Přehled
Kompletní balíček pro SME (P01S–P37S) poskytuje kompletní, auditně připravenou sadu politik kybernetické bezpečnosti a správy a řízení IT, která pokrývá všechny požadavky SME na bezpečnost informací. Každá politika je přizpůsobena pro vedoucí pracovníky malých podniků (generální ředitelé), je výslovně navržena pro organizace bez specializovaných bezpečnostních týmů a je plně sladěna s ISO/IEC 27001:2022, GDPR, NIS2, DORA a dalšími.
Kompletní soulad pro SME
Pokrývá 37 politik a zajišťuje plné sladění s ISO/IEC 27001, GDPR, NIS2, DORA a COBIT pro SME bez velkých IT týmů.
Auditně připravená opatření
Všechny politiky obsahují požadavky na auditní dokumentaci, správu verzí, spouštěče přezkumu a pracovní postupy nápravných opatření.
Praktická správa a řízení pro SME
Role jsou mapovány na generálního ředitele a vedoucí týmů; není vyžadován ředitel informační bezpečnosti (CISO) ani bezpečnostní operační centrum (SOC). Navrženo pro podniky řízené vlastníkem.
Vynutitelné a jasné pokyny
Pravidla krok za krokem, kontrolní seznamy a ošetření výjimek pro uživatelsky přívětivé a vynutitelné postupy kybernetické bezpečnosti.
Připraveno pro certifikaci ISO 27001
Přímé mapování na všechny články ISO/IEC 27001:2022 a 27002:2022 pro jistotu při auditu a certifikaci.
Přečíst celý přehled
Obsah
Rozsah a pravidla zapojení
Matice rolí a odpovědností
Postupy řízení přístupu a řízení změn
Pravidla ochrany údajů a ochrany osobních údajů
Reakce na incidenty a nakládání s důkazy
Procesy auditu a dodržování předpisů, právního a regulačního souladu
Soulad s rámcem
🛡️ Podporované standardy a rámce
Tento produkt je v souladu s následujícími rámci dodržování předpisů s podrobnými mapováními doložek a kontrol.
| Rámec | Pokryté doložky / Kontroly |
|---|---|
| ISO/IEC 27001:2022 | |
| ISO/IEC 27002:2022 | |
| NIST SP 800-53 Rev.5 | |
| EU GDPR |
Article 5Article 6Articles 12–23Article 28Article 32Article 33Article 34
|
| EU NIS2 Directive |
Article 20Article 21(2)(a–i)Article 23
|
| EU DORA | |
| COBIT 2019 |
Související zásady
Politika rolí a odpovědností správy a řízení – SME
Tato politika definuje, jak jsou v organizaci přiřazovány, delegovány a řízeny odpovědnosti správy a řízení bezpečnosti informací, aby byl zajištěn plný soulad s ISO/IEC 27001:2022 a dalšími regulačními povinnostmi.
Politika čistého stolu a čisté obrazovky – SME
Tato politika stanovuje vynutitelné pokyny pro udržování bezpečného pracovního prostředí tím, že zajišťuje, aby stoly, pracovní stanice a obrazovky byly ponechány bez viditelných důvěrných informací, pokud jsou bez dozoru.
Politika ochrany koncových bodů a malwaru – SME
Tato politika definuje minimální technické, procesní a behaviorální požadavky na ochranu všech zařízení koncových bodů – jako jsou notebooky, stolní počítače, mobilní zařízení a přenosná média – před škodlivým kódem.
P01 Politika informační bezpečnosti – SME
Tato politika prokazuje závazek naší organizace chránit informace zákazníků a podniku tím, že jasně definuje odpovědnosti a praktická bezpečnostní opatření vhodná pro organizace bez vyhrazených IT týmů.
Zásady přípustného užívání – SME
Tato politika definuje přípustné, odpovědné a bezpečné používání systémů a zařízení poskytovaných společností, přístupu k internetu, e-mailu, cloudových služeb a jakýchkoli soukromých zařízení používaných pro podnikání.
Politika řízení přístupu – SME
Tato politika definuje, jak organizace řídí přístup k systémům, datům a prostorám, aby bylo zajištěno, že k informacím mohou na základě obchodní potřeby přistupovat pouze oprávněné osoby.
