Politika ochrany koncových bodů a malwaru – SME

Tato Politika ochrany koncových bodů – malware (P20S) je navržena speciálně pro malé a střední podniky (SME), které požadují robustní, praktickou a normami sladěnou ochranu před hrozbami malwaru zaměřenými na zařízení koncových bodů. Označení „S“ v čísle dokumentu a delegování primární odpovědnosti na generálního ředitele odráží zjednodušený přístup vhodný pro organizace bez vyhrazeného ředitele informační bezpečnosti (CISO), bezpečnostního operačního centra (SOC) nebo interních týmů IT na plný úvazek, přičemž politika zůstává plně v souladu s předními rámci včetně ISO/IEC 27001:2022. Účelem této politiky je stanovit jasné, vymahatelné minimální standardy pro zabezpečení všech zařízení koncových bodů, včetně notebooků, stolních počítačů, tabletů, chytrých telefonů a vyměnitelných médií. Tím, že se zabývá technickými, procesními a behaviorálními prvky zabezpečení koncových bodů, má za cíl zmírnit běžná rizika, jako jsou ransomware, spyware, keyloggery a malware šířený přes USB. Politika je napsána tak, aby podporovala cíle kybernetické odolnosti organizace a usnadnila regulační soulad, zejména s GDPR, NIS2, DORA a COBIT 2019. Rozsah je komplexní: pokrývá organizační zařízení i využívání soukromých zařízení (BYOD), bez ohledu na to, zda jsou on-site, vzdálená, aktiva připojená ke cloudu nebo offline. Na požadavky se vztahuje veškerý personál, poskytovatelé služeb třetích stran, dodavatelé a stážisté. Politika popisuje správu zařízení ve vlastnictví společnosti i zařízení v osobním vlastnictví, se zvláštním důrazem na kontroly BYOD, jako je povinný antivirový program nebo MDM agenti, aktuální záplatování, šifrované úložiště a vynucování uzamčení obrazovky. Mezi klíčové provozní požadavky patří provoz schválených řešení antivirového programu nebo EDR (detekce a reakce na koncové body) na všech koncových bodech, týdenní úplné skenování systému, automatické aktualizace signatur, blokování podezřelých typů souborů, deaktivace nepoužívaných služeb a skenování USB v reálném čase. Pokud je malware detekován, jsou jasně popsány postupy pro okamžité odpojení, oznámení IT, zamezení šíření, nápravná opatření a hlášení incidentů. Další kontroly vyžadují pravidelné školení bezpečnostního povědomí zaměstnanců a průběžná simulovaná phishingová cvičení pro minimalizaci rizik infekce souvisejících s uživateli. Politika dále stanoví, že kritické události (např. vypnuté ochrany nebo opakované pokusy o infekci) jsou protokolovány a vyvolávají automatická upozornění, že auditní důkazy o souladu jsou uchovávány pro audit nejméně 12 měsíců a že výjimky jsou přísně dokumentované a časově omezené. Každoroční přezkum a aktualizace na základě spouštěčů zajišťují, že politika zůstává účinná v reakci na vyvíjející se hrozby a regulační změny. Všechna tato opatření jsou vhodná pro SME a poskytují generálním ředitelům a poskytovatelům IT podpory proveditelné a zvládnutelné kroky, které naplňují očekávání hlavních regulačních rámců.