Specjalista do spraw zarządzania ryzykiem w obszarze cyberbezpieczeństwa (Cybersecurity risk manager) – kod 252914 w klasyfikacji zawodów i specjalności (KZiS 2025). Specjalista do spraw zarządzania ryzykiem w obszarze cyberbezpieczeństwa prowadzi rejestr ryzyk teleinformatycznych, szacuje prawdopodobieństwo i skutki zdarzeń oraz proponuje sposób postępowania z ryzykiem. Prowadzi warsztaty z właścicielami systemów, inwentaryzuje zasoby informacyjne, ocenia dostawców, analizuje skutki przerwania działania usług i przygotowuje raporty dla zarządu oraz dla komitetu audytu.
Specjalista do spraw zarządzania ryzykiem w obszarze cyberbezpieczeństwa (Cybersecurity risk manager) – wymagania w stosunku do pracownika
- wykształcenie wyższe oraz znajomość metodyk szacowania ryzyka w bezpieczeństwie informacji, w tym normy ISO 27005,
- umiejętność przeprowadzenia analizy skutków przerwania działania usług i wyznaczenia dopuszczalnego czasu przestoju,
- umiejętność prowadzenia warsztatów z właścicielami systemów i formułowania ryzyka w języku zrozumiałym dla zarządu,
- znajomość zasad oceny bezpieczeństwa dostawców i podmiotów przetwarzających dane,
- umiejętność pracy z arkuszami kalkulacyjnymi, rejestrem ryzyk i narzędziami do raportowania,
- znajomość wymagań przepisów o krajowym systemie cyberbezpieczeństwa i o ochronie danych osobowych.
Inne nazwy stanowiska
Opis zagrożeń i ryzyk zawodowych na tej stronie obejmuje również stanowiska nazywane w dokumentacji zakładowej i ogłoszeniach o pracę:
- analityk ryzyka teleinformatycznego,
- specjalista oceny ryzyka bezpieczeństwa informacji,
- koordynator rejestru ryzyk teleinformatycznych,
- specjalista do spraw ciągłości działania systemów informacyjnych,
- specjalista szacowania ryzyka cybernetycznego.
Badania
- wstępne badania lekarskie przed rozpoczęciem pracy,
- okresowe badania lekarskie z badaniem narządu wzroku w związku z pracą przy monitorze ekranowym powyżej 4 godzin dziennie,
- kontrolne badania lekarskie po niezdolności do pracy z powodu choroby trwającej dłużej niż 30 dni,
- ocena zdolności do kierowania samochodem służbowym w dojazdach na warsztaty i oceny dostawców, jeżeli pracownik prowadzi pojazd,
- okulary korygujące wzrok do pracy przy monitorze, jeżeli wskaże je lekarz.
Szkolenia bhp i inne
- szkolenie wstępne bhp – instruktaż ogólny i instruktaż stanowiskowy,
- szkolenie okresowe bhp – nie rzadziej niż co 6 lat dla stanowisk administracyjno-biurowych,
- instruktaż ergonomii stanowiska z monitorem ekranowym i zasad organizacji przerw,
- instruktaż zasad poruszania się po terenie zakładu i wejścia do serwerowni przy wizytach u dostawców,
- szkolenie z ochrony informacji niejawnych i poświadczenie bezpieczeństwa tam, gdzie wymagają tego przepisy lub procedury zakładowe,
- szkolenie z ochrony danych osobowych i poufności informacji o ryzykach organizacji,
- szkolenie z udzielania pierwszej pomocy w zakresie przewidzianym dla wyznaczonych pracowników.
