Lõppseadmete kaitse ja pahavara poliitika – VKE

See lõppseadmete kaitse – pahavara poliitika (P20S) on spetsiaalselt loodud väikestele ja keskmise suurusega ettevõtetele (VKEdele), kes vajavad tugevat, praktilist ja standarditega kooskõlas olevat kaitset lõppseadmeid sihtivate pahavaraohtude vastu. Dokumendinumbri „S“ tähis ja esmase vastutuse delegeerimine tegevjuhile peegeldavad lihtsustatud lähenemist, mis sobib organisatsioonidele, kellel puuduvad pühendunud infoturbejuht, turbeoperatsioonide keskus või täiskohaga IT-meeskonnad, kuid mis on siiski täielikult kooskõlas juhtivate raamistikega, sh ISO/IEC 27001:2022. Selle poliitika eesmärk on kehtestada selged, jõustatavad miinimumstandardid kõigi lõppseadmete turvamiseks, sh sülearvutid, lauaarvutid, tahvelarvutid, nutitelefonid ja eemaldatavad andmekandjad. Käsitledes lõppseadmete turbe tehnilisi, protseduurilisi ja käitumuslikke elemente, on eesmärk maandada levinud riske, nagu lunavara, nuhkvara, klahvilogijad ja USB-põhine pahavara. Poliitika on kirjutatud organisatsiooni kübervastupidavuse eesmärkide toetamiseks ja regulatiivse vastavuse hõlbustamiseks, eeskätt GDPR-i, NIS2, DORA ja COBIT 2019 kontekstis. Kohaldamisala on terviklik: see hõlmab organisatsiooni ja BYOD-seadmeid sõltumata sellest, kas need on kohapeal, kaugkasutuses, pilvega ühendatud või võrguühenduseta. Nõuded kehtivad kogu personalile, hallatud teenuseosutajatele, töövõtjatele ja praktikantidele. Poliitika kirjeldab juhtimist nii ettevõtte omandis kui ka isiklikus omandis olevate seadmete puhul, pöörates erilist tähelepanu BYOD-kontrollidele, nagu kohustuslik viirusetõrje või MDM-agendid, ajakohane paikamine, krüpteeritud salvestus ja ekraaniluku jõustamine. Peamised operatiivsed nõuded hõlmavad heakskiidetud viirusetõrje või lõppseadme tuvastuse ja reageerimise (EDR) lahenduste kasutamist kõigil lõppseadmetel, iganädalasi täielikke süsteemiskaneeringuid, automaatseid signatuurivärskendusi, kahtlaste failitüüpide blokeerimist, kasutamata teenuste keelamist ja reaalajas USB-skaneerimist. Pahavara tuvastamisel on selgelt kirjeldatud viivitamatu lahtiühendamine, IT-teavitamine, ohjeldamine, parandusmeetmed ja intsidentidest teavitamine. Täiendavad kontrollimeetmed nõuavad regulaarset turvateadlikkuse koolitust ning pidevaid simuleeritud õngitsuskampaaniaid, et vähendada kasutajapoolsetest vigadest tulenevaid nakatumisriske. Poliitika sätestab lisaks, et kriitilised sündmused (nt keelatud kaitsed või korduvad nakatumiskatsed) logitakse ja nende kohta tehakse automaatsed teavitused, et vastavuse audititõendus säilitatakse auditi jaoks vähemalt 12 kuud ning et erandid dokumenteeritakse rangelt ja on ajaliselt piiratud. Iga-aastane läbivaatamine ja päästikupõhised ajakohastused tagavad, et poliitika püsib tõhus muutuvate ohtude ja regulatiivsete muudatuste suhtes. Kõik need kontrollimeetmed sobivad VKEdele, pakkudes tegevjuhtidele ja IT-toe teenuseosutajatele rakendatavaid ja hallatavaid turbesamme, mis täidavad peamiste regulatiivsete raamistike ootusi.