Przegląd
Pełny pakiet MŚP (P01S–P37S) zapewnia kompletny, gotowy do audytu zestaw polityk cyberbezpieczeństwa i zarządzania IT, obejmujący wszystkie wymagania bezpieczeństwa informacji dla MŚP. Każda polityka jest dostosowana do liderów małych firm (dyrektorów generalnych), zaprojektowana wprost dla organizacji bez dedykowanych zespołów bezpieczeństwa i w pełni zgodna z ISO/IEC 27001:2022, RODO, NIS2, DORA i innymi.
Kompletna zgodność MŚP
Obejmuje 37 polityk, zapewniając pełne dostosowanie do ISO/IEC 27001, RODO, NIS2, DORA i COBIT dla MŚP bez dużych zespołów IT.
Środki kontrolne gotowe do audytu
Wszystkie polityki obejmują wymagania dotyczące dokumentacji audytowej, kontrolę wersji, wyzwalacze przeglądów oraz procesy działań korygujących.
Praktyczne zarządzanie dla MŚP
Role przypisane do dyrektora generalnego i liderów zespołów; nie jest wymagany dyrektor ds. bezpieczeństwa informacji (CISO) ani centrum operacji bezpieczeństwa (SOC). Zaprojektowane dla firm zarządzanych przez właściciela.
Egzekwowalne, jasne wytyczne
Zasady krok po kroku, listy kontrolne oraz obsługa wyjątków dla przyjaznych użytkownikowi, egzekwowalnych praktyk cyberbezpieczeństwa.
Gotowe do certyfikacji ISO 27001
Bezpośrednie mapowanie do wszystkich klauzul ISO/IEC 27001:2022 i 27002:2022 dla pewności w audycie i certyfikacji.
Czytaj pełny przegląd
Zawartość
Zakres i zasady prowadzenia działań
Macierz ról i odpowiedzialności
Procedury kontroli dostępu i zarządzania zmianami
Zasady ochrony danych i prywatności danych
Reagowanie na incydenty i obsługa dowodów
Audyt, procesy zgodności prawnej i regulacyjnej
Zgodność z frameworkiem
🛡️ Obsługiwane standardy i frameworki
Ten produkt jest zgodny z następującymi frameworkami zgodności, ze szczegółowym mapowaniem klauzul i kontroli.
| Framework | Objęte klauzule / Kontrole |
|---|---|
| ISO/IEC 27001:2022 | |
| ISO/IEC 27002:2022 | |
| NIST SP 800-53 Rev.5 | |
| EU GDPR |
Article 5Article 6Articles 12–23Article 28Article 32Article 33Article 34
|
| EU NIS2 Directive |
Article 20Article 21(2)(a–i)Article 23
|
| EU DORA | |
| COBIT 2019 |
Powiązane polityki
Polityka ról i odpowiedzialności w zarządzaniu – MŚP
Ta polityka definiuje, w jaki sposób odpowiedzialności w zakresie zarządzania bezpieczeństwem informacji są przypisywane, delegowane i zarządzane w organizacji, aby zapewnić pełną zgodność z ISO/IEC 27001:2022 oraz innymi obowiązkami regulacyjnymi.
Polityka czystego biurka i czystego ekranu – MŚP
Ta polityka ustanawia egzekwowalne wytyczne dotyczące utrzymania bezpiecznego środowiska pracy poprzez zapewnienie, że biurka, stanowiska pracy i ekrany są wolne od widocznych informacji poufnych, gdy pozostają bez nadzoru.
Polityka ochrony punktów końcowych i ochrony przed złośliwym oprogramowaniem – MŚP
Ta polityka definiuje minimalne wymagania techniczne, proceduralne i behawioralne dotyczące ochrony wszystkich urządzeń końcowych — takich jak laptopy, komputery stacjonarne, urządzenia mobilne i nośniki przenośne — przed złośliwym kodem.
P01 Polityka bezpieczeństwa informacji – MŚP
Ta polityka demonstruje zaangażowanie organizacji w ochronę informacji klientów i informacji biznesowych poprzez jasne zdefiniowanie odpowiedzialności oraz praktycznych środków bezpieczeństwa, odpowiednich dla organizacji bez dedykowanych zespołów IT.
Polityka dopuszczalnego użytkowania – MŚP
Ta polityka definiuje dopuszczalne, odpowiedzialne i bezpieczne korzystanie z systemów, urządzeń, dostępu do Internetu, poczty elektronicznej, usług w chmurze obliczeniowej oraz wszelkich urządzeń prywatnych wykorzystywanych do celów służbowych.
Polityka kontroli dostępu – MŚP
Ta polityka definiuje, w jaki sposób organizacja zarządza dostępem do systemów, danych i obiektów, aby zapewnić, że tylko upoważnione osoby mogą uzyskać dostęp do informacji na podstawie potrzeby biznesowej.
Polityka zarządzania zmianami – MŚP
Ta polityka zapewnia, że wszystkie zmiany w systemach IT, ustawieniach konfiguracyjnych, aplikacjach biznesowych lub usługach w chmurze obliczeniowej są planowane, poddawane ocenie ryzyka związanego ze zmianami, testowane i zatwierdzane przed wdrożeniem.
