Mini balíček: ISMS Startup Pack – SME

Mini balíček: ISMS Startup Pack – SME nabízí praktickou, end-to-end sadu politik kybernetické bezpečnosti vytvořenou pro malé a střední podniky usilující o sladění s ISO/IEC 27001:2022. S ohledem na to, že SME často nemají specializované interní týmy IT, bezpečnosti nebo compliance, každá politika v tomto balíčku výslovně přiřazuje odpovědnost a pravomoc obchodním rolím, jako je generální ředitel, vedoucí oddělení a případně určený personál nebo outsourcovaní poskytovatelé IT. Všechny politiky odkazují na zjednodušené oddělení povinností, delegování generálním ředitelem je podporováno, ale auditovatelnost a dohled jsou vždy zachovány, aby byl splněn článek 5.3 ISO/IEC 27001. Součástí tohoto startovacího balíčku zaměřeného na SME jsou: Politika informační bezpečnosti, Politika rolí a odpovědností správy a řízení, Politika řízení přístupu, Politika řízení změn, Politika řízení rizik a Politika zálohování a obnovy. Každý dokument pokrývá základní provozní a technická opatření napříč životním cyklem informací – od zřizování přístupu uživatelů a posouzení rizik až po autorizace změn a kontinuitu podnikání. Mezi společné požadavky patří vedení centrálních registrů (pro přístupy a rizika), dokumentování všech změn a delegování, zajištění pravidelných přezkumů politik a vynucování souladu s jasnými důsledky za porušení nebo opomenutí. Zvlášť důležitý je konzistentní přístup napříč celým balíčkem: každá politika vyžaduje povinný pravidelný přezkum (každoročně nebo po významných změnách), zdokumentované schválení výjimek nebo incidentů generálním ředitelem a snadnou použitelnost jak pro interní personál, tak pro poskytovatele služeb třetích stran, což zajišťuje vymahatelnost bez ohledu na velikost společnosti. Činnosti jako zálohování systémů, monitorování rizik, dodržování politik a řízení přístupu uživatelů jsou předepsány způsobem kompatibilním s omezenou interní kapacitou. Například režimy zálohování a testování obnovy jsou řízeny jednou odpovědnou osobou (generální ředitel nebo pověřená osoba) a identifikace rizik může být prováděna pomocí jednoduchých kontrolních seznamů namísto pokročilých nástrojů. Všechny politiky v tomto balíčku jsou mapovány na hlavní globální rámce a regulace, včetně ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, EU NIS2, EU DORA, COBIT 2019 a EU GDPR. Mapování zahrnuje články jako 5.1–5.3, 6.1, 8.1 pro ISO/IEC 27001, relevantní opatření pro ISO/IEC 27002 (např. opatření 5.2, 5.15, 8.13) a konkrétní články podle GDPR a DORA. Tato mapování spolu s opatřeními v srozumitelném jazyce a procesy specifickými pro role zajišťují, že soulad pro SME je nejen dosažitelný, ale také prokazatelný zákazníkům, auditorům i regulátorům. Politiky jsou vzájemně provázané; každá odkazuje na související dokumenty v rámci balíčku pro propojenou implementaci systému řízení bezpečnosti informací (ISMS) v menších organizacích.