Ścieżka zgodności · CIR 2024/2690

Bezpieczny rozwój i utrzymanie systemów — jak spełnić załącznik pkt 6 CIR 2024/2690 krok po kroku

Odpowiednie podmioty zapewniają bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych: zarządzają ryzykiem nabycia usług i produktów ICT, prowadzą bezpieczny cykl rozwojowy, zarządzają konfiguracją, zmianą i poprawkami zabezpieczeń, testują bezpieczeństwo, chronią i segmentują sieci, bronią się przed szkodliwym oprogramowaniem oraz postępują z podatnościami i je ujawniają. Poniżej ta norma rozłożona na warstwy: wymagania → kontrole standardów → rozwiązania, a przy każdym wymaganiu rezultat NIST CSF 2.0, któremu ono służy. Zacznijcie od pytania, czy ten obowiązek Was wiąże — odpowiedź jest pierwszą sekcją pod spodem.

wiąże wprost: dostawców cyfrowych z art. 8b ust. 1 UKSC załącznik pkt 6 CIR 2024/2690 doprecyzowuje art. 21 ust. 2 lit. e NIS2 CIS Critical Security Controls v8.1 · ENISA Technical Implementation Guidance · ISO/IEC 27001:2022 · NIST SP 800-119 · NIST SP 800-177 Rev. 1 · NIST SP 800-30 Rev. 1 · NIST SP 800-61 Rev. 3 rezultaty: NIST CSF 2.0
Zaplanujcie wdrożenie z Inteca Przegląd ścieżek
78 wymagań wiążących wyprowadzonych z załącznik pkt 6 CIR 2024/2690.
331 mapowań na 209 kontroli katalogów: CIS Critical Security Controls v8.1, ENISA Technical Implementation Guidance, ISO/IEC 27001:2022, NIST SP 800-119, NIST SP 800-177 Rev. 1, NIST SP 800-30 Rev. 1 i NIST SP 800-61 Rev. 3 — każde z pisemnym uzasadnieniem.
58 z 78 wymagań ma rozwiązanie referencyjne, które realizuje ich kontrole.
15 rozwiązań referencyjnych na końcu ścieżki: narzędzia open source i szablony dokumentów Inteca, każde przypisane do kontroli, które realizuje.
Krok zero

Kogo wiąże ten obowiązek?

Zanim przeczytacie choć jedno wymaganie — sprawdźcie, czy ta ścieżka jest Wasza. Odpowiedź nie jest pisana ręcznie: wynika z zakresu obowiązku zapisanego w modelu prawnym.

wiąże wprost

Dostawcy cyfrowi z art. 8b ust. 1 UKSC

Dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), dostawcy usług chmurowych, dostawcy usługi centrum przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, dostawcy internetowych platform handlowych, dostawcy wyszukiwarek internetowych oraz dostawcy platform usług sieci społecznościowych. Dla Was rozporządzenie CIR 2024/2690 jest obowiązkiem — ta ścieżka to Wasza lista zadań.

nie wiąże — wzorzec

Pozostałe podmioty kluczowe i ważne

CIR Was nie obowiązuje — art. 8b ust. 2 UKSC odsyła do przyszłych aktów wykonawczych Komisji Europejskiej dla Waszego rodzaju podmiotu. Wasz wiążący obowiązek to art. 8b ust. 2 UKSC — tę ścieżkę czytajcie jako sprawdzony wzorzec, nie jako listę wymagań audytora.

nie wiecie?

Sprawdźcie swój rodzaj podmiotu

Klasa podmiotu to nie wszystko — decyduje rodzaj podmiotu, sektor i wielkość. Kwalifikator KSC wskaże Wasz rodzaj, a wynik powie wprost, czy ten obowiązek jest w Waszym katalogu.

Ten blok wygląda tak samo na każdej ścieżce: obowiązek z UKSC pokaże tu klasy podmiotów (kluczowy / ważny / publiczny), obowiązek z CIR — dostawców cyfrowych. Dyrektywa NIS2 nie ma własnych ścieżek — pokazujemy ją niżej, jako źródło obowiązku.

Skąd ten obowiązek

Zdanie dyrektywy i akty, które je wypełniają

Dyrektywa NIS2 wiąże państwa, nie Was — dlatego nie ma osobnej ścieżki. Konkrety dopisały akty, które ją wykonują — ten, na którym jesteście, i jego krajowe odbicie.

źródło · dyrektywa

Art. 21 ust. 2 lit. e NIS2

„Środki zarządzania ryzykiem obejmują bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych, w tym postępowanie w przypadku podatności i ich ujawnianie."

Tyle mówi dyrektywa. Co konkretnie zrobić — mówią akty obok. Treść cytowana z modelu, nie przepisywana.

ta ścieżka · CIR 2024/2690

Załącznik pkt 6 CIR 2024/2690

„6.1.1. Do celów art. 21 ust. 2 lit. e) dyrektywy (UE) 2022/2555 odpowiednie podmioty określają i wdrażają procesy zarządzania ryzykiem wynikającym z nabycia usług ICT lub produktów ICT od dostawców lub usługodawców w odniesieniu do komponentów, które mają kluczowe znaczenie dla bezpieczeństwa sieci i systemów…"

Komisja Europejska rozpisała lit. e na 78 wymagań wiążących — ale tylko dla dostawców cyfrowych z art. 8b ust. 1 UKSC. To jest ścieżka, na której jesteście. Treść cytowana z modelu, nie pisana.

Przebieg ścieżki

Od rozporządzenia do narzędzia i szablonu

Diagram pokazuje jedną nitkę ścieżki — wymaganie 68 z 78 wiążących — w komplecie warstw. Tabela niżej rozwija pozostałe wymagania.

