Kdo je ciljna publika tega paketa?

Ta paket je zasnovan za SME, ki želijo uvesti kibernetskovarnostne kontrole, usklajene z ISO 27001:2022, brez potrebe po namenskem oddelku za IT varnost.

Kako so zahteve SME odražene v teh politikah?

Poudarjene so vloge, kot sta generalni direktor in zunanji ponudnik IT storitev, kar zagotavlja, da so politike operativne za organizacije s poenostavljenimi strukturami.

Ali ta paket zagotavlja skladnost z ISO 27001:2022?

Da. Vse vključene politike so neposredno preslikane na ključne zahteve ISO 27001:2022 in 27002:2022, kot je prikazano v preslikavah skladnosti.

Ali te politike pokrivajo tako IT kot regulativne zahteve?

Da. Politike podpirajo skladnost z ISO 27001:2022, GDPR, EU NIS2, EU DORA, NIST SP 800-53 Rev.5 in COBIT 2019.

Mini paket: dostop in omrežna varnost

Pregled

Mini paket: dostop in omrežna varnost – SME ponuja šest ključnih politik, ki pokrivajo nadzor dostopa, račune, ranljivosti, zaščito pred zlonamerno programsko opremo, omrežja ter revizijsko beleženje in spremljanje, prilagojeno za SME za izpolnjevanje zahtev ISO/IEC 27001:2022 in regulativnih obveznosti s praktičnimi dodelitvami vlog in kontrolami, pripravljenimi za revizijo.

Celovita varnostna pokritost za SME

Šest ključnih politik, ki v enem skladnem paketu pokrivajo nadzor dostopa, omrežja, varnost končnih točk, račune, ranljivosti ter revizijsko beleženje.

ISO 27001:2022 pripravljeno za SME

Politike so preslikane in poenostavljene za SME brez namenskih varnostnih ekip, z uporabo vlog, kot so generalni direktor in zunanji ponudniki storitev tretjih oseb.

Jasne vloge in revizijske sledi

Zasnovano za operativno jasnost, z dokumentiranimi cikli pregledov, procesom obvladovanja tveganj in poročanjem o skladnosti.

