Yleiskatsaus
Täysi SME-paketti (P01S-P37S) tarjoaa täydellisen, auditointivalmiin kyberturvallisuus- ja IT-hallintotavan politiikkakokonaisuuden, joka kattaa kaikki pk-yritysten tietoturvavaatimukset. Jokainen politiikka on mukautettu pk-yritysten johtajille (toimitusjohtajille), suunniteltu nimenomaisesti organisaatioille ilman omistautuneita tietoturvatiimejä, ja se on täysin linjassa ISO/IEC 27001:2022:n, GDPR:n, NIS2:n, DORA:n ja muiden kanssa.
Täydellinen pk-yritysten vaatimustenmukaisuus
Kattaa 37 politiikkaa ja varmistaa täyden yhdenmukaisuuden ISO/IEC 27001:n, GDPR:n, NIS2:n, DORA:n ja COBITin kanssa pk-yrityksille ilman suuria IT-tiimejä.
Auditointivalmiit hallintakeinot
Kaikki politiikat sisältävät auditointidokumentaatiovaatimukset, versionhallinnan, katselmointitriggerit ja korjaavat toimenpiteet -prosessit.
Käytännöllinen pk-yritysten hallintotapa
Roolit on kohdistettu toimitusjohtajalle ja tiiminvetäjille; ei vaadi tietoturvajohtajaa (CISO) tai tietoturvaoperaatiokeskusta (SOC). Suunniteltu omistajavetoisille yrityksille.
Täytäntöönpantava selkeä ohjeistus
Vaiheittaiset säännöt, tarkistuslistat ja poikkeusten käsittely käyttäjäystävällisiin, täytäntöönpantaviin kyberturvallisuuskäytäntöihin.
Valmis ISO 27001 -sertifiointiin
Suora kartoitus kaikkiin ISO/IEC 27001:2022- ja 27002:2022-lausekkeisiin auditointia ja sertifiointivarmuutta varten.
Lue koko yleiskatsaus
Sisältö
Soveltamisala ja toimintasäännöt
Rooli- ja vastuumatriisi
Pääsynhallinta- ja muutoksenhallintamenettelyt
Tietosuoja- ja yksityisyydensuojan säännöt
Tietoturvapoikkeamiin reagointi ja todistusaineiston käsittely
Auditointi-, laki- ja sääntelyvaatimustenmukaisuuden prosessit
Kehysmääräysten noudattaminen
🛡️ Tuetut standardit ja kehykset
Tämä tuote on linjassa seuraavien vaatimustenmukaisuuskehysten kanssa, yksityiskohtaisilla lauseke- ja valvontamappingeillä.
| Kehys | Katetut lausekkeet / Kontrollit |
|---|---|
| ISO/IEC 27001:2022 | |
| ISO/IEC 27002:2022 | |
| NIST SP 800-53 Rev.5 | |
| EU GDPR |
Article 5Article 6Articles 12–23Article 28Article 32Article 33Article 34
|
| EU NIS2 Directive |
Article 20Article 21(2)(a–i)Article 23
|
| EU DORA | |
| COBIT 2019 |
Liittyvät käytännöt
Hallintotavan roolit ja vastuut -politiikka – pk-yritys
Tämä politiikka määrittelee, miten tietoturvan hallintotavan vastuut osoitetaan, delegoidaan ja hallinnoidaan organisaatiossa, jotta varmistetaan täysi vaatimustenmukaisuus ISO/IEC 27001:2022:n ja muiden sääntelyvelvoitteiden kanssa.
Puhtaan pöydän ja puhtaan näytön politiikka – pk-yritys
Tämä politiikka määrittää täytäntöönpantavat suuntaviivat turvallisen työympäristön ylläpitämiseksi varmistamalla, että pöydät, työasemat ja näyttöruudut pidetään vapaina näkyvistä luottamuksellisista tiedoista, kun ne ovat valvomatta.
Päätelaitesuojaus ja haittaohjelmapolitiikka – pk-yritys
Tämä politiikka määrittelee vähimmäistason tekniset, menettelylliset ja käyttäytymiseen liittyvät vaatimukset kaikkien päätelaitteiden — kuten kannettavien tietokoneiden, pöytäkoneiden, mobiililaitteiden ja siirrettävien tallennusvälineiden — suojaamiseksi pahantahtoiselta koodilta.