Przepis Obowiązek Wymaganie Kontrola standardu Rozwiązanie CIR 2024/2690 załącznik pkt 6 doprecyzowuje art. 21 ust. 2 lit. e NIS2 Bezpieczny rozwój i utrzymanie systemów wiąże wprost: dostawców cyfrowych z art. 8b ust. 1 UKSC 78 wymagań wiążących 15 rozwiązań referencyjnych OB_CIR_ZAL_6 Wymaganie 68 z 78 „Podmiot wdraża środki, które wykrywają użycie złośliwego lub nieuprawnionego oprogramowania lub mu zapobiegają." wymaganie 68 z 78 · wiążące WYM_CIR_ZAL_6_68 CIS Critical Security Controls v8.1 10.1 — Oprogramowanie antymalware jakość: realizuje wprost CIS Critical Security Controls v8.1 10.5 — Funkcje zapobiegania exploitom jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 10.7 — Antymalware oparte na zachowaniu jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 13.2 — Wykrywanie włamań na hostach (HIDS) jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 13.7 — Zapobieganie włamaniom na hostach (HIPS) jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 2.3 — Postępowanie z nieautoryzowanym oprogramowaniem jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 2.5 — Biała lista dozwolonego oprogramowania jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 2.6 — Biała lista dozwolonych bibliotek jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 2.7 — Biała lista dozwolonych skryptów jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 9.2 — Filtrowanie DNS jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 9.3 — Sieciowe filtry URL jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 9.6 — Blokowanie zbędnych typów plików jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 9.7 — Ochrona antymalware serwerów poczty jakość: jeden ze sposobów realizacji ENISA Technical Implementation Guidance 6.9.2-02 — Konfiguracja mechanizmów ochrony przed złośliwym kodem jakość: realizuje wprost ENISA Technical Implementation Guidance 6.9.2-03 — Biała lista aplikacji i monitorowanie nieuprawnionych działań jakość: jeden ze sposobów realizacji ENISA Technical Implementation Guidance 6.9.2-05 — Zapobieganie obchodzeniu ochrony przez użytkowników jakość: jeden ze sposobów realizacji ENISA Technical Implementation Guidance 6.9.2-06 — Ochrona antyspamowa w punktach wejścia jakość: jeden ze sposobów realizacji ENISA Technical Implementation Guidance 6.9.2-07 — Aktualizacja mechanizmów ochrony przed złośliwym kodem jakość: jeden ze sposobów realizacji ENISA Technical Implementation Guidance 6.9.2-08 — Obsługa fałszywych alarmów wykrywania złośliwego kodu jakość: jeden ze sposobów realizacji ENISA Technical Implementation Guidance 6.9.2-09 — Spójność reguł ochrony z monitorowaniem i kontrolą dostępu jakość: jeden ze sposobów realizacji ISO/IEC 27001:2022 A.8.7 — Ochrona przed złośliwym oprogramowaniem jakość: realizuje wprost NIST SP 800-61 Rev. 3 DE.CM-09.R5 — Kontrola kondycji stacji i kierowanie do remediacji jakość: jeden ze sposobów realizacji Brak rozwiązania referencyjnego model nie wskazuje narzędzia ani szablonu, które realizuje te kontrole nakłada uszczegóławia mapuje na służy rezultatowi REZULTATY · NIST CSF 2.0 DE.CM-09, PR.PS-05 DE.CM-09 — Sprzęt, oprogramowanie i dane monitorowane PR.PS-05 — Nieautoryzowane oprogramowanie nie może być zainstalowane cele do osiągnięcia — nie kontrole
przepis obowiązek wymaganie rezultat NIST CSF kontrola standardu rozwiązanie
Diagram wygenerowany z żywego modelu IRNIS przy publikacji tej strony.
Warstwa wymagań i kontroli

Wymagania tego obowiązku i ich odpowiedniki w standardach

Każdy wiersz to jedno atomowe wymaganie — dokładnie w brzmieniu z modelu, o które zapyta audytor — z kontrolami, na które mapuje je model, i rozwiązaniami referencyjnymi, które te kontrole realizują. Wiersze pogrupowane po charakterze wymagania.