Preberi celoten pregled

Mini paket: dostop in omrežna varnost – SME zagotavlja robusten, vnaprej usklajen nabor šestih dokumentov upravljanja kibernetske varnosti, izdelan posebej za mala in srednje velika podjetja (SME). Ker prepoznava edinstvene izzive organizacij brez namenskih oddelkov za IT ali varnost, je vsaka politika v paketu poenostavljena tako, da uporablja vloge, ki so v SME običajno prisotne, kot so generalni direktor, vodje oddelkov in zunanji ponudniki storitev. Vsi dokumenti so natančno preslikani na najnovejše zahteve ISO/IEC 27001:2022 in ISO/IEC 27002:2022 ter na povezane okvire, kot so NIST SP 800-53 Rev.5, EU GDPR, EU NIS2, EU DORA in COBIT 2019. Paket vključuje politiko nadzora dostopa, ki določa, kako se dostop do IT sistemov, objektov in podatkov upravlja prek jasnih odobritvenih delovnih tokov, formalnih pregledov in uveljavljanja načela najmanjših privilegijev. Politika upravljanja uporabniških računov in privilegijev to razširi z zagotavljanjem robustnih kontrol nad dodeljevanjem dostopa, spremembami in ukinitvijo računov, prepovedjo deljenih poverilnic ter zahtevo po edinstvenih, sledljivih identitetah, podprtih z revizijsko sledjo in revizijskim beleženjem. Obe sta napisani za organizacije, kjer generalni direktor ali zunanja IT funkcija deluje kot lastnik sistema ali odobritvena avtoriteta, kar zmanjšuje kompleksnost in zagotavlja, da je mogoče kontrole vzdrževati tudi z omejenimi notranjimi viri. Politika upravljanja ranljivosti in nameščanja popravkov opredeljuje pričakovanja za identifikacijo, ocenjevanje in sanacijske ukrepe za ranljivosti v vseh IT sredstvih, vključno z delovnimi postajami, strežniki, infrastrukturo v oblaku in programsko opremo. Zahtevano je pravočasno nameščanje popravkov, četrtletno poročanje in jasni postopki upravljanja izjem, pri čemer so odgovornosti deljene med generalnim direktorjem in ponudniki IT storitev. Za zaščito infrastrukture končnih točk politika zaščite končnih točk – zaščita pred zlonamerno programsko opremo določa zahteve za antivirusno programsko opremo, varnost BYOD, spremljanje in odziv, s tehničnimi in postopkovnimi navodili, prilagojenimi kontekstu SME, vključno z uporabo neodobrenih orodij in rednim usposabljanjem za ozaveščanje o varnosti glede zlonamerne programske opreme. Kritične omrežne kontrole so obravnavane v politiki omrežne varnosti, ki podrobno opisuje zasnovo, segmentacijo omrežja, spremljanje in uveljavljanje varnih žičnih, brezžičnih in oddaljenih dostopnih kanalov. Politika pokriva tako fizična kot logična omrežja ter zahteva robustne konfiguracije požarnih zidov, uporabo navideznega zasebnega omrežja (VPN) z večfaktorsko avtentikacijo (MFA), redne presoje in poročanje o nepooblaščenem ali anomalnem omrežnem vedenju. Politika beleženja in spremljanja zagotavlja, da so vse kritične dejavnosti, od administrativnih sprememb do samodejnih opozoril, revizijsko beležene, hranjene in redno pregledane, kar SME omogoča izpolnjevanje operativnih in zakonskih obveznosti glede odgovornosti, preiskave kršitev in revizij skladnosti. Kot SME-specifične politike (kar je razvidno iz oznake »S« v njihovem oštevilčenju in sklicev na vloge) vsak dokument poudarja praktično, realistično implementacijo z uporabo registrov, enostavnih odobritvenih potekov in kontrolnih seznamov namesto struktur velikih ekip ali specializiranih položajev. Skupaj ta paket zagotavlja celovito, izvedljivo in revidirljivo osnovo najboljših praks kibernetske varnosti v malih in srednje velikih podjetjih.

Vsebina

politika nadzora dostopa

Politika upravljanja uporabniških računov in privilegijev

Politika upravljanja ranljivosti in nameščanja popravkov

Zaščita končnih točk – zaščita pred zlonamerno programsko opremo

Politika omrežne varnosti

Politika beleženja in spremljanja

Skladnost z okvirom

Okvir	Pokrite klavzule / Kontrole
ISO/IEC 27001:2022	5.3 5.15 8.1
ISO/IEC 27002:2022	5.15 5.16 8.7 8.8 8.15 8.16 8.20
NIST SP 800-53 Rev.5	AC-1 AC-2 AC-4 AC-5 AC-6 SC-7 SI-2 SI-3 SI-4 AU-2 AU-3 AU-4 AU-5 AU-6 AU-7 AU-8 AU-9 AU-10 AU-11 AU-12 RA-5 CM-2
EU GDPR	Article 5(1)(f)Article 32Article 32(1)(b)Article 33
EU NIS2	Article 21(2)(b)Article 21(2)(d)Article 21(2)(e)Article 23
EU DORA	Article 8(1)Article 9 Article 9(2)(b)Article 10 Article 10(1)Article 10(2)Article 15
COBIT 2019	APO07 APO12.01 APO13.01 DSS01.03 DSS01.04 DSS05.02 DSS05.03 DSS05.04

Okvir

Pokrite klavzule / Kontrole

ISO/IEC 27001:2022

5.3 5.15 8.1

ISO/IEC 27002:2022

5.15 5.16 8.7 8.8 8.15 8.16 8.20

NIST SP 800-53 Rev.5

AC-1 AC-2 AC-4 AC-5 AC-6 SC-7 SI-2 SI-3 SI-4 AU-2 AU-3 AU-4 AU-5 AU-6 AU-7 AU-8 AU-9 AU-10 AU-11 AU-12 RA-5 CM-2

EU GDPR

Article 5(1)(f)Article 32Article 32(1)(b)Article 33

EU NIS2

Article 21(2)(b)Article 21(2)(d)Article 21(2)(e)Article 23

EU DORA

Article 8(1)Article 9 Article 9(2)(b)Article 10 Article 10(1)Article 10(2)Article 15