Tietoturvapolitiikka – pk-yritys
Tämä politiikka osoittaa organisaatiomme sitoutumisen asiakkaiden ja liiketoiminnan tietojen suojaamiseen määrittelemällä selkeästi vastuut ja käytännölliset turvallisuustoimenpiteet, ja se soveltuu organisaatioille ilman omistautuneita IT-tiimejä.
Hyväksyttävän käytön politiikka – pk-yritys
Tämä politiikka määrittelee yrityksen tarjoamien järjestelmien, laitteiden, internetyhteyden, sähköpostin, pilvipalvelujen sekä kaikkien liiketoiminnassa käytettävien henkilökohtaisten laitteiden hyväksyttävän, vastuullisen ja turvallisen käytön.
Pääsynhallintapolitiikka – pk-yritys
Tämä politiikka määrittelee, miten organisaatio hallinnoi pääsyä järjestelmiin, tietoihin ja toimitiloihin varmistaakseen, että vain valtuutetut henkilöt voivat käyttää tietoja liiketoiminnan tarpeen perusteella.
Muutoksenhallintapolitiikka – pk-yritys
Tämä politiikka varmistaa, että kaikki muutokset IT-järjestelmiin, kokoonpanoihin, liiketoimintasovelluksiin tai pilvipalveluihin suunnitellaan, riskien arviointi tehdään, ne testataan ja hyväksytään ennen käyttöönottoa.
Riskienhallintapolitiikka – pk-yritys
Tämä politiikka määrittelee, miten organisaatio tunnistaa, arvioi ja hallinnoi tietoturvaan, toimintaan, teknologiaan ja kolmannen osapuolen palveluntarjoajiin liittyviä riskejä.
Perehdytys- ja työsuhteen päättämispolitiikka – pk-yritys
Tämä politiikka määrittelee prosessin uusien työntekijöiden tai urakoitsijoiden perehdyttämiseksi sekä käyttöoikeuksien turvalliseksi poistamiseksi, kun henkilöt poistuvat tai vaihtavat roolia.
Tietoturvatietoisuus- ja koulutuspolitiikka – pk-yritys
Tämä politiikka varmistaa, että kaikki työntekijät ja urakoitsijat ymmärtävät vastuunsa tietoturvan osalta.
Etätyöpolitiikka – pk-yritys
Tämä politiikka määrittää tietoturvavaatimukset etänä työskenteleville työntekijöille ja urakoitsijoille, mukaan lukien kotoa, jaetuista työtiloista tai matkustaessa.
Käyttäjätilien ja käyttöoikeuksien hallintapolitiikka – pk-yritys
Tämä politiikka määrittää säännöt käyttäjätilien ja käyttöoikeuksien hallinnan toteuttamiseksi turvallisesti, johdonmukaisesti ja jäljitettävästi.
Omaisuudenhallintapolitiikka – pk-yritys
Tämä politiikka määrittelee, miten organisaatio tunnistaa, seuraa, suojaa ja poistaa käytöstä tietovarallisuutensa, mukaan lukien sekä fyysiset että digitaaliset komponentit.
Tietojen luokittelu- ja merkintäpolitiikka – pk-yritys
Tämä politiikka määrittelee, miten kaikki organisaation käsittelemät tiedot on luokiteltava ja merkittävä, jotta luottamuksellisuus, eheys ja saatavuus säilyvät koko elinkaaren ajan.
Tietojen säilytys- ja hävityspolitiikka – pk-yritys
Tämän politiikan tarkoituksena on määritellä täytäntöönpantavat säännöt tietojen säilytykselle ja turvalliselle hävittämiselle pk-yritysympäristössä.
Varmuuskopiointi- ja palautuspolitiikka – pk-yritys
Tämä politiikka määrittelee, miten organisaatio toteuttaa ja hallinnoi varmuuskopioita liiketoiminnan jatkuvuuden varmistamiseksi, tietojen menetyksen estämiseksi ja oikea-aikaisen toipumisen mahdollistamiseksi poikkeamista.