Wymaganie (brzmienie z modelu) Charakter Kontrole standardów Rezultat NIST CSF 2.0
Organizacja i politykiwymagania wiążące — organizacyjne
Podmiot przed przystąpieniem do rozwoju sieci i systemu informatycznego, w tym oprogramowania, określa zasady bezpiecznego rozwoju sieci i systemów informatycznych i stosuje je zarówno przy rozwoju wewnętrznym, jak i przy zlecaniu rozwoju na zewnątrz. organizacyjne CIS Controls · 16.1 ENISA TIG · 6.2.1-01 ENISA TIG · 6.2.3-02 ISO 27001 · A.8.25
brak rozwiązania referencyjnego w modelu
 ID.AM-08 PR.PS-06
Zasady bezpiecznego rozwoju obejmują wszystkie fazy rozwoju, w tym specyfikację, projektowanie, opracowywanie, wdrażanie i testowanie. organizacyjne CIS Controls · 16.1 ENISA TIG · 6.2.2-01 ISO 27001 · A.8.25
brak rozwiązania referencyjnego w modelu
 PR.PS-06
Podmiot określa wymogi bezpieczeństwa dotyczące środowisk rozwoju. organizacyjne CIS Controls · 16.8 ENISA TIG · 6.3.1-13 ISO 27001 · A.8.31
brak rozwiązania referencyjnego w modelu
 PR.IR-01 PR.PS-06
W przypadkach, gdy poprawka zabezpieczeń nie jest dostępna lub nie jest stosowana na podstawie udokumentowanej decyzji, podmiot wprowadza dodatkowe środki i akceptuje ryzyko rezydualne. organizacyjne CIS Controls · 2.2 ENISA TIG · 6.3.2-06 ENISA TIG · 6.6.2-02 ISO 27001 · A.8.8
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 ID.RA-06
Systemy służące do zarządzania wdrażaniem polityki bezpieczeństwa nie są wykorzystywane do innych celów. organizacyjne ENISA TIG · 6.8.2-07 ISO 27001 · A.8.18 ISO 27001 · A.8.2
→ Keycloak
 PR.IR-01
Podmiot przyjmuje plan wdrożenia pełnego przejścia na protokoły komunikacyjne warstwy sieciowej najnowszej generacji w bezpieczny, odpowiedni i stopniowy sposób oraz ustanawia środki przyspieszające to przejście. organizacyjne ENISA TIG · 6.7.2-04 NIST SP 800-119 · 6.3 NIST SP 800-119 · 6.8
brak rozwiązania referencyjnego w modelu
 PR.PS-02 PR.PS-03
Podmiot przyjmuje plan wdrożenia uzgodnionych na szczeblu międzynarodowym i interoperacyjnych nowoczesnych standardów komunikacji elektronicznej zmniejszających podatność na zagrożenia związane z pocztą elektroniczną oraz ustanawia środki przyspieszające to wdrażanie. organizacyjne CIS Controls · 9.5 ENISA TIG · 6.7.2-06 NIST SP 800-177 · 4.4 NIST SP 800-177 · 4.5 NIST SP 800-177 · 4.6
brak rozwiązania referencyjnego w modelu
 PR.DS-02
Procesy i procedurywymagania wiążące — proceduralne
Podmiot określa i wdraża procesy zarządzania ryzykiem wynikającym z nabycia usług ICT lub produktów ICT od dostawców lub usługodawców w odniesieniu do komponentów o kluczowym znaczeniu dla bezpieczeństwa sieci i systemów informatycznych, w oparciu o ocenę ryzyka przeprowadzoną zgodnie z pkt 2.1 załącznika do rozporządzenia 2024/2690, w całym cyklu życia tych komponentów. proceduralne ENISA TIG · 6.1.1-01 ENISA TIG · 6.1.1-02 ISO 27001 · A.5.21
→ CISO Assistant · Probo
 GV.SC-07 GV.SC-09 ID.RA-10
Procesy zarządzania ryzykiem nabycia obejmują zapewnienie, aby nabywane usługi ICT lub produkty ICT spełniały określone dla nich wymogi bezpieczeństwa. proceduralne CIS Controls · 16.5 ENISA TIG · 6.1.2-06 ISO 27001 · A.5.21
→ CISO Assistant · Probo
 GV.SC-07
Procesy zarządzania ryzykiem nabycia obejmują metody walidacji zgodności świadczonych usług ICT lub dostarczanych produktów ICT z określonymi wymogami bezpieczeństwa wraz z dokumentacją wyników walidacji. proceduralne CIS Controls · 15.5 ENISA TIG · 6.1.2-06 ISO 27001 · A.5.21
→ CISO Assistant · Probo
 GV.SC-07 ID.RA-09
Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji procesów zarządzania ryzykiem nabycia w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów. proceduralne ENISA TIG · 6.1.3-01 ENISA TIG · 6.1.3-02 ISO 27001 · 9.1
→ CISO Assistant · Probo · Szablon: Metodyka zarządzania ryzykiem
 ID.IM-03
Podmiot przeprowadza analizę wymogów bezpieczeństwa na etapie specyfikacji i projektowania każdego projektu rozwoju lub nabycia realizowanego przez podmiot lub w jego imieniu. proceduralne CIS Controls · 16.10 CIS Controls · 16.14 ENISA TIG · 6.2.2-01 ISO 27001 · A.8.25 ISO 27001 · A.8.26
brak rozwiązania referencyjnego w modelu
 GV.SC-06 PR.PS-06
Podmiot ustanawia i wdraża procesy testowania bezpieczeństwa w cyklu rozwojowym. proceduralne CIS Controls · 16.1 CIS Controls · 16.12 CIS Controls · 16.13 ENISA TIG · 6.2.2-02 ENISA TIG · 6.2.2-03 ISO 27001 · A.8.29
→ StackRox · Trivy
 ID.RA-01 PR.PS-06
Podmiot odpowiednio wybiera i chroni dane dotyczące testów bezpieczeństwa oraz nimi zarządza. proceduralne ENISA TIG · 6.2.2-04 ISO 27001 · A.8.33
brak rozwiązania referencyjnego w modelu
 PR.DS-01
Podmiot dokonuje przeglądu i, w razie konieczności, aktualizacji zasad bezpiecznego rozwoju w zaplanowanych odstępach czasu. proceduralne CIS Controls · 16.1 ENISA TIG · 6.2.4-01 ISO 27001 · A.5.1
→ CISO Assistant · Probo · Szablon: Polityka nadrzędna bezpieczeństwa informacji
 GV.PO-02 PR.PS-06
Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji konfiguracji w zaplanowanych odstępach czasu lub w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka. proceduralne CIS Controls · 4.1 ENISA TIG · 6.3.1-09 ENISA TIG · 6.3.3-01 ENISA TIG · 6.3.3-02 ISO 27001 · A.8.9
→ GLPI · StackRox · Trivy · Wazuh
 ID.IM-03 PR.PS-01
Podmiot stosuje procedury zarządzania zmianą w celu kontrolowania zmian w sieciach i systemach informatycznych. proceduralne ENISA TIG · 6.4.1-01 ENISA TIG · 6.4.1-04 ENISA TIG · 6.4.2-02 ENISA TIG · 6.4.2-05 ENISA TIG · 6.4.2-06 ISO 27001 · A.8.32
→ GLPI
 ID.RA-07
Procedury zarządzania zmianą są zgodne z ogólną polityką zarządzania zmianą podmiotu. proceduralne ISO 27001 · A.8.32
→ GLPI
 ID.RA-07
Procedury zarządzania zmianą stosowane są w odniesieniu do wersji, modyfikacji i zmian awaryjnych wszelkiego używanego oprogramowania i sprzętu komputerowego oraz zmian konfiguracji. proceduralne CIS Controls · 12.3 ENISA TIG · 6.4.1-02 ENISA TIG · 6.4.4-02 ISO 27001 · A.8.32 ISO 27001 · A.8.9
→ GLPI · StackRox · Trivy · Wazuh
 ID.RA-07 PR.PS-01
Procedury zarządzania zmianą zapewniają, aby zmiany były dokumentowane. proceduralne ENISA TIG · 6.4.1-03 ISO 27001 · A.8.32
→ GLPI
 ID.RA-07
Procedury zarządzania zmianą zapewniają, aby zmiany były, w oparciu o ocenę ryzyka przeprowadzoną zgodnie z pkt 2.1 załącznika do rozporządzenia 2024/2690, testowane i oceniane przed wdrożeniem pod kątem potencjalnego wpływu. proceduralne ENISA TIG · 6.4.2-01 ENISA TIG · 6.4.2-03 ENISA TIG · 6.4.2-04 ENISA TIG · 6.4.3-01 ISO 27001 · A.8.32
→ GLPI
 ID.RA-07
Podmiot dokumentuje wynik zmiany przeprowadzonej poza regularnymi procedurami zarządzania zmianą oraz wyjaśnienie, dlaczego procedur tych nie można było zastosować. proceduralne ISO 27001 · A.8.32
→ GLPI
 ID.RA-07
Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji procedur zarządzania zmianą w zaplanowanych odstępach czasu oraz w przypadku poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka. proceduralne ENISA TIG · 6.4.4-01 ISO 27001 · 9.1
→ CISO Assistant · Probo · Szablon: Metodyka zarządzania ryzykiem
 ID.IM-03
Podmiot ustanawia, wdraża i stosuje politykę i procedury testowania bezpieczeństwa. proceduralne CIS Controls · 18.1 ENISA TIG · 6.5.1-01 ENISA TIG · 6.5.1-02 ISO 27001 · A.5.1 ISO 27001 · A.8.29
→ CISO Assistant · Probo · StackRox · Szablon: Polityka nadrzędna bezpieczeństwa informacji · Trivy
 GV.PO-01 ID.IM-02 ID.RA-01
Podmiot ustala, na podstawie oceny ryzyka przeprowadzonej zgodnie z pkt 2.1 załącznika do rozporządzenia 2024/2690, potrzebę, zakres, częstotliwość i rodzaj testów bezpieczeństwa. proceduralne CIS Controls · 18.1 CIS Controls · 18.2 CIS Controls · 18.5 ENISA TIG · 6.5.2-01 ENISA TIG · 6.5.2-02 ENISA TIG · 6.5.2-03 ISO 27001 · A.8.29 ISO 27001 · 9.1
→ CISO Assistant · Probo · StackRox · Szablon: Metodyka zarządzania ryzykiem · Trivy
 ID.IM-02 ID.RA-01 ID.RA-05
Podmiot dokumentuje rodzaj, zakres, czas i wyniki testów bezpieczeństwa, w tym ocenę krytyczności i działań łagodzących w odniesieniu do każdego stwierdzonego naruszenia. proceduralne CIS Controls · 16.6 CIS Controls · 18.3 ENISA TIG · 6.5.2-04 ENISA TIG · 6.5.2-05 ENISA TIG · 6.5.2-07 ISO 27001 · A.8.29
→ StackRox · Trivy
 ID.IM-02 ID.RA-01
Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji polityki testowania bezpieczeństwa w zaplanowanych odstępach czasu. proceduralne CIS Controls · 18.1 ENISA TIG · 6.5.3-01 ISO 27001 · A.5.1
→ CISO Assistant · Probo · Szablon: Polityka nadrzędna bezpieczeństwa informacji
 GV.PO-02
Podmiot określa i stosuje procedury zarządzania poprawkami zabezpieczeń spójne z procedurami zarządzania zmianą, zarządzania podatnością, zarządzania ryzykiem i innymi odpowiednimi procedurami zarządzania. proceduralne ENISA TIG · 6.6.1-01 ENISA TIG · 6.6.1-02 ISO 27001 · A.8.8
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 PR.PS-02
Podmiot należycie dokumentuje i uzasadnia powody decyzji o niestosowaniu poprawek zabezpieczeń. proceduralne ENISA TIG · 6.6.2-02 ISO 27001 · A.8.8
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 ID.RA-07
Podmiot na bieżąco i w zrozumiały sposób dokumentuje architekturę sieci. proceduralne CIS Controls · 12.4 ENISA TIG · 6.8.1-02 ISO 27001 · A.8.20
→ StackRox · Wazuh
 ID.AM-03
Podłączenie usługodawców dozwolone jest wyłącznie po złożeniu wniosku o autoryzację i na określony czas, np. na czas trwania prac konserwacyjnych. proceduralne ENISA TIG · 6.7.2-05 ISO 27001 · A.5.18 ISO 27001 · A.5.19
→ CISO Assistant · Keycloak · Probo · Szablon: Polityka bezpieczeństwa łańcucha dostaw
 PR.AA-05 PR.IR-01
Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji środków bezpieczeństwa sieci w zaplanowanych odstępach czasu oraz w przypadku poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka. proceduralne ENISA TIG · 6.7.3-01 ISO 27001 · 9.1
→ CISO Assistant · Probo · Szablon: Metodyka zarządzania ryzykiem
 ID.IM-03 PR.IR-01
Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji segmentacji sieci w planowanych odstępach czasu oraz w przypadku poważnych incydentów lub istotnych zmian w działalności lub ryzyku. proceduralne ENISA TIG · 6.8.3-01 ISO 27001 · 9.1
→ CISO Assistant · Probo · Szablon: Metodyka zarządzania ryzykiem
 ID.IM-03 PR.IR-01
Podmiot uzyskuje informacje na temat podatności technicznych w swoich sieciach i systemach informatycznych, ocenia narażenie na takie podatności oraz podejmuje odpowiednie środki w celu zarządzania nimi. proceduralne CIS Controls · 16.3 CIS Controls · 7.1 CIS Controls · 7.5 CIS Controls · 7.6 ENISA TIG · 6.10.1-01 ENISA TIG · 6.10.2-02 ENISA TIG · 6.6.1-05 ISO 27001 · A.8.8 NIST SP 800-61 · ID.RA-01.R1
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 ID.RA-01 ID.RA-04 ID.RA-06
Podmiot monitoruje informacje na temat podatności za pośrednictwem odpowiednich kanałów, takich jak ogłoszenia CSIRT, właściwych organów i informacje dostarczane przez dostawców lub usługodawców. proceduralne ENISA TIG · 6.10.2-04 ENISA TIG · 6.10.4-02 ISO 27001 · A.8.8 NIST SP 800-30 · Task 4-1 NIST SP 800-61 · DE.AE-07.R2
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 ID.RA-01 ID.RA-02
Postępowanie podmiotu w przypadku podatności jest zgodne z jego procedurami zarządzania zmianą, zarządzania poprawkami zabezpieczeń, zarządzania ryzykiem i zarządzania incydentami. proceduralne CIS Controls · 7.2 ENISA TIG · 6.6.1-08 ISO 27001 · A.8.8
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 ID.RA-06 ID.RA-07
Podmiot ustanawia procedurę ujawniania podatności zgodną z obowiązującą krajową polityką skoordynowanego ujawniania podatności. proceduralne CIS Controls · 16.2 ENISA TIG · 6.10.2-03 ISO 27001 · A.8.8
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 ID.RA-08
Podmiot opracowuje i wdraża plan łagodzenia skutków podatności. proceduralne CIS Controls · 18.3 CIS Controls · 7.2 ENISA TIG · 6.10.3-01 ISO 27001 · A.8.8
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 ID.RA-06
Podmiot dokumentuje i uzasadnia przyczynę, dla której podatność nie wymaga środków zaradczych. proceduralne ENISA TIG · 6.10.3-02 ISO 27001 · A.8.8
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 ID.RA-07
Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji w zaplanowanych odstępach czasu kanałów, z których korzysta do monitorowania informacji o podatnościach. proceduralne ENISA TIG · 6.10.4-01 ISO 27001 · A.8.8
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 ID.IM-03 ID.RA-02
Umowy z dostawcamiwymagania wiążące — kontraktowe
Procesy zarządzania ryzykiem nabycia obejmują wymogi bezpieczeństwa mające zastosowanie do nabywanych usług ICT lub produktów ICT. kontraktowe ENISA TIG · 6.1.2-01 ISO 27001 · A.5.21
→ CISO Assistant · Probo
 GV.SC-05
Procesy zarządzania ryzykiem nabycia obejmują wymogi dotyczące aktualizacji zabezpieczeń w całym cyklu życia usług ICT lub produktów ICT lub ich wymiany po zakończeniu okresu wsparcia. kontraktowe ENISA TIG · 6.1.2-02 ENISA TIG · 6.1.2-03 ENISA TIG · 6.1.2-04 ISO 27001 · A.5.21
→ CISO Assistant · Probo
 GV.SC-05 PR.PS-02 PR.PS-03
Procesy zarządzania ryzykiem nabycia obejmują informacje opisujące elementy sprzętu i oprogramowania wykorzystywane w usługach ICT lub produktach ICT. kontraktowe CIS Controls · 16.4 ISO 27001 · A.5.21
→ CISO Assistant · Probo
 GV.SC-05
Procesy zarządzania ryzykiem nabycia obejmują informacje opisujące wdrożone funkcje cyberbezpieczeństwa usług ICT lub produktów ICT oraz konfigurację wymaganą do ich bezpiecznego działania. kontraktowe ENISA TIG · 6.1.2-05 ISO 27001 · A.5.21
→ CISO Assistant · Probo
 GV.SC-05
Przy zlecaniu na zewnątrz rozwoju sieci i systemów informatycznych podmiot stosuje również zasady i procedury bezpieczeństwa łańcucha dostaw oraz bezpieczeństwa nabywania określone w pkt 5 i 6.1 załącznika do rozporządzenia 2024/2690. kontraktowe ENISA TIG · 6.2.3-02 ISO 27001 · A.5.21 ISO 27001 · A.8.30
→ CISO Assistant · Probo
 GV.SC-05 PR.PS-06
Technikawymagania wiążące — techniczne
Podmiot stosuje zasady inżynierii bezpieczeństwa systemów i zasady bezpiecznego kodowania we wszystkich działaniach związanych z rozwojem systemów informatycznych, takich jak cyberbezpieczeństwo na etapie projektowania i architektura zerowego zaufania. techniczne CIS Controls · 16.1 CIS Controls · 16.10 CIS Controls · 16.11 ENISA TIG · 6.2.2-01 ISO 27001 · A.8.27 ISO 27001 · A.8.28
brak rozwiązania referencyjnego w modelu
 PR.PS-06
Podmiot dokonuje sanityzacji i anonimizacji danych testowych na podstawie oceny ryzyka przeprowadzonej zgodnie z pkt 2.1 załącznika do rozporządzenia 2024/2690. techniczne ENISA TIG · 6.2.2-04 ISO 27001 · A.8.33
brak rozwiązania referencyjnego w modelu
 PR.DS-01
Podmiot podejmuje odpowiednie środki w celu ustanowienia, dokumentowania, wdrażania i monitorowania konfiguracji, w tym konfiguracji bezpieczeństwa sprzętu, oprogramowania, usług i sieci. techniczne CIS Controls · 4.1 CIS Controls · 4.2 ENISA TIG · 6.3.1-01 ENISA TIG · 6.3.1-02 ENISA TIG · 6.3.1-07 ISO 27001 · A.8.9 NIST SP 800-61 · DE.CM-09.R3
