYTES jako polskim dostawcą rozwijającym własne technologie cyberbezpieczeństwa i posiadającym własną infrastrukturę badawczą.
PREBYTES odpowiadał bezpośrednio za rozwój, utrzymanie i obsługę rozwiązań. Usługi były realizowane bez dodatkowej warstwy podwykonawców, dzięki czemu bank współpracował z jednym odpowiedzialnym podmiotem zamiast z rozbudowaną siecią dostawców.
Uprościło to nadzór nad dostawcą ICT, ocenę ryzyka oraz gromadzenie informacji potrzebnych w procesach audytowych i compliance. Bank uzyskał także większą przejrzystość w zakresie odpowiedzialności, infrastruktury i przetwarzania danych.
Model usługowy zapewnił dostęp do gotowych kompetencji i technologii bez konieczności tworzenia nowego zespołu, budowania infrastruktury ani samodzielnego utrzymywania źródeł danych.
Dojrzałość procesów PREBYTES potwierdzały certyfikacje ISO/IEC 27001:2022, ISO 9001:2015 oraz Cyber Essentials. Stanowiły one dodatkowe wsparcie podczas oceny dostawcy, audytów i okresowych przeglądów bezpieczeństwa.
Współpraca nie zastąpiła wewnętrznych zespołów banku. Rozszerzyła ich możliwości, pozostawiając po stronie klienta kontrolę nad politykami, ryzykiem i decyzjami operacyjnymi.
Bank uprościł model odpowiedzialności. Wiedział, kto tworzy i utrzymuje technologię, gdzie przetwarzane są dane oraz do kogo należy zwrócić się w przypadku incydentu.
Brak dodatkowych podwykonawców ograniczył liczbę zależności wymagających oceny i zmniejszył obciążenie zespołów bezpieczeństwa, compliance, zakupów i działu prawnego, skracając sam proces postepowań zakupowych.
Bank uzyskał dostęp do specjalistycznych kompetencji oraz własnej infrastruktury badawczej PREBYTES bez prowadzenia kosztownej rekrutacji i rozbudowy struktur. Wewnętrzni eksperci mogli skoncentrować się na zarządzaniu ryzykiem i reagowaniu na zagrożenia zamiast na utrzymywaniu kolejnych narzędzi.
Wybór polskiego dostawcy zwiększył również kontrolę nad technologią i ograniczył zależność od podmiotów działających poza europejskim otoczeniem regulacyjnym.
Dowiedz się więcej: Link do trust center: PREBYTES Trust Center | Bezpieczeństwo, zgodność, certyfikaty
.png)