Tietojen maskaus- ja pseudonymisointipolitiikka – pk-yritys
Tämä politiikka määrittelee täytäntöönpantavat vaatimukset tietojen maskauksen ja pseudonymisoinnin käytölle arkaluonteisten, henkilötietojen ja luottamuksellisten tietojen suojaamiseksi pienissä ja keskisuurissa yrityksissä (pk-yrityksissä).
Tietosuoja- ja yksityisyydensuojapolitiikka – pk-yritys
Tämä politiikka määrittelee, miten organisaatio suojaa henkilötietoja lakisääteisten velvoitteiden, sääntelyviitekehysten ja kansainvälisten tietoturvastandardien mukaisesti.
Kryptografisten hallintakeinojen politiikka – pk-yritys
Tämä politiikka määrittelee pakolliset vaatimukset salauksen ja kryptografisten hallintakeinojen käytölle liiketoiminta- ja henkilötietojen luottamuksellisuuden, eheyden ja aitouden suojaamiseksi.
Haavoittuvuuksien ja korjauspäivitysten hallintapolitiikka – pk-yritys
Tämä politiikka määrittelee, miten organisaatio tunnistaa, arvioi ja lieventää haavoittuvuuksia järjestelmissä, sovelluksissa ja infrastruktuurissa.
Verkkoturvallisuuspolitiikka – pk-yritys
Tämän politiikan tarkoituksena on varmistaa, että kaikki sisäinen ja ulkoinen verkkoviestintä on suojattu luvatonta pääsyä, manipulointia, salakuuntelua tai väärinkäyttöä vastaan selkeästi määritellyillä tietoturvakontrolleilla.
Lokitus- ja valvontapolitiikka – pk-yritys
Tämä politiikka määrittää pakolliset lokitus- ja seuranta-hallintakeinot organisaation IT-järjestelmien turvallisuuden, vastuuvelvollisuuden ja toiminnallisen eheyden varmistamiseksi.
Aikasynkronointipolitiikka – pk-yritys
Tämä politiikka määrittää pakolliset hallintakeinot tarkan, synkronoidun ajan ylläpitämiseksi kaikissa järjestelmissä, jotka tallentavat, siirtävät tai käsittelevät organisaation tietoja.
Turvallinen kehittäminen -politiikka – pk-yritys
Tämä politiikka varmistaa, että kaikki organisaation tai sen ulkoisten kumppaneiden luomat tai muokkaamat ohjelmistot, skriptit ja verkkopohjaiset työkalut kehitetään turvallisesti, minimoiden haavoittuvuuksien riskin.
Sovellusturvallisuusvaatimusten politiikka – pk-yritys
Tämä politiikka määrittelee vähimmäistason pakolliset sovellusturvallisuuden hallintakeinot kaikille organisaation käyttäville ohjelmisto- ja järjestelmäratkaisuille riippumatta siitä, kehitetäänkö ne sisäisesti vai hankitaanko ne ulkoisilta toimittajilta.
Kolmannen osapuolen ja toimittajien tietoturvapolitiikka – pk-yritys
Tämä politiikka määrittää pakolliset tietoturvavaatimukset kolmansien osapuolten ja toimittajien kanssa tehtävien suhteiden aloittamiseen, hallintaan ja päättämiseen, kun he pääsevät käsiksi tai vaikuttavat organisaation tietoihin, järjestelmiin tai palveluihin.
Pilven käyttöpolitiikka – pk-yritys
Tämä politiikka määrittelee, miten pilvipalveluja voidaan käyttää turvallisesti organisaatiossa. Se varmistaa, että pilvessä käsiteltävät tai tallennettavat tiedot suojataan, pääsyä hallitaan ja riskejä hallitaan vastuullisesti.
Ulkoistetun kehityksen politiikka – pk-yritys
Tämä politiikka varmistaa, että kaikki ulkoistettu ohjelmistokehitys — riippumatta siitä, toteuttavatko sen freelancerit, toimistot tai kolmannen osapuolen palveluntarjoajat — tehdään turvallisesti, sopimuksellisesti hallitusti ja sovellettavien lakisääteisten velvoitteiden, sääntelyvelvoitteiden ja auditointivaatimusten mukaisesti.
Testidatan ja testiympäristön politiikka – pk-yritys
Tämä politiikka määrittelee, miten testidata ja testiympäristöt on hallittava, jotta estetään vahingossa tapahtuva altistuminen, tietoturvaloukkaukset tai toiminnalliset häiriöt testauksen aikana.