→ GLPI · StackRox · Trivy · Wazuh
 PR.PS-01
Podmiot określa i zapewnia bezpieczeństwo w konfiguracjach dla sprzętu, oprogramowania, usług i sieci. techniczne CIS Controls · 16.7 CIS Controls · 4.1 CIS Controls · 4.2 CIS Controls · 4.7 ENISA TIG · 6.3.1-06 ENISA TIG · 6.3.1-11 ENISA TIG · 6.3.2-02 ISO 27001 · A.8.9 NIST SP 800-61 · ID.AM-08.R1
→ GLPI · StackRox · Trivy · Wazuh
 PR.PS-01
Podmiot ustanawia i wdraża procesy i narzędzia egzekwujące określone bezpieczne konfiguracje sprzętu, oprogramowania, usług i sieci dla systemów nowo zainstalowanych oraz działających w całym ich cyklu życia. techniczne CIS Controls · 12.3 CIS Controls · 16.7 CIS Controls · 4.1 CIS Controls · 4.6 ENISA TIG · 6.3.1-04 ENISA TIG · 6.3.2-03 ENISA TIG · 6.3.2-05 ISO 27001 · A.8.9 NIST SP 800-61 · DE.CM-09.R3
→ GLPI · StackRox · Trivy · Wazuh
 PR.PS-01
Podmiot przeprowadza testy bezpieczeństwa zgodnie z udokumentowaną metodyką testowania, obejmujące elementy uznane w analizie ryzyka za istotne dla bezpiecznego działania. techniczne CIS Controls · 16.12 CIS Controls · 16.13 CIS Controls · 18.2 CIS Controls · 18.5 ISO 27001 · A.8.29
→ StackRox · Trivy
 ID.IM-02 ID.RA-01
Podmiot stosuje działania łagodzące w przypadku stwierdzenia krytycznych naruszeń. techniczne CIS Controls · 18.3 ENISA TIG · 6.5.2-06 ISO 27001 · A.8.8
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 ID.RA-06
Poprawki zabezpieczeń stosowane są w rozsądnym terminie po ich udostępnieniu. techniczne CIS Controls · 7.3 CIS Controls · 7.4 ENISA TIG · 6.6.1-03 ENISA TIG · 6.6.1-04 ENISA TIG · 6.6.1-06 ISO 27001 · A.8.8
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 PR.PS-02
Poprawki zabezpieczeń testowane są przed zastosowaniem w systemach produkcyjnych. techniczne ENISA TIG · 6.6.1-08 ENISA TIG · 6.6.1-09 ENISA TIG · 6.6.2-01 ISO 27001 · A.8.19 ISO 27001 · A.8.8
→ GLPI · Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 ID.RA-07 PR.PS-02
Poprawki zabezpieczeń pochodzą z zaufanych źródeł i są sprawdzane pod kątem integralności. techniczne ENISA TIG · 6.6.1-07 ISO 27001 · A.8.8
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 ID.RA-09 PR.PS-02
Podmiot wprowadza odpowiednie środki w celu ochrony swoich sieci i systemów informatycznych przed cyberzagrożeniami. techniczne CIS Controls · 13.10 CIS Controls · 13.3 CIS Controls · 13.8 ENISA TIG · 6.7.1-01 ISO 27001 · A.8.20
→ StackRox · Wazuh
 PR.IR-01
Podmiot określa i stosuje środki kontroli chroniące domeny sieci wewnętrznych przed nieuprawnionym dostępem. techniczne CIS Controls · 13.9 ENISA TIG · 6.7.2-01 ISO 27001 · A.8.20
→ StackRox · Wazuh
 PR.IR-01
Podmiot konfiguruje mechanizmy kontroli uniemożliwiające dostęp i komunikację sieciową, które nie są wymagane do jego działania. techniczne CIS Controls · 13.10 CIS Controls · 13.4 CIS Controls · 4.4 CIS Controls · 4.5 CIS Controls · 9.3 ENISA TIG · 6.8.2-06 ISO 27001 · A.8.20
→ StackRox · Wazuh
 PR.IR-01
Podmiot określa i stosuje kontrole zdalnego dostępu do sieci i systemów informatycznych, w tym dostępu usługodawców. techniczne CIS Controls · 12.7 CIS Controls · 13.5 CIS Controls · 6.4 ENISA TIG · 6.7.2-05 ISO 27001 · A.8.20 ISO 27001 · A.8.21
→ StackRox · Wazuh
 PR.AA-05 PR.IR-01
Podmiot wyraźnie zakazuje niepotrzebnych połączeń i usług lub je dezaktywuje. techniczne CIS Controls · 4.8 ENISA TIG · 6.3.1-12 ISO 27001 · A.8.20 ISO 27001 · A.8.9
→ GLPI · StackRox · Trivy · Wazuh
 PR.IR-01 PR.PS-01
Dostęp do sieci i systemów informatycznych podmiotu możliwy jest wyłącznie przez urządzenia przez niego autoryzowane. techniczne CIS Controls · 12.6 CIS Controls · 13.5 CIS Controls · 13.9 CIS Controls · 1.2 CIS Controls · 1.3 CIS Controls · 1.5 ENISA TIG · 6.7.2-02 ISO 27001 · A.8.20
→ StackRox · Wazuh
 PR.AA-01 PR.AA-03 PR.IR-01
Komunikacja między odrębnymi systemami nawiązywana jest wyłącznie za pośrednictwem zaufanych kanałów odizolowanych od innych kanałów komunikacji za pomocą logicznego, kryptograficznego lub fizycznego oddzielenia, zapewniających niezawodną identyfikację punktów końcowych i ochronę danych kanału przed modyfikacją lub ujawnieniem. techniczne CIS Controls · 12.6 CIS Controls · 3.10 ENISA TIG · 6.8.2-08 ISO 27001 · A.8.20 ISO 27001 · A.8.24
→ OpenBao · Proxmox Backup Server · Smallstep step-ca · StackRox · Wazuh
 PR.AA-03 PR.DS-02 PR.IR-01
Podmiot stosuje najlepsze praktyki w zakresie bezpieczeństwa DNS oraz bezpieczeństwa routingu internetowego i higieny routingu ruchu pochodzącego z sieci i do niej kierowanego. techniczne CIS Controls · 4.9 CIS Controls · 9.2 ENISA TIG · 6.7.2-07 ENISA TIG · 6.7.2-08 ISO 27001 · A.8.20
→ StackRox · Wazuh
 PR.IR-01
Podmiot dokonuje segmentacji systemów na sieci lub strefy zgodnie z wynikami oceny ryzyka przeprowadzonej zgodnie z pkt 2.1 załącznika do rozporządzenia 2024/2690. techniczne CIS Controls · 12.2 CIS Controls · 3.12 ENISA TIG · 6.8.1-01 ENISA TIG · 6.8.1-02 ENISA TIG · 6.8.2-01 ISO 27001 · A.8.22