Środowisko pracy
Praca w całości ma charakter biurowy i prowadzona jest przy komputerze – analiza danych w arkuszach, prowadzenie rejestru ryzyk, przygotowanie prezentacji i raportów. Znaczną część dnia zajmują warsztaty i narady, prowadzone w salach konferencyjnych lub zdalnie, po kilka godzin, z wieloma uczestnikami. Specjalista jeździ do oddziałów i do siedzib dostawców, aby ocenić ich zabezpieczenia na miejscu, co obejmuje obchód pomieszczeń, w tym serwerowni i archiwum. Okresy sprawozdawcze, przygotowanie materiałów na posiedzenie zarządu i ćwiczenia ciągłości działania powodują spiętrzenia pracy i wydłużenie dnia. Ćwiczenia odtworzenia systemów prowadzi się czasem w weekendy. Na stanowisku wykorzystuje się:
- komputer z dwoma monitorami, stacja dokująca i laptop w podróży;
- rejestr ryzyk, system elektronicznego obiegu dokumentów i repozytorium polityk;
- arkusze kalkulacyjne, narzędzia do modelowania scenariuszy i oprogramowanie do raportowania;
- wykaz zasobów informacyjnych, wyniki analizy skutków przerwania działania i plany ciągłości działania;
- kwestionariusze oceny dostawców i listy kontrolne wizyt;
- projektor, flipchart i markery na warsztatach oraz zestaw do zajęć zdalnych;
- drukarka, niszczarka dokumentów i samochód służbowy w dojazdach.
Identyfikacja zagrożeń
Czynniki fizyczne:
- praca przy monitorze ekranowym powyżej 4 godzin dziennie, w tym praca z arkuszami i wielogodzinne narady zdalne,
- długotrwała pozycja siedząca przy biurku, w salach narad i w samochodzie,
- powtarzalne ruchy nadgarstka i palców przy pracy z klawiaturą i myszą,
- hałas i nagłe wzrosty poziomu dźwięku w słuchawkach przy wielogodzinnych naradach zdalnych,
- kierowanie samochodem służbowym i podróże do oddziałów oraz do siedzib dostawców,
- przebywanie na terenie zakładu i w obiektach dostawców – ruch pojazdów, potknięcie, uderzenie o elementy wyposażenia,
- hałas wentylatorów i niska temperatura przy obchodzie serwerowni i węzłów sieci,
- dźwiganie walizki z komputerem, projektora i pudeł z materiałami warsztatowymi,
- praca w godzinach wieczornych i w dni wolne przy ćwiczeniach odtworzenia systemów i przed posiedzeniami zarządu.
Czynniki chemiczne:
- pył tonerowy i ozon przy drukowaniu raportów i materiałów na posiedzenia,
- rozpuszczalniki z markerów do tablic suchościeralnych używanych na warsztatach.
Czynniki psychofizyczne:
- odpowiedzialność za oszacowanie ryzyka, na którym opierają się decyzje inwestycyjne i akceptacje zarządu,
- napięcie w rozmowach z właścicielami systemów, którzy nie zgadzają się z oceną ryzyka lub obawiają się jej skutków,
- presja terminów sprawozdawczych, posiedzeń zarządu i komitetu audytu,
- obciążenie podejmowaniem ocen na podstawie niepełnych i niepewnych danych,
- obciążenie wielogodzinnymi warsztatami i naradami oraz koniecznością utrzymania uwagi grupy,
- obciążenie rolą osoby wskazującej słabości organizacji i ograniczony wpływ na wykonanie zaleceń.
Środki ochronne
Poniżej przypisano środki ochronne do poszczególnych zagrożeń zidentyfikowanych na stanowisku specjalisty do spraw zarządzania ryzykiem w obszarze cyberbezpieczeństwa.
Środki ochrony indywidualnej
- okulary korekcyjne do pracy przy monitorze, przepisane przez lekarza – monitor;
- słuchawki z ograniczeniem poziomu dźwięku do narad zdalnych – halas w sluchawkach;
- kamizelka ostrzegawcza, hełm i obuwie ochronne na czas obchodu terenu zakładu lub obiektu dostawcy – teren zakladu;
- ochronniki słuchu udostępniane na czas obchodu serwerowni – halas serwerowni;
- obuwie na stabilnej, nieślizgającej się podeszwie w podróżach i na obiektach – teren zakladu, praca w podrozy.