Polityka zarządzania ryzykiem – MŚP
Ta polityka definiuje, w jaki sposób organizacja identyfikuje, ocenia i zarządza ryzykami związanymi z bezpieczeństwem informacji, operacjami, technologią oraz dostawcami usług stron trzecich.
Polityka zatrudniania i zakończenia współpracy – MŚP
Ta polityka definiuje proces wdrażania nowych pracowników lub wykonawców oraz bezpieczne usuwanie dostępu, gdy osoby odchodzą lub zmieniają role.
Polityka świadomości i szkoleń w zakresie bezpieczeństwa informacji – MŚP
Ta polityka zapewnia, że wszyscy pracownicy i wykonawcy rozumieją swoje obowiązki w zakresie bezpieczeństwa informacji.
Polityka pracy zdalnej – MŚP
Ta polityka ustanawia wymagania bezpieczeństwa dla pracowników i wykonawców pracujących zdalnie, w tym z domu, ze współdzielonych przestrzeni roboczych lub w podróży.
Polityka zarządzania kontami użytkowników i uprawnieniami – MŚP
Ta polityka ustanawia zasady zarządzania kontami użytkowników oraz prawami dostępu w sposób bezpieczny, spójny i możliwy do prześledzenia.
Polityka zarządzania aktywami – MŚP
Ta polityka definiuje, w jaki sposób organizacja identyfikuje, śledzi, chroni i wycofuje swoje aktywa informacyjne, w tym komponenty fizyczne i aktywa cyfrowe.
Polityka klasyfikacji danych i etykietowania – MŚP
Ta polityka definiuje, w jaki sposób wszystkie informacje przetwarzane przez organizację muszą być klasyfikowane i oznaczane, aby zapewnić utrzymanie poufności, integralności i dostępności (CIA) w całym cyklu życia.
Polityka retencji i utylizacji danych – MŚP
Celem tej polityki jest zdefiniowanie egzekwowalnych zasad dotyczących retencji oraz bezpiecznej utylizacji informacji w środowisku MŚP.
Polityka kopii zapasowych i odtwarzania – MŚP
Ta polityka definiuje, w jaki sposób organizacja wykonuje i zarządza kopiami zapasowymi, aby zapewnić ciągłość działania, chronić przed utratą danych oraz umożliwić terminowe odzyskiwanie po incydentach.
Polityka maskowania danych i pseudonimizacji – MŚP
Ta polityka definiuje egzekwowalne wymagania dotyczące stosowania maskowania danych i pseudonimizacji w celu ochrony danych wrażliwych, danych osobowych oraz danych poufnych w małych i średnich przedsiębiorstwach (MŚP).
Polityka ochrony danych i prywatności danych – MŚP
Ta polityka definiuje, w jaki sposób organizacja chroni dane osobowe zgodnie z obowiązkami prawnymi, ramami regulacyjnymi oraz międzynarodowymi normami bezpieczeństwa.
Polityka kontroli kryptograficznych – MŚP
Ta polityka definiuje obowiązkowe wymagania dotyczące stosowania szyfrowania i kontroli kryptograficznych w celu ochrony poufności, integralności oraz autentyczności danych biznesowych i danych osobowych.
Polityka zarządzania podatnościami i poprawkami – MŚP
Ta polityka definiuje, w jaki sposób organizacja identyfikuje, ocenia i ogranicza podatności w systemach, aplikacjach i infrastrukturze.
Polityka bezpieczeństwa sieci – MŚP
Celem tej polityki jest zapewnienie, że cała komunikacja sieciowa wewnętrzna i zewnętrzna jest chroniona przed nieuprawnionym dostępem, manipulacją, podsłuchem lub nadużyciem poprzez jasno zdefiniowane zabezpieczenia techniczne.
Polityka rejestrowania i monitorowania – MŚP
Ta polityka ustanawia obowiązkowe kontrole rejestrowania i monitorowania w celu zapewnienia bezpieczeństwa, rozliczalności oraz integralności operacyjnej systemów IT organizacji.
Polityka synchronizacji czasu – MŚP
Ta polityka ustanawia obowiązkowe środki kontrolne utrzymywania dokładnego, zsynchronizowanego czasu we wszystkich systemach, które przechowują, przesyłają lub przetwarzają dane organizacji.
Polityka bezpiecznego rozwoju oprogramowania – MŚP
Ta polityka zapewnia, że całe oprogramowanie, skrypty i narzędzia webowe tworzone lub modyfikowane przez organizację lub jej partnerów zewnętrznych są rozwijane w sposób bezpieczny, minimalizując ryzyko podatności.
Polityka wymagań bezpieczeństwa aplikacji – MŚP
Ta polityka definiuje minimalne obowiązkowe środki kontrolne bezpieczeństwa aplikacji wymagane dla wszystkich rozwiązań programowych i systemowych używanych przez organizację, niezależnie od tego, czy są rozwijane wewnętrznie, czy pozyskiwane od zewnętrznych dostawców.