COBIT 2019

APO07 APO12.01 APO13.01 DSS01.03 DSS01.04 DSS05.02 DSS05.03 DSS05.04

Sorodne politike

Politika zaščite končnih točk in zlonamerne programske opreme – SME

Ta politika opredeljuje minimalne tehnične, postopkovne in vedenjske zahteve za zaščito vseh naprav končnih točk – kot so prenosniki, namizni računalniki, mobilne naprave in prenosni mediji – pred zlonamerno kodo.

Politika nadzora dostopa – SME

Ta politika opredeljuje, kako organizacija upravlja dostop do sistemov, podatkov in objektov, da zagotovi, da lahko do informacij dostopajo le pooblaščeni posamezniki na podlagi poslovne potrebe.

Politika upravljanja uporabniških računov in privilegijev – SME

Ta politika vzpostavlja pravila za upravljanje uporabniških računov in pravice dostopa na varen, dosleden in sledljiv način.

Politika upravljanja ranljivosti in nameščanja popravkov – SME

Ta politika opredeljuje, kako organizacija identificira, vrednoti in zmanjšuje ranljivosti v sistemih, aplikacijah in infrastrukturi.

Politika omrežne varnosti – SME

Namen te politike je zagotoviti, da so vse notranje in zunanje omrežne komunikacije zaščitene pred nepooblaščenim dostopom, posegi, prisluškovanjem ali zlorabo z jasno opredeljenimi varnostnimi kontrolami.

Politika beleženja in spremljanja – SME

Ta politika vzpostavlja obvezne kontrole revizijskega beleženja in spremljanja, da zagotovi varnost, odgovornost in operativno celovitost IT sistemov organizacije.

O pravilnikih Clarysec - Mini paket: dostop in omrežna varnost – SME

Generične varnostne politike so pogosto pripravljene za velike korporacije, zato se mala podjetja težko znajdejo pri uporabi kompleksnih pravil in nejasno opredeljenih vlog. Ta politika je drugačna. Naše politike za SME so zasnovane od začetka za praktično implementacijo v organizacijah brez namenskih varnostnih ekip. Odgovornosti dodelimo vlogam, ki jih dejansko imate, kot sta generalni direktor in vaš ponudnik IT storitev, ne pa množici specialistov, ki jih nimate. Vsaka zahteva je razčlenjena v enolično oštevilčeno klavzulo (npr. 5.2.1, 5.2.2). To politiko spremeni v jasen kontrolni seznam po korakih, kar olajša implementacijo, presojo in prilagajanje brez prepisovanja celotnih razdelkov.

Pogosto zastavljena vprašanja

Zasnovano za vodje, s strani vodij

Ta pravilnik je pripravil varnostni vodja z več kot 25 leti izkušenj pri uvajanju in presojanju ISMS ogrodij za globalna podjetja. Zasnovan ni le kot dokument, temveč kot zagovorno ogrodje, ki prestane presojo revizorjev.

Pripravil strokovnjak z naslednjimi kvalifikacijami:

MSc Cyber Security, Royal Holloway UoL CISM CISA ISO 27001:2022 Lead Auditor & Implementer CEH

Pokritost in teme

🏢 Ciljni oddelki

IT Varnost Skladnost Tveganja

🏷️ Tematska pokritost

nadzor dostopa Upravljanje identitet Politika avtentikacije upravljanje privilegiranih dostopov omrežna varnost center za varnostne operacije (SOC) revizijsko beleženje in spremljanje upravljanje ranljivosti upravljanje popravkov in vdelane programske opreme

Mini paket: dostop in omrežna varnost – SME