Politika mrežne sigurnosti – SME

Ova Politika mrežne sigurnosti (P21S) izričito je osmišljena kako bi zadovoljila prilagođene potrebe malih i srednjih poduzeća koja posluju bez velikih ili specijaliziranih timova za informacijsku sigurnost. Prilagođena okruženjima u kojima glavni izvršni direktor preuzima ukupnu odgovornost, politika osigurava učinkovitu implementaciju snažnih mrežnih sigurnosnih kontrola čak i kada uloge poput Centra za sigurnosne operacije (SOC) ili glavnog službenika za informacijsku sigurnost (CISO) ne postoje. Usklađena s ISO/IEC 27001:2022 i kompatibilna s GDPR-om, NIS2 i DORA-om, pruža jasnoću i osiguranje u postizanju tehničke, pravne i revizijski spremne usklađenosti. Opseg politike je sveobuhvatan i obuhvaća sve elemente mreže organizacije: žičanu i bežičnu infrastrukturu, vatrozide, usmjerivače, preklopnike, udaljene veze (VPN, RDP) i veze s oblakom, kao i uređaje povezane s mrežom. To uključuje interno osoblje, udaljene i hibridne radnike, goste, izvođače, dobavljače i pružatelje usluga treće strane. I fizičke i logičke mrežne separacije, poput gostujućih zona i IoT uređaja, izričito su obuhvaćene, osiguravajući da se svakim segmentom upravlja primjereno riziku i potrebama pristupa. Jasna dodjela uloga je temeljna: glavni izvršni direktor nadzire politiku i odobrava iznimke, dok je pružatelj IT podrške (ili interna IT uloga) odgovoran za praktičnu implementaciju, održavanje te otkrivanje i eskalaciju incidenata. Ove definicije omogućuju malim i srednjim poduzećima bez namjenskih IT odjela da ispune zahtjeve usklađenosti visokog standarda uz pojednostavljene strukture upravljanja. Koordinatori za privatnost ili sigurnost podržavaju usklađenost s propisima o zaštiti osobnih podataka, sudjeluju u istragama povreda i osiguravaju ispunjavanje zahtjeva dokumentacije. Svo osoblje mora slijediti stroge smjernice o mrežnom pristupu, povezivanju uređaja, sigurnoj uporabi lozinki i prijavljivanju incidenata. Upravljanje i tehnološke kontrole detaljno su opisani. Sva imovina relevantna za sigurnost mora biti nabavljena od podržanih dobavljača i održavana ažurnom uz sigurnosne zakrpe. Vatrozidi i bežični kontroleri provode načelo default-deny; bežične mreže moraju koristiti WPA3 ili WPA2 šifriranje, uz strogo izoliran gostujući pristup. Izloženost usluga u oblaku minimizira se, VPN pristup je strogo kontroliran i praćen, a višefaktorska autentifikacija (MFA) je obvezna za udaljene prijave. Revizijsko bilježenje, praćenje, redovite revizije i jasni kanali izvješćivanja obvezni su kako bi se osiguralo kontinuirano poboljšanje i spremnost za odgovor na incidente. Naglašavanjem godišnjih pregleda, procesa upravljanja promjenama i stroge provedbe (uz mjere za neusklađenost od ciljanog ponovnog osposobljavanja do pravnih mjera), ova politika stvara učinkovitu i održivu osnovu za trajnu sigurnost. Postupci iznimki su formalizirani i uvijek zahtijevaju obrazloženje, kompenzacijske kontrole i odobrenje glavnog izvršnog direktora. Ovaj pristup omogućuje malim i srednjim poduzećima da posluju sigurno, ispune pravne obveze i pokažu tehničku sposobnost kupcima, revizorima i regulatorima.