Tietoturvapoikkeamiin reagoinnin politiikka (P30) – pk-yritys
Tämä politiikka määrittelee, miten organisaatio havaitsee, raportoi ja reagoi tietoturvapoikkeamiin, jotka vaikuttavat sen digitaalisiin järjestelmiin, tietoihin tai palveluihin.
Todistusaineiston keruun ja forensiikan politiikka – pk-yritys
Tämä politiikka määrittelee, miten organisaatio käsittelee digitaalista todistusaineistoa, joka liittyy tietoturvapoikkeamiin, tietoturvaloukkauksiin tai sisäisiin tutkintoihin.
Liiketoiminnan jatkuvuuden ja katastrofipalautuksen politiikka – pk-yritys
Tämä politiikka varmistaa, että organisaatio voi ylläpitää liiketoimintaa ja palauttaa olennaiset IT-palvelut häiriöiden aikana ja niiden jälkeen.
Auditointi- ja vaatimustenmukaisuuden seurannan politiikka – pk-yritys
Tämä politiikka määrittää organisaation lähestymistavan sisäisten auditointien, tietoturvakontrollien tarkastusten ja sääntelyvaatimusten noudattamisen seurannan toteuttamiseen.
Mobiililaitteiden ja omien laitteiden käyttö (BYOD) -politiikka – pk-yritys
Tämä politiikka määrittelee pakolliset tietoturvavaatimukset mobiililaitteiden — mukaan lukien älypuhelimet, tabletit ja kannettavat tietokoneet — käytölle, kun niillä käytetään yrityksen tietoja, järjestelmiä tai palveluja.
IoT/OT-tietoturvapolitiikka – pk-yritys
Tämä politiikka määrittelee pakolliset säännöt Internet of Things (IoT) systems- ja operatiivisen teknologian (OT) järjestelmät -laitteiden turvalliseen käyttöön ja hallintaan organisaatiossa.
Sosiaalisen median ja ulkoisen viestinnän politiikka – pk-yritys
Tämä politiikka määrittää pakolliset suuntaviivat kaikelle julkiselle viestinnälle — mukaan lukien sosiaalisen median käyttö, mediasuhteet ja ulkoinen digitaalinen sisältö — kun viitataan yritykseen, sen henkilöstöön, asiakkaisiin, järjestelmiin tai sisäisiin käytäntöihin.
Laki- ja sääntelyvaatimustenmukaisuuden politiikka – pk-yritys
Tämä politiikka määrittelee organisaation lähestymistavan lakisääteisten velvoitteiden, sääntelyvelvoitteiden ja sopimusvelvoitteiden tunnistamiseen, noudattamiseen ja noudattamisen osoittamiseen.
Tietoa Clarysecin käytännöistä - Täysi SME-paketti (P01S-P37S)
Yleiset tietoturvapolitiikat on usein rakennettu suuryrityksille, jolloin pienet yritykset joutuvat kamppailemaan monimutkaisten sääntöjen ja määrittelemättömien roolien kanssa. Tämä politiikka on erilainen. Pk-yritysten politiikkamme on suunniteltu alusta alkaen käytännön toteutukseen organisaatioissa ilman omistautuneita tietoturvatiimejä. Osoitamme vastuut rooleille, joita teillä oikeasti on, kuten toimitusjohtajalle ja IT-palveluntarjoajallenne, emme erikoistuntijoiden armeijalle, jota teillä ei ole. Jokainen vaatimus on jaettu yksilöllisesti numeroituun lausekkeeseen (esim. 5.2.1, 5.2.2). Tämä muuttaa politiikan selkeäksi, vaiheittaiseksi tarkistuslistaksi, mikä tekee siitä helpon toteuttaa, auditoida ja räätälöidä ilman kokonaisten osioiden uudelleenkirjoittamista.
Usein kysytyt kysymykset
Suunniteltu johtajille, johtajien toimesta
Tämän käytännön on laatinut tietoturvajohtaja, jolla on yli 25 vuoden kokemus ISMS-viitekehysten käyttöönotosta ja auditoinnista globaaleissa organisaatioissa. Se ei ole pelkkä asiakirja, vaan puolustettava viitekehys, joka kestää auditorin tarkastelun.
