Politika zabezpečení sítě

Politika zabezpečení sítě (Dokument P21) byla vytvořena za účelem zavedení přísných opatření pro interní i externí sítě organizace a poskytuje ochranu proti neoprávněnému přístupu, narušení služeb, zachycení dat a zneužití. Její hlavní cíle zahrnují ochranu důvěrnosti, integrity a dostupnosti dat při přenosu i v klidu a zároveň úzké sladění s klíčovými regulačními a normativními požadavky, jako jsou ISO/IEC 27001:2022, GDPR článek 32, směrnice NIS2, DORA a COBIT 2019. Tato robustní politika se uplatňuje globálně na veškerou síťovou infrastrukturu, včetně fyzických, virtuálních, cloudových a hybridních prostředí. Do svého komplexního rozsahu zahrnuje směrovače, přepínače, firewally, cloudové sítě, systémy virtuální soukromé sítě (VPN) a také podpůrné služby, jako jsou DNS a proxy servery. Požadavky se vztahují jak na interní zaměstnance, tak na poskytovatele služeb třetích stran, kteří s těmito sítěmi pracují. Mezi významné prvky politiky patří povinná segmentace sítě, explicitní protokoly konfigurace zabezpečení zařízení pro firewally, normy bezpečného směrování a průběžné centralizované monitorování a auditní protokolování síťových aktivit. Správa je jasně strukturována a zavazuje role, jako jsou ředitel informační bezpečnosti (CISO), manažer bezpečnosti sítě, Bezpečnostní operační centrum (SOC), provoz IT a dodavatelé třetích stran, k dodržování definovaných odpovědností pro bezpečný návrh sítě, provozní monitorování, řízení změn a reakce na incidenty. Politika stanovuje očekávání nejen pro rutinní správu sítě, ale také pro ošetření výjimek, například závislostí na zastaralých systémech, prostřednictvím řízeného schvalovacího procesu založeného na rizicích. Všechna schválení výjimek jsou evidována v systému řízení bezpečnosti informací (ISMS) s přísným 90denním cyklem přezkumu, aby nebyly přehlédnuty dlouhodobé zranitelnosti. Za účelem minimalizace útočných ploch a splnění povinností v oblasti souladu politika stanoví, že všechny hraniční sítě musí být chráněny pomocí firewallů nové generace se stavovou inspekcí, filtrováním aplikací a prevencí průniků. Interní sítě mají být segmentovány mezi produkční prostředí, vývoj, uživatelské a hostovské oblasti, přičemž se používají firewally a virtuální sítě LAN (VLAN) k vynucení řízení přístupu. Řešení VPN a vzdálený přístup musí využívat šifrování a vícefaktorovou autentizaci (MFA), zatímco bezdrátové sítě musí přijmout bezpečnostní protokoly na úrovni podniku a oddělení hostů. Cloud a hybridní prostředí nejsou výjimkou: pravidla bezpečnostních skupin, auditované VPN propoje a cloud-native nastavení firewallů musí být přísně řízeny. Pro monitorování a detekci jsou integrálními požadavky průběžné auditní protokolování do centralizovaného SIEM, detekce anomálií prostřednictvím NDR a stanovené doby uchovávání logů. Pravidelné přezkumy politiky a bezpečnostní audity jsou povinné a spouštějí se novými hrozbami, změnami sítě, regulačními aktualizacemi nebo zjištěními auditu. Nesoulad, včetně úmyslného obcházení bezpečnostních opatření, vede k disciplinárním opatřením, smluvním sankcím nebo hlášení porušení v souladu s předpisy. Politika zabezpečení sítě také specifikuje vazby na další kritické politiky organizace, včetně základní bezpečnosti, politiky řízení přístupu, politiky řízení změn, správy aktiv, politiky protokolování a monitorování a politiky reakce na incidenty (P30), pro přístup obrany do hloubky.