Политика за мрежова сигурност

Политиката за мрежова сигурност (Документ P21) е разработена, за да установи строги контроли върху вътрешните и външните мрежи на организацията, осигурявайки защита срещу неоторизиран достъп, прекъсване на услугите, прихващане на данни и неправомерно използване. Основните ѝ цели включват защита на поверителността, цялостността и наличността на данните при пренос и в покой, като същевременно е тясно съгласувана с ключови регулаторни и стандартни изисквания като ISO/IEC 27001:2022, GDPR, член 32, Директива NIS2, DORA и COBIT 2019. Тази политика се прилага глобално за всички мрежови инфраструктури, включително физически, виртуални, облачни и хибридни среди. Тя включва в обхвата си рутери, суичове, защитни стени, облачно базирани мрежи, системи за виртуална частна мрежа (VPN), както и поддържащи услуги като DNS и прокси сървъри. Както вътрешният персонал, така и доставчиците на услуги на трети страни, които взаимодействат с тези мрежи, са обвързани с изискванията. Забележителни характеристики на политиката включват задължителна мрежова сегментация, изрични протоколи за конфигурация на защитните стени, стандарти за сигурно маршрутизиране и постоянен централен мониторинг и регистриране на мрежовите дейности. Управлението е ясно структурирано и задължава роли като директор по информационна сигурност (CISO), мениджър по мрежова сигурност, Център за операции по сигурността (SOC), ИТ операции и доставчици от трети страни да спазват определени отговорности за сигурен мрежов дизайн, оперативен мониторинг, управление на промените и реагиране при инциденти. Политиката задава очаквания не само за рутинно управление на мрежата, но и за обработване на изключения, например зависимости от наследени системи, чрез контролиран процес на одобрение, базиран на риска. Всички одобрения за изключения се регистрират в Система за управление на информационната сигурност (СУИС) със строг 90-дневен цикъл на преглед, за да се гарантира, че дългосрочни уязвимости не се пропускат. За да се минимизира повърхността за атака и да се изпълнят задълженията за съответствие, политиката изисква всички гранични мрежи да бъдат защитени чрез защитни стени от следващо поколение със stateful инспекция, филтриране на приложения и предотвратяване на прониквания. Вътрешните мрежи трябва да бъдат сегментирани между продукционна среда, развойна среда, потребителски и гост зони, като се използват защитни стени и виртуални локални мрежи (VLAN) за прилагане на строг контрол на достъпа. Решенията за виртуална частна мрежа (VPN) и отдалечен достъп трябва да използват шифроване и многофакторно удостоверяване (MFA), а безжичните мрежи са длъжни да прилагат протоколи за сигурност на корпоративно ниво и сегрегация на гостите. Облачните и хибридните среди не са изключение: правилата за групи за сигурност, одитирани VPN връзки и cloud-native настройки на защитни стени трябва да се управляват стриктно. За мониторинг и откриване, непрекъснатото регистриране към централизирана SIEM, откриване на аномалии чрез NDR и определени периоди за съхранение на логове са ключови изисквания. Периодичните прегледи на политиката и одитите са задължителни и се задействат от нови заплахи, мрежови промени, регулаторни актуализации или одитни констатации. Несъответствие, включително умишлено избягване на контролите за сигурност, води до дисциплинарни мерки, договорни санкции или докладване на нарушения в съответствие с регулациите. Накрая, Политиката за мрежова сигурност определя и връзките си с други критични организационни политики, включително базова сигурност, контрол на достъпа, управление на промените, управление на активи, Политика за регистриране и мониторинг и Политика за реагиране при инциденти, за подход „защита в дълбочина“.