Võrguturbe poliitika – VKE

See võrguturbe poliitika (P21S) on selgesõnaliselt loodud vastama väikeste ja keskmise suurusega ettevõtete (VKE-de) kohandatud vajadustele, kes tegutsevad ilma suurte või spetsialiseeritud infoturbemeeskondadeta. Kohandatud keskkondadele, kus tegevjuht kannab üldist aruandekohustust, tagab poliitika tugevate võrguturbe kontrollimeetmete tõhusa rakendamise ka siis, kui rollid nagu turbeoperatsioonide keskus või infoturbejuht ei pruugi olemas olla. ISO/IEC 27001:2022-ga kooskõlas ja GDPR, NIS2 ning DORA regulatsioonidega ühilduv poliitika annab nii selguse kui ka kindlustunde tehnilise, õigusliku ja auditivalmis vastavuse saavutamisel. Poliitika kohaldamisala on terviklik, käsitledes organisatsiooni võrgu kõiki elemente: juhtmega ja traadita taristu, tulemüürid, ruuterid, lülitid, kaugjuurdepääs (VPN, RDP) ja pilveühendused, samuti võrguga seotud seadmed. See hõlmab sisekasutajaid, kaugtöötajaid ja hübriidtöötajaid, külalisi, töövõtjaid, kolmanda osapoole tarnijaid ja kolmanda osapoole teenuseosutajaid. Nii füüsilised kui ka loogilised võrgueraldused, nagu külalistsoonid ja IoT-seadmed, on selgesõnaliselt kaetud, tagades, et iga segmenti hallatakse asjakohaselt vastavalt riskile ja juurdepääsuvajadustele. Rollide selge määramine on põhimõtteline: tegevjuht vastutab poliitika järelevalve eest ja kinnitab erandid, samas kui IT-tugiteenuseosutaja (või sisemine IT-roll) vastutab praktilise rakendamise, hoolduse ja intsidentide tuvastamise eest. Need määratlused võimaldavad VKE-del ilma pühendunud IT-osakonnata täita kõrgetasemelisi vastavusnõudeid lihtsustatud juhtimisstruktuuride abil. Andmekaitse- või turvakoordinaatorid toetavad vastavust isikuandmete kaitse regulatsioonidele, osalevad rikkumiste uurimistes ning tagavad dokumentatsiooninõuete täitmise. Kogu personal peab järgima rangeid suuniseid võrgule juurdepääsu, seadmete ühendamise, paroolide turvalise kasutamise ja intsidentidest teavitamise osas. Juhtimis- ja tehnilised kontrollimeetmed on detailselt kirjeldatud. Kõik võrguga seotud varad peavad pärinema toetatud tarnijatelt ning olema ajakohastatud turvapaikade abil. Tulemüürid ja traadita kontrollerid jõustavad vaikimisi keelamise põhimõtet; traadita võrgud peavad kasutama WPA3 või WPA2 krüpteerimist ning külaliste juurdepääs peab olema rangelt isoleeritud. Pilveteenuste väline kokkupuude minimeeritakse, VPN-juurdepääs on rangelt kontrollitud ja seiratud ning mitmefaktoriline autentimine (MFA) on kauglogimiste puhul kohustuslik. Logimis- ja seirepoliitika, seire, regulaarsed auditid ning selged teavitamiskanalid on nõutavad, et tagada pidev täiustamine ja intsidentidele reageerimise valmisolek. Rõhutades iga-aastaseid ülevaatusi, muudatuste juhtimise protsesse ja ranget jõustamist (mittevastavuse korral meetmed alates sihipärasest ümberõppest kuni õiguslike meetmeteni), loob see poliitika tõhusa ja jätkusuutliku aluse pidevaks turvalisuseks. Erandite protsessid on formaliseeritud, nõudes alati põhjendust, kompenseerivaid kontrollimeetmeid ja tegevjuhi heakskiitu. See lähenemine võimaldab VKE-del tegutseda turvaliselt, täita õiguslikud kohustused ning demonstreerida tehnilist pädevust klientidele, audiitoritele ja regulaatoritele.