brak rozwiązania referencyjnego w modelu
 PR.IR-01
Podmiot oddziela swoje systemy i sieci od systemów i sieci osób trzecich. techniczne ENISA TIG · 6.8.2-03 ISO 27001 · A.8.22
brak rozwiązania referencyjnego w modelu
 PR.IR-01
Przy segmentacji podmiot uwzględnia funkcjonalny, logiczny i fizyczny związek, w tym położenie, między wiarygodnymi systemami i usługami. techniczne ENISA TIG · 6.8.2-04 ISO 27001 · A.8.22
brak rozwiązania referencyjnego w modelu
 PR.IR-01
Podmiot udziela dostępu do sieci lub strefy na podstawie oceny jej wymogów bezpieczeństwa. techniczne ENISA TIG · 6.8.2-02 ENISA TIG · 6.8.2-05 ISO 27001 · A.8.22
brak rozwiązania referencyjnego w modelu
 PR.AA-05 PR.IR-01
Systemy o kluczowym znaczeniu dla funkcjonowania podmiotu lub dla bezpieczeństwa utrzymywane są w strefach bezpieczeństwa. techniczne CIS Controls · 3.12 ENISA TIG · 6.8.2-04 ISO 27001 · A.8.22
brak rozwiązania referencyjnego w modelu
 PR.IR-01
Podmiot wdraża strefę zdemilitaryzowaną w ramach swoich sieci łączności w celu zapewnienia bezpiecznej komunikacji pochodzącej z jego sieci lub do nich kierowanej. techniczne ENISA TIG · 6.8.2-03 ISO 27001 · A.8.22
brak rozwiązania referencyjnego w modelu
 PR.IR-01
Dostęp i łączność między strefami i w ich obrębie ograniczone są do zakresu niezbędnego do działania podmiotu lub do zapewnienia bezpieczeństwa. techniczne CIS Controls · 12.2 CIS Controls · 13.4 ENISA TIG · 6.8.2-06 ISO 27001 · A.8.22
brak rozwiązania referencyjnego w modelu
 PR.IR-01
Specjalna sieć zarządzania sieciami i systemami informatycznymi oddzielona jest od sieci operacyjnej podmiotu. techniczne CIS Controls · 12.8 ENISA TIG · 6.8.2-02 ISO 27001 · A.8.20 ISO 27001 · A.8.22
→ StackRox · Wazuh
 PR.IR-01
Kanały zarządzania siecią oddzielone są od innego ruchu sieciowego. techniczne ENISA TIG · 6.8.2-08 ISO 27001 · A.8.20
→ StackRox · Wazuh
 PR.IR-01
Systemy produkcji usług podmiotu oddzielone są od systemów wykorzystywanych do opracowywania i testowania, w tym do tworzenia kopii zapasowych. techniczne CIS Controls · 16.8 ENISA TIG · 6.3.1-13 ISO 27001 · A.8.31
brak rozwiązania referencyjnego w modelu
 PR.DS-11 PR.IR-01
Podmiot chroni swoje sieci i systemy informatyczne przed szkodliwym i niedozwolonym oprogramowaniem. techniczne CIS Controls · 2.5 CIS Controls · 9.4 ENISA TIG · 6.9.2-01 ENISA TIG · 6.9.2-04 ISO 27001 · A.8.7
brak rozwiązania referencyjnego w modelu
 DE.CM-09 PR.PS-05
Podmiot wdraża środki, które wykrywają użycie złośliwego lub nieuprawnionego oprogramowania lub mu zapobiegają. techniczne CIS Controls · 10.1 CIS Controls · 10.5 CIS Controls · 10.7 CIS Controls · 13.2 CIS Controls · 13.7 CIS Controls · 2.3 CIS Controls · 2.5 CIS Controls · 2.6 CIS Controls · 2.7 CIS Controls · 9.2 CIS Controls · 9.3 CIS Controls · 9.6 CIS Controls · 9.7 ENISA TIG · 6.9.2-02 ENISA TIG · 6.9.2-03 ENISA TIG · 6.9.2-05 ENISA TIG · 6.9.2-06 ENISA TIG · 6.9.2-07 ENISA TIG · 6.9.2-08 ENISA TIG · 6.9.2-09 ISO 27001 · A.8.7 NIST SP 800-61 · DE.CM-09.R5
brak rozwiązania referencyjnego w modelu
 DE.CM-09 PR.PS-05
Sieci i systemy informatyczne podmiotu wyposażone są w oprogramowanie do wykrywania i reagowania, regularnie aktualizowane zgodnie z oceną ryzyka przeprowadzoną zgodnie z pkt 2.1 załącznika do rozporządzenia 2024/2690 oraz umowami z dostawcami. techniczne CIS Controls · 10.1 CIS Controls · 10.2 CIS Controls · 10.6 CIS Controls · 10.7 CIS Controls · 13.7 ENISA TIG · 6.9.2-01 ENISA TIG · 6.9.2-02 ISO 27001 · A.8.7 NIST SP 800-61 · DE.CM-09.R1
brak rozwiązania referencyjnego w modelu
 DE.CM-09
Podmiot przeprowadza skanowanie podatności na zagrożenia i rejestruje w zaplanowanych odstępach czasu dowody potwierdzające wyniki skanowania. techniczne CIS Controls · 7.5 CIS Controls · 7.6 ENISA TIG · 6.10.2-01 ISO 27001 · A.8.8
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 ID.RA-01
Podmiot niezwłocznie usuwa podatności zidentyfikowane jako krytyczne dla jego działalności. techniczne CIS Controls · 16.6 CIS Controls · 7.2 CIS Controls · 7.7 ENISA TIG · 6.10.2-01 ISO 27001 · A.8.8
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 ID.RA-06 PR.PS-02
Komplet wymagań tego obowiązku — 78 wierszy, generowanych z modelu przy każdej publikacji. Każde mapowanie na kontrolę ma w modelu pisemne uzasadnienie i ocenę dopasowania — na stronie pokazujemy cel mapowania. Rezultat NIST CSF 2.0 to cel, któremu służy wymaganie — nie kontrola; nie wlicza się do mapowań ani nie prowadzi do rozwiązań. Wersja krajowa tych przepisów (wiąże każdy podmiot w swoim zakresie): Katalog środków bezpieczeństwa SZBI, Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3).
Kolumna „kontrole" mówi Wam, gdzie tę samą rzecz mierzy Wasz certyfikat ISO albo profil NIST — jeśli kontrolę już macie wdrożoną i udokumentowaną, ta część ścieżki jest do reużycia, nie do budowy od zera.

