Mini paket: ISMS Startup Pack - ENT

Mini paket: ISMS Startup Pack - ENT pruža temeljni skup politika za svaku organizaciju koja uspostavlja ili unaprjeđuje svoj sustav upravljanja informacijskom sigurnošću (ISMS) u skladu s ISO/IEC 27001:2022 i povezanim propisima. Ovaj paket uključuje šest ključnih politika: Politiku informacijske sigurnosti, model upravljanja ulogama i odgovornostima, Politiku kontrole pristupa, Politiku upravljanja promjenama, okvir za upravljanje rizicima i zahtjeve za sigurnosno kopiranje i obnovu, pri čemu je svaka izravno mapirana na najnovije međunarodne standarde, uključujući ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53, COBIT 2019, EU GDPR, Direktivu NIS2 i DORA. Politika informacijske sigurnosti definira krovnu strategiju organizacije za upravljanje svim aspektima povjerljivosti, cjelovitosti i dostupnosti informacija. Pruža strateški smjer, izražava sigurnosnu predanost uprave, podržava mjerljive ciljeve, postavlja model upravljanja sigurnošću informacija i djeluje kao autoritativna referentna točka za svu podređenu dokumentaciju. Njezin je opseg širok, obuhvaća sve ljude, tehnologije, procese i puni životni ciklus informacija. Strogi zahtjevi osiguravaju da su uloge jasne, da se provode kontinuirane radnje temeljene na riziku, da se upravlja izmjenama politika i da se održava revizivost. Politika upravljanja ulogama i odgovornostima dodatno pojašnjava ovlasti i odgovornosti unutar sustava upravljanja informacijskom sigurnošću (ISMS), osiguravajući da svaki sudionik, od višeg rukovodstva i voditelja ISMS-a do pružatelja usluga trećih strana, razumije svoju funkciju i putove eskalacije. Održavanjem registra uloga i odgovornosti i provedbom razdvajanja dužnosti, ova politika jamči da su sve aktivnosti sustava upravljanja informacijskom sigurnošću (ISMS) formalno dodijeljene, potpuno sljedive i periodično pregledavane u svrhu revizije. Izričito se zahtijeva međufunkcionalna koordinacija s IT-jem, pravnim poslovima, usklađenošću i ljudskim resursima (HR), a politika opisuje i interne i vanjski ugovorene strukture upravljanja. Politika kontrole pristupa isporučuje obvezna načela za korisnički i sistemski pristup u svim okruženjima, s naglaskom na kontrolu pristupa na temelju uloga (RBAC), upravljanje životnim ciklusom pristupa, radne tokove odobravanja, zaštitu povlaštenih računa i mehanizme autentifikacije identiteta, uz tromjesečne preglede pristupa. Ova je politika usko integrirana s uvođenjem dobavljača i izlaznim procesom, robusnim lancima odobravanja i automatiziranim okidačima gdje god je moguće. Ne zadovoljava samo zahtjeve ISO/IEC 27001 i NIST-a, već i sveobuhvatne pravne obveze prema GDPR-u i sektorskim okvirima. Ugrađeni su stroga provedba, revizijski orijentirano vođenje evidencije i mehanizam prijave nepravilnosti za kršenja. Otpornost poduzeća osigurava Politika upravljanja promjenama. Primjenjuje disciplinirane kontrole temeljene na riziku na sve promjene tehnologije i procesa: standardne promjene, normalne promjene ili hitne promjene. Proces zahtijeva detaljnu dokumentaciju zahtjeva za promjenu, obvezni pregled Savjetodavnog odbora za promjene za normalne i velike promjene, testiranje prije implementacije, dokumentirane planove povrata i postimplementacijski pregled. Stroge kontrole sprječavaju neovlaštene/neplanirane promjene, provode sustave za upravljanje verzijama i osiguravaju da su svi koraci — iniciranje, odobravanje i izvršenje — razdvojeni. Ovaj sustavni pristup smanjuje rizik od neplaniranih prekida rada, neovlaštenih izmjena ili povreda usklađenosti, uz podršku snažnom revizijskom tragu. Upravljanje rizicima operacionalizira se ponovljivim, metodičnim procesom za identifikaciju rizika, analizu rizika, obradu rizika i praćenje rizika u skladu s ISO/IEC 27001 Odredbom 6.1, ISO/IEC 27005 i ISO 31000. Sve aktivnosti upravljanja rizicima dokumentiraju se u centraliziranom registru rizika i unakrsno se referenciraju s Izjavom o primjenjivosti (SoA) radi jasne sljedivosti prema kontrolama i radnjama obrade. Ovaj pristup osigurava da se apetit za rizik utvrđuje na razini izvršnog menadžmenta te da se svi značajni rizici odgovarajuće eskaliraju, obrađuju ili prihvaćaju uz potpunu dokumentaciju i periodični pregled. Politika dodatno specificira integraciju s nalazima revizije, odgovorom na incidente i strateškim organizacijskim odlukama. Na kraju, Politika sigurnosnog kopiranja i obnove jamči kontinuitet i otpornost podataka, propisujući šifrirane sigurnosne kopije prema rasporedu, testiranje obnove, redundanciju izvan lokacije/u oblaku i sigurno postupanje s medijima, sve u skladu s regulatornim zahtjevima i procjenama utjecaja na poslovanje. Ciljevi vremena oporavka i točke oporavka (RTO/RPO) dokumentiraju se po sustavu. Testiranje obnove provodi se redovito, neuspjesi sigurnosnog kopiranja bilježe se i eskaliraju, a iznimke se procjenjuju rizikom i strogo kontroliraju. Politika se također odnosi na pružatelje sigurnosnog kopiranja trećih strana, zahtijevajući ugovorne, tehničke i usklađujuće zaštitne mjere. Za reviziju i istragu zahtijeva se zadržavanje dokaza, a veza s planovima odgovora na incidente izričito je opisana. Zajedno, ove politike čine sveobuhvatan, enterprise-spreman “ISMS Starter Kit” prikladan za organizacije koje traže certifikaciju, usklađenost s propisima i operativnu otpornost. Svaki dokument je pod sustavima za upravljanje verzijama, ima ciklus pregleda te sadrži odredbe provedbe i eskalacije za nesukladnost trećih strana i interne nesukladnosti, uz podršku integriranoj spremnosti za reviziju kroz životni ciklus sustava upravljanja informacijskom sigurnošću.