Wyzwania informatyki bankowej 2016

z co najmniej 2-, a jeszcze lepiej z 5-letnim doświadczeniem. Przypomina to
bardzo sytuację z rynku cloud computing, gdzie w cenie są specjaliści z co
najmniej 5-, a najlepiej 10-letnim stażem. W przypadku cloud computing problemem
jest fakt, że takich ludzi praktycznie nie ma, ponieważ dekadę temu
prawie nikt nie słyszał o chmurze. Nie przeszkadza to jednak działom HR tworzyć
takie wymagania. Oczywiście odpowiedź rynku pracy jest przewidywalna:
nagle pojawiło się wielu „specjalistów” z wieloletnim doświadczeniem,
właśnie rozważających zmianę miejsca zatrudnienia. W wielu przypadkach ci
ludzie nie mieli nawet wiele wspólnego z technologiami internetowymi. O ile
jednak w przypadku usług cloud computing najgorsze co może się zdarzyć to
strata finansowa inwestorów na skutek zatrudnienia niekompetentnych osób,
o tyle powielenie tego schematu w obszarze bezpieczeństwa ma dalekosiężne,
negatywne skutki. Z drugiej strony niedobrze jest, gdy w procesie rekrutacji
odpadają eksperci od bezpieczeństwa, bo nie przykleili sobie łatki „cyber”. Temat
braku kompetentnych ludzi w organizacji i właściwej edukacji zostanie
poruszony jeszcze dalej.
Pojęcie „cybersecurity” może więc sugerować, że wcześniej nikt nie zajmował
się bezpieczeństwem infrastruktury sieciowej, bezpieczeństwem aplikacyjnym,
ochroną fizyczną, ochroną danych osobowych, polityką bezpieczeństwa,
compliance czy zarządzaniem ryzykiem… Można tak jeszcze długo
wymieniać, ale od razu widać, że tak nie jest. Przecież – zwłaszcza w sektorze
finansowym – od lat zatrudnione są kompetentne osoby odpowiedzialne za
powyższe zagadnienia. Od lat stosowane jest stanowisko Chief Information
Security Officer (CISO) w średnich i dużych organizacjach. Czym w takim
razie powinien zajmować się ekspert od cyberbezpieczeństwa? Czy w dobie
Internet of Things czy chmury powinien się zajmować takim zagadnieniem,
jak np. bezpieczeństwo fizyczne? W teorii jest to zagadnienie nie bardzo
„cyber”. Praktyka okazuje się jednak inna. Załóżmy na chwilę, że „nasz”
ekspert będzie dbał o cybersecurity w organizacji pełniącej funkcję Cloud
Service Provider (CSP). Organizacja nie posiada jednak własnej infrastruktury
IT, lecz sama korzysta z chmury. Skoro żadna infrastruktura IT nie jest
własnością organizacji ani nie jest zlokalizowana po jej stronie, łatwo sobie
również wyobrazić, że nie potrzeba biur – cała praca może być wykonywana
zdalnie. Nie trzeba więc zajmować się nieciekawymi zajęciami, takimi jak wydawanie
i odbieranie identyfikatorów z kartą dostępu, organizować ćwiczeń
ewakuacji obiektów, zarządzać planami ochrony obiektu, itd. Świetnie, a więc
164 Aleksander P. Czarnowski, AVET