Mini balík: ISMS Startup Pack – SME

Mini balík: ISMS Startup Pack – SME ponúka praktickú, end-to-end sadu kyberbezpečnostných politík účelovo vytvorenú pre malé a stredné podniky, ktoré hľadajú zosúladenie s ISO/IEC 27001:2022. Keďže SME často nemajú vyhradené interné IT, bezpečnostné alebo compliance tímy, každá politika v tomto balíku explicitne priraďuje zodpovednosť a právomoc obchodným rolám, ako sú výkonný riaditeľ, vedúci oddelení a, ak sú prítomní, určení zamestnanci alebo outsourcované IT. Všetky politiky odkazujú na zjednodušené oddelenie povinností; delegovanie zodpovedností výkonným riaditeľom je podporované, avšak auditovateľnosť a dohľad sú vždy zachované, aby sa splnila doložka 5.3 normy ISO/IEC 27001. V tomto štartovacom balíku zameranom na SME sú zahrnuté: Politika informačnej bezpečnosti, Politika rolí a zodpovedností správy a riadenia, Politika riadenia prístupu, P05 Politika riadenia zmien, Politika riadenia rizík a Politika zálohovania a obnovy. Každý dokument pokrýva základné prevádzkové a technologické kontrolné opatrenia naprieč životným cyklom informácií, od zriaďovania prístupu používateľov a posúdenia rizík až po autorizácie zmien a kontinuitu podnikania. Bežné požiadavky zahŕňajú udržiavanie centrálnych registrov (pre prístup a riziká), dokumentovanie všetkých zmien a delegovaní, zabezpečenie pravidelných preskúmaní politík a vynucovanie dodržiavania politiky s jasnými dôsledkami za porušenia alebo opomenutia. Osobitne dôležitý je konzistentný prístup naprieč celým balíkom: každá politika vyžaduje povinné pravidelné preskúmanie (ročne alebo po významných zmenách), zdokumentované schválenie výnimiek alebo incidentov výkonným riaditeľom a jednoduchú použiteľnosť pre interných zamestnancov aj poskytovateľov služieb tretích strán, vďaka čomu sú vynútiteľné bez ohľadu na veľkosť spoločnosti. Činnosti ako zálohovanie systémov, monitorovanie rizík, dodržiavanie politiky a riadenie prístupu používateľov sú predpísané spôsobom kompatibilným s obmedzenou internou kapacitou. Napríklad režimy záloh a testovanie obnovy sú riadené jednou zodpovednou osobou (výkonný riaditeľ alebo poverená osoba) a identifikácia rizík môže byť vykonaná pomocou jednoduchých kontrolných zoznamov namiesto pokročilých nástrojov. Všetky politiky v tomto balíku sú mapované na hlavné globálne rámce a regulácie vrátane ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, EÚ NIS2, EÚ DORA, COBIT 2019 a EÚ GDPR. Mapovanie zahŕňa doložky ako 5.1–5.3, 6.1, 8.1 pre ISO/IEC 27001, relevantné kontrolné opatrenia pre ISO/IEC 27002 (napr. kontrolné opatrenia 5.2, 5.15, 8.13) a špecifické články podľa GDPR a DORA. Tieto mapovania spolu s kontrolami v zrozumiteľnom jazyku a procesmi špecifickými pre roly zabezpečujú, že súlad SME je nielen dosiahnuteľný, ale aj preukázateľný zákazníkom, audítorom a regulátorom. Politiky sú navzájom krížovo odkazované; každá odkazuje na súvisiace dokumenty v rámci balíka pre prepojenú implementáciu ISMS pre menšie organizácie.