Mini komplekts: Piekļuve un tīkla drošība — MVU

Mini komplekts: Piekļuve un tīkla drošība — MVU nodrošina stabilu, iepriekš saskaņotu sešu kiberdrošības pārvaldības dokumentu kopumu, kas izstrādāts tieši mazajiem un vidējiem uzņēmumiem (MVU). Ņemot vērā unikālos izaicinājumus, ar kuriem saskaras organizācijas bez specializētām IT vai drošības struktūrvienībām, katra politika komplektā ir racionalizēta, lai izmantotu MVU parasti pieejamas lomas, piemēram, ģenerāldirektors, struktūrvienību vadītāji un ārējie IT pakalpojumu sniedzēji. Visi dokumenti ir rūpīgi kartēti atbilstoši jaunākajām ISO/IEC 27001:2022 un ISO/IEC 27002:2022 prasībām, kā arī saistītajiem ietvariem, piemēram, NIST SP 800-53 Rev.5, ES GDPR, ES NIS2, ES DORA un COBIT 2019. Komplektā ir iekļauta Piekļuves kontroles politika, kas nosaka, kā tiek pārvaldīta piekļuve IT infrastruktūrai, objektiem un datiem, izmantojot skaidrus apstiprināšanas procesus, formālas pārskatīšanas un minimālo privilēģiju principa ievērošanu. Lietotāju kontu un privilēģiju pārvaldības politika to paplašina, nodrošinot stingrus kontroles pasākumus kontu piešķiršanai, izmaiņām un deaktivizēšanai, aizliedzot koplietotus autentifikācijas datus un nosakot unikālus, izsekojamus identifikatorus, ko atbalsta audita pēdas un atbilstības žurnālfiksēšana. Abas politikas ir izstrādātas organizācijām, kur ģenerāldirektors vai ārēja IT funkcija darbojas kā sistēmas īpašnieks vai apstiprināšanas pilnvarotā persona, samazinot sarežģītību un nodrošinot, ka kontrole ir uzturama arī ar ierobežotiem iekšējiem resursiem. Ievainojamību un ielāpu pārvaldības politika nosaka prasības ievainojamību identificēšanai, novērtēšanai un trūkumu novēršanas pasākumiem visos uzņēmuma IT aktīvos, tostarp darbstacijās, serveros, mākoņvidē izvietotās sistēmās un programmatūrā. Tiek noteikta savlaicīga ielāpu uzstādīšana, ceturkšņa ziņošana un skaidri izņēmumu procesi, ar pienākumiem, kas sadalīti starp ģenerāldirektoru un IT pakalpojumu sniedzējiem. Lai aizsargātu galapunktu infrastruktūru, Galapunktu aizsardzība — aizsardzība pret ļaunprogrammatūru politika nosaka prasības antivīrusu programmatūras ieviešanai, personīgo ierīču izmantošanas (BYOD) drošībai, uzraudzībai un reaģēšanai, ar tehniskām un procesuālām instrukcijām, kas pielāgotas MVU kontekstam, tostarp apstiprinātu rīku izmantošanai un regulārai apmācībai par aizsardzību pret ļaunprogrammatūru. Kritiskās tīkla kontroles ir ietvertas Tīkla drošības politikā, kas apraksta drošu vadu, bezvadu un attālinātas piekļuves kanālu izstrādi, tīkla segmentēšanu, uzraudzību un tehnisko piespiedu izpildi. Politika aptver gan fiziskos, gan loģiskos tīklus, pieprasot stingras ugunsmūra noteikumu konfigurācijas, VPN izmantošanu ar daudzfaktoru autentifikāciju (MFA), regulārus auditus un ziņošanu par nesankcionētu vai anomālu tīkla uzvedību. Žurnālfiksēšanas un uzraudzības politika nodrošina, ka visas kritiskās darbības — no administratīvām izmaiņām līdz tehniskajiem brīdinājumiem — tiek reģistrētas, glabātas un regulāri pārskatītas, ļaujot MVU izpildīt gan operatīvos, gan juridiskos pienākumus attiecībā uz pārskatatbildību, pārkāpumu izmeklēšanu un atbilstības auditiem. Kā MVU specifiskas politikas (ko apliecina “S” numerācijā un lomu atsaucēs), katrs dokuments uzsver praktisku, reālistisku ieviešanu, izmantojot reģistrus, vienkāršas apstiprināšanas darbplūsmas un kontrolsarakstus, nevis lielu komandu struktūras vai specializētus amatus. Kopā šis komplekts nodrošina visaptverošu, īstenojamu un auditējamu pamatu kiberdrošības nozares labākajai praksei mazajos un vidējos uzņēmumos.