P05 Politika řízení změn – SME
Tato politika zajišťuje, že všechny změny IT systémů, konfigurační nastavení, podnikové aplikace nebo cloudových služeb jsou před implementací plánovány, posouzeny z hlediska rizik, otestovány a schváleny.
Politika řízení rizik – SME
Tato politika definuje, jak organizace identifikuje, hodnotí a řídí rizika související s bezpečností informací, provozem, technologiemi a poskytovateli služeb třetích stran.
Politika nástupu a ukončení – SME
Tato politika definuje proces onboardingu nových zaměstnanců nebo dodavatelů a bezpečné odebrání přístupových oprávnění, když osoby odcházejí nebo mění role.
Politika povědomí o bezpečnosti informací a školení – SME
Tato politika zajišťuje, že všichni zaměstnanci a dodavatelé rozumí svým odpovědnostem v oblasti bezpečnosti informací.
Politika práce na dálku – SME
Tato politika stanovuje bezpečnostní požadavky pro zaměstnance a dodavatele pracující na dálku, včetně práce z domova, sdílených pracovních prostor nebo při cestování.
Politika správy uživatelských účtů a oprávnění – SME
Tato politika stanovuje pravidla pro správu uživatelských účtů a přístupová práva bezpečným, konzistentním a dohledatelným způsobem.
Politika správy aktiv – SME
Tato politika definuje, jak organizace identifikuje, sleduje, chrání a vyřazuje z provozu svá informační aktiva, včetně fyzických i digitálních komponent.
Politika klasifikace a označování dat – SME
Tato politika definuje, jak musí být všechny informace, se kterými organizace nakládá, klasifikovány a označeny, aby byla po celý jejich životní cyklus zachována důvěrnost, integrita a dostupnost.
Politika uchovávání a likvidace dat – SME
Účelem této politiky je definovat vynutitelná pravidla pro uchovávání a bezpečnou likvidaci informací v prostředí SME.
Politika zálohování a obnovy – SME
Tato politika definuje, jak organizace provádí a spravuje zálohy, aby zajistila kontinuitu podnikání, chránila před ztrátou dat a umožnila včasnou obnovu po incidentech.
Politika maskování dat a pseudonymizace – SME
Tato politika definuje vynutitelné požadavky na používání maskování dat a pseudonymizace k ochraně citlivých, osobních a důvěrných dat v malých a středně velkých podnicích (SME).
Politika ochrany údajů a ochrany osobních údajů – SME
Tato politika definuje, jak organizace chrání osobní údaje v souladu s právními povinnostmi, regulačními rámci a mezinárodními bezpečnostními normami.
Politika kryptografických opatření – SME
Tato politika definuje povinné požadavky na používání šifrování a kryptografických opatření k ochraně důvěrnosti, integrity a autenticity obchodních a osobních dat.
Politika řízení zranitelností a správy záplat – SME
Tato politika definuje, jak organizace identifikuje, hodnotí a zmírňuje zranitelnosti napříč systémy, aplikacemi a infrastrukturou.
Politika zabezpečení sítě – SME
Účelem této politiky je zajistit, aby veškerá interní i externí síťová komunikace byla chráněna před neoprávněným přístupem, manipulací, odposlechem nebo zneužitím prostřednictvím jasně definovaných bezpečnostních opatření.
Politika protokolování a monitorování – SME
Tato politika stanovuje povinné kontroly protokolování a monitorování, aby byla zajištěna bezpečnost, odpovědnost a provozní integrita IT systémů organizace.
Politika synchronizace času – SME
Tato politika stanovuje povinné kontroly pro udržování přesného, synchronizovaného času napříč všemi systémy, které ukládají, přenášejí nebo zpracovávají data organizace.
Politika bezpečného vývoje – SME
Tato politika zajišťuje, že veškerý software, skripty a webové nástroje vytvořené nebo upravené organizací nebo jejími externími partnery jsou vyvíjeny bezpečně, čímž se minimalizuje riziko zranitelností.
Politika požadavků na zabezpečení aplikací – SME
Tato politika definuje minimální povinné kontroly zabezpečení aplikací požadované pro veškerý software a systémová řešení používaná organizací, bez ohledu na to, zda jsou vyvíjena interně nebo pořizována od externích dodavatelů.