Polityka bezpieczeństwa stron trzecich i dostawców – MŚP
Ta polityka ustanawia obowiązkowe wymagania bezpieczeństwa dotyczące angażowania, zarządzania i zakończenia relacji ze stronami trzecimi i dostawcami, którzy uzyskują dostęp do danych, systemów lub usług organizacji albo na nie wpływają.
Polityka korzystania z chmury – MŚP
Ta polityka definiuje, w jaki sposób usługi w chmurze obliczeniowej mogą być bezpiecznie wykorzystywane w organizacji. Zapewnia ochronę danych przetwarzanych lub przechowywanych w chmurze obliczeniowej, kontrolę dostępu oraz odpowiedzialne zarządzanie ryzykiem.
Polityka bezpiecznego rozwoju w outsourcingu – MŚP
Ta polityka zapewnia, że cały rozwój oprogramowania w outsourcingu — realizowany przez freelancerów, agencje lub dostawców usług stron trzecich — jest prowadzony bezpiecznie, kontrolowany umownie oraz zgodny z obowiązującymi wymaganiami prawnymi, regulacyjnymi i audytowymi.
Polityka danych testowych i środowiska testowego – MŚP
Ta polityka definiuje, w jaki sposób dane testowe i środowiska testowe muszą być zarządzane, aby zapobiec przypadkowej ekspozycji, naruszeniom danych lub zakłóceniom operacyjnym podczas testów.
Polityka reagowania na incydenty (P30) – MŚP
Ta polityka definiuje, w jaki sposób organizacja wykrywa, zgłasza i reaguje na incydenty bezpieczeństwa informacji wpływające na jej systemy cyfrowe, dane lub usługi.
Polityka gromadzenia dowodów i informatyki śledczej – MŚP
Ta polityka definiuje, w jaki sposób organizacja postępuje z dowodami cyfrowymi związanymi z incydentami bezpieczeństwa, naruszeniami danych lub dochodzeniami wewnętrznymi.
Polityka ciągłości działania i odtwarzania po awarii – MŚP
Ta polityka zapewnia, że organizacja może utrzymać działalność i odzyskać kluczowe usługi IT podczas i po zdarzeniach zakłócających.
Polityka audytu i zgodności oraz monitorowania – MŚP
Ta polityka ustanawia podejście organizacji do przeprowadzania audytów wewnętrznych, kontroli środków kontrolnych bezpieczeństwa oraz monitorowania zgodności regulacyjnej.
Polityka urządzeń mobilnych i BYOD – MŚP
Ta polityka definiuje obowiązkowe wymagania bezpieczeństwa dotyczące korzystania z urządzeń mobilnych — w tym smartfonów, tabletów i laptopów — podczas dostępu do informacji, systemów lub usług firmy.
Polityka bezpieczeństwa IoT/OT – MŚP
Ta polityka definiuje obowiązkowe zasady bezpiecznego korzystania i zarządzania urządzeniami oraz systemami Internetu Rzeczy (IoT) oraz systemami technologii operacyjnej (OT) w organizacji.
Polityka mediów społecznościowych i komunikacji zewnętrznej – MŚP
Ta polityka ustanawia obowiązkowe wytyczne dotyczące komunikacji publicznej — w tym korzystania z mediów społecznościowych, kontaktów z prasą oraz zewnętrznych treści cyfrowych — przy odnoszeniu się do firmy, jej personelu, klientów, systemów lub praktyk wewnętrznych.
Polityka zgodności prawnej i regulacyjnej – MŚP
Ta polityka definiuje podejście organizacji do identyfikowania, spełniania oraz wykazywania przestrzegania obowiązków prawnych, regulacyjnych i umownych.
O politykach Clarysec - Pełny pakiet MŚP (P01S–P37S)
Ogólne polityki bezpieczeństwa są często tworzone dla dużych korporacji, przez co małe firmy mają trudność z zastosowaniem złożonych zasad i nieokreślonych ról. Ta polityka jest inna. Nasze polityki MŚP są projektowane od podstaw z myślą o praktycznym wdrożeniu w organizacjach bez dedykowanych zespołów bezpieczeństwa. Przypisujemy odpowiedzialności do ról, które faktycznie posiadasz, takich jak dyrektor generalny i Twój dostawca usług IT, a nie do armii specjalistów, których nie masz. Każde wymaganie jest rozbite na unikalnie numerowaną klauzulę (np. 5.2.1, 5.2.2). Dzięki temu polityka staje się jasną listą kontrolną krok po kroku, co ułatwia wdrożenie, audyt i dostosowanie bez przepisywania całych sekcji.
Często zadawane pytania
Stworzone dla liderów, przez liderów
Niniejsza polityka została opracowana przez lidera ds. bezpieczeństwa z ponad 25-letnim doświadczeniem w zakresie wdrażania i audytowania systemów ISMS w globalnych organizacjach. Została zaprojektowana nie tylko jako dokument, lecz jako obronne ramy, które wytrzymują kontrolę audytora.
