Mini rinkinys: Prieigos ir tinklo saugumas – SVV

Mini rinkinys: Prieigos ir tinklo saugumas – SVV suteikia tvirtą, iš anksto suderintą šešių kibernetinio saugumo valdysenos dokumentų rinkinį, sukurtą specialiai mažoms ir vidutinėms įmonėms (SVV). Atsižvelgiant į unikalius iššūkius, su kuriais susiduria organizacijos be dedikuotų IT ar saugumo padalinių, kiekviena rinkinio politika yra supaprastinta taip, kad naudotų SVV dažniausiai pasitaikančius vaidmenis, pvz., General Manager, padalinių vadovai ir išoriniai tiekėjai. Visi dokumentai kruopščiai susieti su naujausiais ISO/IEC 27001:2022 ir ISO/IEC 27002:2022 reikalavimais, taip pat su susijusiomis sistemomis, pvz., NIST SP 800-53 Rev.5, EU GDPR, EU NIS2, EU DORA ir COBIT 2019. Į šį rinkinį įtraukta Prieigos kontrolės politika, kuri nustato, kaip valdoma prieiga prie IT sistemų, patalpų ir duomenų, taikant aiškius patvirtinimo procesus, formalias peržiūras ir mažiausių privilegijų principo vykdymo užtikrinimą. Naudotojų paskyrų ir privilegijų valdymo politika tai papildo, užtikrindama tvirtas kontrolės priemones paskyrų prieigos suteikimui, keitimui ir prieigos teisių panaikinimui, drausdama bendrus prisijungimo duomenis ir reikalaudama unikalių prisijungimo duomenų bei atsekamų tapatybių, paremtų audito pėdsaku ir atitikties registravimu audito žurnale. Abi politikos parengtos organizacijoms, kuriose General Manager arba išorinė IT funkcija veikia kaip sistemos savininkas ar patvirtinimo institucija, mažinant sudėtingumą ir užtikrinant, kad kontrolė būtų palaikoma net esant ribotiems vidiniams ištekliams. Pažeidžiamumų ir pataisų valdymo politika apibrėžia lūkesčius dėl pažeidžiamumų identifikavimo, vertinimo ir taisomųjų veiksmų visame įmonės IT turte, įskaitant darbo stotis, serverius, debesijos infrastruktūrą ir programinę įrangą. Reikalaujama savalaikio pataisų diegimo, ketvirtinio ataskaitų teikimo ir aiškių išimčių valdymo procesų, o atsakomybės pasidalijamos tarp General Manager ir IT paslaugų teikėjų. Siekiant apsaugoti galinių įrenginių infrastruktūrą, Galinių įrenginių apsauga – apsaugos nuo kenkėjiškos programinės įrangos priemonės politika nustato reikalavimus antivirusinės programinės įrangos diegimui, nuosavų įrenginių naudojimo (BYOD) saugumui, stebėsenai ir reagavimui, su techninėmis ir procedūrinėmis instrukcijomis, pritaikytomis SVV kontekstui, įskaitant nepatvirtintų įrankių naudojimo ribojimą ir reguliarius saugumo informuotumo mokymus apie kenkėjišką programinę įrangą. Kritinės tinklo kontrolės priemonės aptariamos Tinklo saugumo politikoje, kurioje aprašomas projektavimas, tinklo segmentavimas, stebėsena ir saugių laidinių, belaidžių ir nuotolinės prieigos kanalų vykdymo užtikrinimas. Politika apima tiek fizinius, tiek loginius tinklus, reikalaujant tvirtų ugniasienės konfigūracijų, virtualiojo privataus tinklo (VPN) naudojimo su kelių veiksnių autentifikavimu (MFA), reguliarių auditų ir pranešimo apie nesankcionuotą prieigą ar anomalų tinklo elgesį. Žurnalinimo ir stebėsenos politika užtikrina, kad visa kritinė veikla – nuo administracinių pakeitimų iki techninių įspėjimų – būtų registruojama, saugoma ir reguliariai peržiūrima, leidžiant SVV įvykdyti tiek operacines, tiek teisines prievoles dėl atskaitomybės, tyrimo dėl duomenų saugumo pažeidimo ir atitikties auditų. Kaip SVV specifinės politikos (tai patvirtina „S“ jų numeracijoje ir vaidmenų nuorodose), kiekvienas dokumentas pabrėžia praktišką, realistišką įgyvendinimą, naudojant registrus, paprastas patvirtinimo darbo eigas ir kontrolinius sąrašus vietoje didelių komandų struktūrų ar specializuotų pareigybių. Kartu šis rinkinys suteikia išsamų, įgyvendinamą ir audituojamą kibernetinio saugumo geriausiosios praktikos pagrindą mažoms ir vidutinėms įmonėms.