Bezpečnostní politika dodavatelů – SME
Tato politika stanovuje povinné bezpečnostní požadavky pro zapojení, řízení a ukončení vztahů s třetími stranami a dodavateli, kteří mají přístup k datům, systémům nebo službám organizace nebo je ovlivňují.
Politika používání cloudu – SME
Tato politika definuje, jak mohou být cloudové služby v organizaci používány bezpečně. Zajišťuje, že data zpracovávaná nebo ukládaná v cloudu jsou chráněna, přístup je řízen a rizika jsou odpovědně řízena.
Politika outsourcovaných služeb vývoje – SME
Tato politika zajišťuje, že veškerý outsourcovaný vývoj softwaru – ať už jej zajišťují freelanceři, agentury nebo poskytovatelé služeb třetích stran – je prováděn bezpečně, smluvně řízen a sladěn s příslušnými právními, regulačními a auditními požadavky.
Politika testovacích dat a testovacího prostředí – SME
Tato politika definuje, jak musí být spravována testovací data a testovací prostředí, aby se zabránilo náhodné expozici, porušení zabezpečení dat nebo provozním narušením během testovacích činností.
Politika reakce na incidenty – SME
Tato politika definuje, jak organizace detekuje, hlásí a reaguje na incidenty informační bezpečnosti, které ovlivňují její digitální systémy, data nebo služby.
Politika sběru důkazů a forenzních postupů – SME
Tato politika definuje, jak organizace nakládá s digitálními důkazy souvisejícími s bezpečnostními incidenty, porušením zabezpečení dat nebo interními vyšetřováními.
Politika kontinuity podnikání a obnovy po havárii – SME
Tato politika zajišťuje, že organizace může udržet provoz a obnovit klíčové IT služby během a po narušujících událostech.
Politika auditu a monitorování souladu – SME
Tato politika stanovuje přístup organizace k provádění interních auditů, kontrol bezpečnostních opatření a průběžnému monitorování souladu.
Politika mobilních zařízení a využívání soukromých zařízení (BYOD) – SME
Tato politika definuje povinné bezpečnostní požadavky pro používání mobilních zařízení – včetně chytrých telefonů, tabletů a notebooků – při přístupu k informacím, systémům nebo službám společnosti.
Politika bezpečnosti IoT/OT – SME
Tato politika definuje povinná pravidla pro bezpečné používání a správu systémů internetu věcí (IoT) a systémů provozních technologií (OT) v organizaci.
Politika sociálních médií a externí komunikace – SME
Tato politika stanovuje povinné pokyny pro veškerou veřejnou komunikaci – včetně používání sociálních médií, komunikace s tiskem a externího digitálního obsahu – při odkazování na společnost, její personál, klienty, systémy nebo interní postupy.
Politika právního a regulačního souladu – SME
Tato politika definuje přístup organizace k identifikaci, dodržování a prokazování dodržování právních, regulačních a smluvních povinností.
O politikách Clarysec - Kompletní balíček pro SME (P01S–P37S)
Obecné bezpečnostní politiky jsou často vytvářeny pro velké korporace, takže malé podniky mají problém aplikovat složitá pravidla a nejasně definované role. Tato politika je jiná. Naše politiky pro SME jsou navrženy od základu pro praktickou implementaci v organizacích bez specializovaných bezpečnostních týmů. Odpovědnosti přiřazujeme rolím, které skutečně máte, jako je generální ředitel a váš poskytovatel IT, nikoli armádě specialistů, které nemáte. Každý požadavek je rozdělen do jedinečně číslované klauzule (např. 5.2.1, 5.2.2). To mění politiku na jasný kontrolní seznam krok za krokem, který usnadňuje implementaci, audit i přizpůsobení bez přepisování celých částí.
Nejčastější dotazy
Vytvořeno pro lídry, lídry
Tato politika byla vypracována bezpečnostním lídrem s více než 25 lety zkušeností s implementací a auditem rámců ISMS v globálních organizacích. Není navržena pouze jako dokument, ale jako obhajitelný rámec, který obstojí při auditu.
