Polityka ochrony punktów końcowych i ochrony przed złośliwym oprogramowaniem – SME

Niniejsza Polityka ochrony punktów końcowych – ochrona przed złośliwym oprogramowaniem (P20S) została zaprojektowana specjalnie dla małych i średnich przedsiębiorstw (SME), które potrzebują solidnej, praktycznej i zgodnej z normami ochrony przed zagrożeniami złośliwego oprogramowania ukierunkowanymi na urządzenia punktów końcowych. Oznaczenie „S” w numerze dokumentu oraz delegowanie głównej odpowiedzialności na dyrektora generalnego odzwierciedlają uproszczone podejście odpowiednie dla organizacji bez dedykowanego dyrektora ds. bezpieczeństwa informacji (CISO), centrum operacji bezpieczeństwa (SOC) lub pełnoetatowych zespołów IT, przy jednoczesnym zachowaniu pełnej zgodności z wiodącymi ramami, w tym ISO/IEC 27001:2022. Celem tej polityki jest ustanowienie jasnych, egzekwowalnych minimalnych standardów zabezpieczenia wszystkich urządzeń punktów końcowych, w tym laptopów, komputerów stacjonarnych, tabletów, smartfonów oraz nośników wymiennych. Poprzez uwzględnienie elementów technicznych, proceduralnych i behawioralnych bezpieczeństwa punktów końcowych polityka ma na celu ograniczenie typowych ryzyk, takich jak ransomware, spyware, keyloggery oraz złośliwe oprogramowanie przenoszone przez USB. Polityka wspiera cele odporności cybernetycznej organizacji oraz ułatwia zgodność regulacyjną, w szczególności z GDPR, NIS2, DORA oraz COBIT 2019. Zakres jest kompleksowy: obejmuje urządzenia organizacyjne oraz wykorzystywanie prywatnych urządzeń (BYOD), niezależnie od tego, czy są one używane na miejscu, zdalnie, jako aktywa połączone z chmurą, czy w trybie offline. Wymagania dotyczą całego personelu, dostawców usług zarządzanych, wykonawców oraz stażystów. Polityka opisuje nadzór zarówno nad urządzeniami firmowymi, jak i prywatnymi, ze szczególnym naciskiem na kontrole BYOD, takie jak obowiązkowe oprogramowanie antywirusowe lub agenty MDM, aktualne wdrażanie poprawek, szyfrowane przechowywanie oraz wymuszenie blokady ekranu. Kluczowe wymagania operacyjne obejmują uruchamianie zatwierdzonych rozwiązań oprogramowania antywirusowego lub wykrywania i reagowania na punktach końcowych (EDR) na wszystkich punktach końcowych, cotygodniowe pełne skanowanie systemu, automatyczne aktualizacje sygnatur, blokowanie podejrzanych typów plików, wyłączanie nieużywanych usług oraz skanowanie USB w czasie rzeczywistym. W przypadku wykrycia złośliwego oprogramowania jasno opisano natychmiastowe odłączenie, powiadomienie IT, powstrzymanie, działania naprawcze oraz procedury zgłaszania incydentów. Dodatkowe kontrole wymagają regularnych szkoleń świadomości personelu oraz ciągłych symulowanych kampanii phishingowych w celu ograniczenia ryzyka infekcji wynikającego z błędów użytkowników. Polityka dodatkowo stanowi, że zdarzenia krytyczne (takie jak wyłączone zabezpieczenia lub powtarzające się próby infekcji) są rejestrowane i generują automatyczne alerty, że dowody zgodności są przechowywane na potrzeby audytu przez co najmniej 12 miesięcy oraz że odstępstwa są ściśle dokumentowane i ograniczone czasowo. Coroczny przegląd oraz aktualizacje wyzwalane zdarzeniami zapewniają utrzymanie skuteczności polityki w odpowiedzi na zmieniające się zagrożenia i zmiany regulacyjne. Wszystkie te kontrole są odpowiednie dla SME, zapewniając dyrektorom generalnym i dostawcom wsparcia IT wykonalne, zarządzalne kroki bezpieczeństwa spełniające oczekiwania głównych ram regulacyjnych.