Przewodnik wdrożeniowy CIR 2024/2690

Polityka bezpieczeństwa sieci i systemów informatycznych

Wymaga udokumentowanej polityki bezpieczeństwa zatwierdzonej przez kierownictwo, przeglądanej co najmniej raz w roku oraz aktualizowanej po poważnych incydentach lub zmianach. Musi określać role, obowiązki oraz ramy dla wszystkich kolejnych środków. Musi obejmować politykę akceptacji ryzyka oraz dowody zaangażowania kierownictwa.

Zarządzanie ryzykiem

Wymaga udokumentowanej metodyki oceny ryzyka, identyfikacji ryzyka obejmującej wszystkie krytyczne zasoby i procesy, analizy ryzyka z oceną prawdopodobieństwa i skutków, postępowania z ryzykiem z udokumentowanymi decyzjami (akceptacja, ograniczenie, przeniesienie, unikanie) oraz akceptacji ryzyka szczątkowego przez kierownictwo. Musi być przeglądane w zaplanowanych odstępach oraz po poważnych zmianach.

Obsługa incydentów

Wymaga procedur wykrywania, klasyfikacji, reagowania i odtwarzania po incydentach. Musi określać role i obowiązki w zakresie obsługi incydentów, ustanawiać kanały komunikacji, obejmować analizę poincydentalną (wnioski) oraz prowadzić rejestry incydentów. Wykrywanie musi obejmować monitorowanie anomalii oraz znanych wskaźników kompromitacji.

Ciągłość działania i zarządzanie kryzysowe

Wymaga analizy wpływu na działalność, planów ciągłości dla usług krytycznych, procedur tworzenia kopii zapasowych i odtwarzania z przetestowaną zdolnością przywracania oraz procedur zarządzania kryzysowego. Integralność kopii zapasowych musi być regularnie weryfikowana. Docelowe czasy odtwarzania muszą być zdefiniowane i przetestowane. Plany muszą być przeglądane po incydentach lub poważnych zmianach.

Bezpieczeństwo łańcucha dostaw

Wymaga polityki bezpieczeństwa łańcucha dostaw, oceny praktyk cyberbezpieczeństwa bezpośrednich dostawców, umownych wymagań bezpieczeństwa dla produktów i usług ICT oraz monitorowania poziomu bezpieczeństwa dostawcy przez cały okres obowiązywania umowy. Musi uwzględniać ryzyka specyficzne dla łańcucha dostaw, w tym wynikające z własnego łańcucha dostaw dostawcy.

Bezpieczeństwo w nabywaniu, rozwoju i utrzymaniu

Wymaga bezpiecznego cyklu życia oprogramowania dla rozwoju wewnętrznego, wymagań bezpieczeństwa dla nabywanych produktów i usług ICT, zarządzania konfiguracją, procedur zarządzania zmianą oraz testowania bezpieczeństwa (w tym skanowania podatności i testów penetracyjnych tam, gdzie to właściwe). Musi obejmować pełny cykl życia od nabycia po wycofanie z eksploatacji.

Kryptografia

Wymaga polityki stosowania kryptografii, w tym doboru algorytmów kryptograficznych i długości kluczy odpowiednich do klasyfikacji danych, procedur zarządzania kluczami (generowanie, dystrybucja, przechowywanie, rotacja, unieważnianie, niszczenie) oraz okresowego przeglądu implementacji kryptograficznych pod kątem aktualnych najlepszych praktyk i znanych podatności.

Kontrola dostępu i zarządzanie zasobami

Wymaga polityki kontroli dostępu opartej na wymaganiach biznesowych i bezpieczeństwa, zarządzania tożsamością z unikalną identyfikacją użytkowników, procedur nadawania i odbierania dostępu, zarządzania dostępem uprzywilejowanym oraz inwentaryzacji zasobów obejmującej wszystkie komponenty sieci i systemów informatycznych. Uprawnienia dostępu muszą być przeglądane w zaplanowanych odstępach.

Uwierzytelnianie wieloskładnikowe i bezpieczna komunikacja

Wymaga uwierzytelniania wieloskładnikowego lub uwierzytelniania ciągłego dla dostępu do systemów krytycznych i dostępu zdalnego. Należy ustanowić bezpieczne kanały komunikacji dla scenariuszy awaryjnych i zapasowych. Komunikacja głosowa, wideo i tekstowa wykorzystywana w reagowaniu na incydenty musi być zabezpieczona przed przechwyceniem.

Świadomość i szkolenia w zakresie cyberbezpieczeństwa

Wymaga regularnych programów podnoszenia świadomości w zakresie cyberbezpieczeństwa dla całego personelu, szkoleń właściwych dla roli dla pracowników z obowiązkami w zakresie bezpieczeństwa oraz szkolenia kierownictwa w zakresie zarządzania cyberbezpieczeństwem. Szkolenia muszą obejmować polityki bezpieczeństwa podmiotu, typowe zagrożenia, procedury zgłaszania incydentów oraz konkretne obowiązki personelu.