Mini paket: kontrola pristupa i sigurnost mreže – SME

Mini paket: kontrola pristupa i sigurnost mreže – SME pruža robustan, unaprijed usklađen skup od šest dokumenata za upravljanje kibernetičkom sigurnošću izrađenih posebno za mala i srednja poduzeća (SME). Prepoznajući jedinstvene izazove organizacija bez namjenskih IT ili sigurnosnih odjela, svaka politika u paketu pojednostavljena je tako da koristi uloge koje su uobičajeno prisutne u SME-ovima, kao što su glavni izvršni direktor, rukovoditelji odjela i vanjski dobavljači. Svi dokumenti pažljivo su mapirani na najnovije zahtjeve ISO/IEC 27001:2022 i ISO/IEC 27002:2022, kao i na povezane okvire poput NIST SP 800-53 Rev.5, EU GDPR-a, EU NIS2, EU DORA i COBIT 2019. Ovaj paket uključuje politiku kontrole pristupa, koja propisuje kako se pristup IT sustavima, objektima i podacima upravlja kroz jasne postupke odobravanja, formalne preglede i provedbu načela najmanjih privilegija. Politika upravljanja korisničkim računima i privilegijama nadograđuje to osiguravajući snažne kontrole nad dodjelom pristupa, izmjenama i ukidanjem pristupnih prava, zabranjujući dijeljene vjerodajnice te zahtijevajući jedinstvene, sljedive identitete, uz podršku revizijskog traga i revizijskog bilježenja. Obje su napisane za organizacije u kojima glavni izvršni direktor ili vanjska IT funkcija djeluje kao vlasnik sustava ili ovlaštenik za odobravanje, smanjujući složenost i osiguravajući da se kontrola može održavati i uz ograničene interne resurse. Politika upravljanja ranjivostima i zakrpama definira očekivanja za identifikaciju rizika, procjenu i korektivne radnje za ranjivosti u cijeloj korporativnoj IT imovini, uključujući radne stanice, poslužitelje, IT infrastrukturu u oblaku i softver. Pravodobno zakrpavanje, tromjesečno izvješćivanje i jasni postupci upravljanja iznimkama su obvezni, uz podijeljene odgovornosti između glavnog izvršnog direktora i IT pružatelja. Za zaštitu infrastrukture krajnjih točaka, Politika zaštite krajnjih točaka – zaštita od zlonamjernog softvera propisuje zahtjeve za antivirusni softver, korištenje vlastitih uređaja (BYOD), praćenje i odgovor na incidente, uz tehničke i proceduralne upute prilagođene SME kontekstu, uključujući korištenje neodobrenih alata (zabranjeno) i redovitu obuku o sigurnosnoj svijesti o zlonamjernom softveru. Kritične mrežne kontrole obrađene su u Politici sigurnosti mreže, koja detaljno opisuje dizajn, segmentaciju mreže, praćenje i provedbu sigurnih žičanih, bežičnih i kanala udaljenog pristupa. Politika pokriva i fizičke i logičke mreže, zahtijevajući snažne konfiguracije vatrozida, korištenje virtualne privatne mreže (VPN) uz višefaktorsku autentifikaciju (MFA), redovite sigurnosne revizije i prijavljivanje neovlaštenog pristupa ili anomalnog mrežnog ponašanja. Politika bilježenja i praćenja osigurava da se sve kritične aktivnosti, od administrativnih promjena do automatiziranih upozorenja, bilježe, zadržavaju i redovito pregledavaju, omogućujući SME-ovima da ispune i operativne i pravne obveze za odgovornost, istragu povreda i revizije usklađenosti. Kao SME-specifične politike (što je vidljivo po 'S' u njihovom numeriranju i referencama na uloge), svaki dokument naglašava praktičnu, realističnu implementaciju, koristeći registre, jednostavne radne tokove odobravanja i kontrolne liste umjesto struktura velikih timova ili specijaliziranih pozicija. Zajedno, ovaj paket pruža sveobuhvatnu, provedivu i revizibilnu osnovu najboljih praksi kibernetičke sigurnosti u malim i srednjim poduzećima.