Pełnomocnik Rządu ds. Cyberbezpieczeństwa przedstawił rekomendacje dotyczące środków organizacyjnych i technicznych zwiększających bezpieczeństwo systemów informacyjnych. To praktyczna wskazówka, jak rozumieć ogólne wymagania art. 8 ustawy o krajowym systemie cyberbezpieczeństwa.
Co obejmują rekomendacje?
- zarządzanie ryzykiem oraz tworzenie i aktualizowanie polityk bezpieczeństwa,
- aktywne zaangażowanie kierownictwa w nadzór nad cyberbezpieczeństwem,
- pełną inwentaryzację aktywów IT i OT,
- zarządzanie tożsamością i uprawnieniami zgodnie z zasadą minimalnych uprawnień,
- uwierzytelnianie wieloskładnikowe (MFA) i bezpieczny dostęp zdalny,
- zarządzanie podatnościami i regularne instalowanie aktualizacji bezpieczeństwa,
- odpowiednie środki kryptograficzne,
- bezpieczeństwo fizyczne infrastruktury,
- wykonywanie i testowanie kopii zapasowych zgodnie z zasadą 3-2-1,
- zarządzanie ryzykiem w łańcuchu dostaw ICT,
- monitorowanie, wykrywanie zagrożeń i reagowanie na incydenty,
- rozwijanie świadomości pracowników,
- audyty i ciągłe doskonalenie.
Co to oznacza w praktyce?
Rekomendacje dobrze pokrywają się z zabezpieczeniami z załącznika A normy ISO/IEC 27001. Organizacja, która ma dobrze wdrożony SZBI, większość tych punktów już realizuje – trzeba jednak wykazać to dokumentacją i zapisami z działania. W pierwszej kolejności warto sprawdzić te obszary, które najczęściej wypadają słabo w audytach: MFA, kopie zapasowe testowane w praktyce oraz inwentaryzacja aktywów.
Czy Twoja organizacja ma plan dostosowania?
Jeśli nie, dobrym punktem wyjścia jest analiza luk względem rekomendacji i art. 8 ustawy. Opis obowiązków znajdziesz w poradniku Ustawa o KSC i NIS2 – obowiązki podmiotów kluczowych i ważnych.
Co oferujemy
Dostosowanie podmiotów kluczowych i ważnych do ustawy o KSC – zgodnie z rekomendacjami Pełnomocnika: analiza luk, wdrożenie SZBI i SZCD, analiza ryzyka, testy penetracyjne i skany podatności, szkolenia dla personelu i kierownictwa oraz audyt KSC. Zapraszamy do kontaktu.