Środki ochrony zbiorowej i techniczne
- biurko z regulacją wysokości, fotel z regulacją podparcia, dwa monitory i podnóżek – pozycja siedzaca, monitor;
- monitory o matowej powłoce, oświetlenie bez olśnienia i żaluzje w okna – monitor;
- podpórka pod nadgarstek, mysz ergonomiczna i zewnętrzna klawiatura przy pracy na laptopie – powtarzalne ruchy;
- wyznaczone i oznakowane ciągi dla pieszych oraz asysta gospodarza przy obchodzie obiektu – teren zakladu, halas serwerowni;
- samochód służbowy z aktualnym przeglądem i zestawem głośnomówiącym – praca w podrozy;
- wózek transportowy, walizka na kółkach i sprzęt projekcyjny na stałe w salach warsztatowych – dzwiganie materialow;
- drukarka w wydzielonym pomieszczeniu z wentylacją – toner;
- markery o niskiej zawartości rozpuszczalników i wietrzenie sal warsztatowych – markery.
Środki organizacyjne
- co najmniej pięciominutowa przerwa po każdej godzinie pracy przy monitorze i przerwy w naradach co 90 minut – monitor, pozycja siedzaca, powtarzalne ruchy, dlugie narady, halas w sluchawkach;
- przyjęta metodyka szacowania ryzyka, recenzja oceny przez drugą osobę i rejestr przyjętych założeń – odpowiedzialnosc za ocene, niepewnosc danych;
- formalna ścieżka akceptacji ryzyka przez właściciela systemu i rejestr ryzyk zaakceptowanych – konflikt z wlascicielami, rola kontrolna;
- harmonogram sprawozdawczy znany z góry, szablony raportów i wsparcie zespołu w okresach spiętrzenia – presja sprawozdawcza, praca w weekendy;
- ćwiczenia odtworzenia systemów planowane z wyprzedzeniem, z obsadą zmianową i odbiorem czasu wolnego – praca w weekendy;
- planowanie wyjazdów z przerwami w jazdzie i łączenie wizyt u dostawców w jednym regionie – praca w podrozy, dzwiganie materialow;
- instruktaż bhp gospodarza obiektu przed obchodem i ograniczenie obchodu do niezbędnego zakresu – teren zakladu, halas serwerowni.
Czynniki szkodliwe i uciążliwe do skierowania na badania lekarskie
Poniższy wykaz ułatwia wypełnienie skierowania na badania profilaktyczne dla specjalisty do spraw zarządzania ryzykiem w obszarze cyberbezpieczeństwa.
- czynniki fizyczne – praca przy monitorze ekranowym powyżej 4 godzin dziennie, długotrwała pozycja siedząca, hałas w słuchawkach, hałas i niska temperatura przy obchodzie serwerowni, dźwiganie materiałów;
- czynniki chemiczne – pył tonerowy i ozon z drukarek laserowych, rozpuszczalniki z markerów do tablic;
- czynniki biologiczne – brak;
- inne czynniki, w tym niebezpieczne – kierowanie samochodem służbowym, podróże służbowe, przebywanie na terenie zakładu i obiektów dostawców, praca w dni wolne, obciążenie psychiczne i praca pod presją terminów.
Podobne stanowiska
- specjalista ds. zarządzania ryzykiem,
- specjalista ds. cyberbezpieczeństwa,
- audytor wewnętrzny,
- analityk biznesowy,
- specjalista zarządzania kryzysowego.
Podstawa prawna
Klasyfikacja zawodów i specjalności została wprowadzona rozporządzeniem Ministra Rodziny, Pracy i Polityki Społecznej z dnia 21 października 2025 r. (Dz.U. z 2025 r. poz. 1534).