co wdrożyć
Zabezpieczenia, których wymaga większość tych przepisów, po jednej stronie na zabezpieczenie: czym jest, na co patrzeć przy wyborze, gdzie się psuje i jaki dowód zostawia. Żaden produkt nie jest nazwany ani polecany.
- MFA (uwierzytelnianie wieloskładnikowe)Drugi dowód tożsamości przy logowaniu, żeby samo skradzione hasło nikogo nie wpuściło. NIS2 wymienia je wprost. Pozostałe przepisy oczekują silnego uwierzytelniania i zostawiają metodę Tobie.
- inwentaryzacja zasobówLista systemów, urządzeń, aplikacji i zbiorów danych, które firma uruchamia, każda z właścicielem. Od niej zaczynają się pozostałe zabezpieczenia, bo nie da się chronić, łatać ani odtworzyć tego, czego nie ma na liście.
- rejestr ryzykaKrótka pisemna lista tego, co może pójść źle, jak bardzo, kto za to odpowiada i co postanowiono. Dzięki niej pokażesz, że środki pasują do ryzyka, i masz uczciwy powód, by zrobić mniej tam, gdzie ryzyko jest niskie.
- zarządzanie dostawcamiRejestr dostawców, którzy przechowują Twoje dane lub prowadzą część usługi, sprawdzanie proporcjonalne do tego, na co każdy może wpłynąć, i umowy z klauzulami bezpieczeństwa. Wymagają tego NIS2, DORA i RODO, a DORA najwięcej.
- szkolenia z cyberbezpieczeństwaKrótki, powtarzany program, który uczy cały personel, co zauważać, co zgłaszać i jakie są zasady firmy. Przepisy wymagają szkoleń, a długość zostawiają Tobie. Najczęściej brakuje zapisu, że szkolenie się odbyło.
- zarządzanie incydentamiSpisany sposób na wykrycie incydentu, uznanie go, powstrzymanie, zgłoszenie i wyciągnięcie wniosków, z wyznaczonymi rolami. Przepisy wymagają procesu i ustalają terminy zgłoszeń. Narzędzie jest miejscem na zapis.
- logowanie zdarzeń i monitorowanieZapisywanie tego, co dzieje się w systemach, i obserwowanie ich pod kątem kłopotów. NIS2 nie wymienia monitorowania jako osobnego środka. To ono pozwala wykazać obsługę incydentów i kontrolę dostępu.
- kopie zapasowe i odtwarzanieKopie danych i systemów, które da się przywrócić w czasie, który sam wyznaczysz. NIS2 wymienia kopie zapasowe i odtwarzanie po awarii. DORA opisuje politykę, testy i osobne środowisko do odtwarzania.
- zarządzanie urządzeniami końcowymiJedna konsola, która konfiguruje, aktualizuje, szyfruje i w razie potrzeby czyści firmowe laptopy i telefony. Realizuje fragmenty kilku przepisów i wymaga takiej ochrony, jak konto administratora.
- szyfrowanie i zarządzanie kluczamiSzyfrowanie chroni dane tylko tak długo, jak klucze są bezpieczne i możliwe do odzyskania. NIS2 wymaga polityki kryptografii i szyfrowania, DORA wymienia ochronę kluczy, RODO szyfrowanie danych osobowych.
- zarządzanie podatnościamiWiedza, co jest wystawione na atak, decyzja, jak szybko każda luka ma być naprawiona, i dowód, że tak było. NIS2 wymienia obsługę podatności, DORA testy, a CRA nakłada obowiązki aktualizacji na producentów.
- bezpieczne wytwarzanie oprogramowaniaWbudowanie bezpieczeństwa w projekt, kodowanie, testy i wydanie oprogramowania oraz sprawdzanie tego, co firma kupuje. Wymaga tego NIS2, CRA stawia wymagania produktom, a AI Act systemom AI wysokiego ryzyka.
- ujawnianie podatnościOpublikowany sposób, w jaki osoby z zewnątrz mogą zgłosić Ci lukę, i proces postępowania ze zgłoszeniem. NIS2 wymienia ujawnianie, a CRA wymaga od producentów polityki skoordynowanego ujawniania i adresu kontaktowego.
- dostęp uprzywilejowanyNadzór nad kontami, które mogą zmieniać systemy, czytać wszystko albo wyłączać zabezpieczenia. Przepisy oczekują silnego logowania, osobnych kont administracyjnych i regularnego przeglądu tego, kto ma te prawa.
- przeglądy dostępówCykl, który utrzymuje dostęp zgodny z ludźmi: co dzieje się, gdy ktoś przychodzi, zmienia stanowisko lub odchodzi, oraz okresowy przegląd, w którym właściciel każdego systemu podpisuje, kto nadal potrzebuje dostępu.
- SSO i katalog tożsamościJedno miejsce, w którym mieszkają tożsamości i w którym zapada decyzja o wpuszczeniu kogoś. Pozwala wymusić przyjęcia, odejścia i MFA w jednym punkcie, a jednocześnie staje się systemem, którego nie możesz stracić.
- SBOM i sprawdzanie komponentówLista komponentów oprogramowania, które siedzą w tym, co tworzysz lub kupujesz, oraz nawyk sprawdzania jej pod kątem nowych podatności. CRA wymaga listy od producentów. Dla pozostałych to praktyka, dzięki której można odpowiedzieć na wymogi dotyczące dostawców i łatania.
- inwentarz AIRejestr narzędzi i zastosowań AI w firmie, z właścicielem, celem, danymi i zasadami dla każdej pozycji. Żaden przepis nie wymaga samego rejestru. Bez niego nie ustalisz, które obowiązki z AI Act Cię dotyczą.
twój następny krok
Nie wiesz, które z nich Cię obejmują? Kilka pytań to rozstrzygnie.