Dlaczego NIST CSF 2.0 stoi osobno

NIST CSF 2.0 opisuje rezultaty — „co ma być osiągnięte" — i sam odsyła po zabezpieczenia do katalogów takich jak ISO 27001 czy CIS. Dlatego na tej ścieżce rezultat CSF mówi, po co jest wymaganie, a kolumna kontroli — czym je spełnić.

Warstwa rozwiązań

Czym to zrealizować — rekomendacje referencyjne

Rozwiązanie trafia na ścieżkę tylko wtedy, gdy realizuje kontrolę, na którą mapuje wymaganie tego obowiązku. 15 rozwiązań obejmuje 58 z 78 wymagań; dla 20 model nie wskazuje rozwiązania — i strona mówi to wprost. Wasze własne narzędzie realizujące te same kontrole domyka ścieżkę tak samo.

CISO Assistant

Narzędzie open source do prowadzenia SZBI: rejestr ryzyk, plan postępowania, dowody skuteczności środków — z gotowymi ramami ISO 27001 i NIST CSF, na które mapuje ta ścieżka.

open sourcenarzędzierealizuje 5 kontroli · obejmuje 17 z 78 wymagań

GLPI

Open source ITSM i ewidencja aktywów: inwentaryzacja systemów i usług, zgłoszenia, zmiany — baza faktów dla zarządzania aktywami i ciągłością.

open sourcenarzędzierealizuje 3 kontrole · obejmuje 12 z 78 wymagań

Greenbone Community Edition

Skaner podatności open source (Greenbone Community Edition): cykliczne skanowanie systemów i raporty podatności pod zarządzanie podatnościami.

open sourcenarzędzierealizuje 1 kontrolę · obejmuje 16 z 78 wymagań

Keycloak

Serwer tożsamości open source — realizacja polityk kontroli dostępu i zarządzania tożsamością: role, uprawnienia, MFA, federacja.

open sourcenarzędzierealizuje 3 kontrole · obejmuje 2 z 78 wymagań

OpenBao

Open source zarządzanie sekretami i kluczami: przechowywanie haseł, certyfikatów i kluczy kryptograficznych z kontrolą dostępu i audytem.

open sourcenarzędzierealizuje 1 kontrolę · obejmuje 1 z 78 wymagań

Probo

Narzędzie open source do oceny i monitorowania dostawców: rejestr dostawców, oceny ryzyka, śledzenie zobowiązań umownych — operacyjna strona łańcucha dostaw.

open sourcenarzędzierealizuje 5 kontroli · obejmuje 17 z 78 wymagań

Proxmox Backup Server

Open source serwer kopii zapasowych: deduplikacja, szyfrowanie, weryfikacja kopii i odtwarzanie — techniczny fundament planów ciągłości i odtworzenia.

open sourcenarzędzierealizuje 1 kontrolę · obejmuje 1 z 78 wymagań

Smallstep step-ca

Open source urząd certyfikacji (Smallstep step-ca): automatyczne wystawianie i odnawianie certyfikatów — PKI dla systemów i usług.

open sourcenarzędzierealizuje 1 kontrolę · obejmuje 1 z 78 wymagań

StackRox

Open source bezpieczeństwo Kubernetes: wykrywanie włamań i anomalii w kontenerach, polityki wdrożeniowe, skanowanie obrazów.

open sourcenarzędzierealizuje 4 kontrole · obejmuje 37 z 78 wymagań

Szablon: Metodyka zarządzania ryzykiem

Autorski szablon metodyki szacowania i postępowania z ryzykiem — kryteria, skale, rejestr i cykl przeglądów pod wymagania SZBI.

szablon Intecaszablon proceduryrealizuje 1 kontrolę · obejmuje 5 z 78 wymagań

Szablon: Polityka bezpieczeństwa łańcucha dostaw

Autorski szablon polityki domykający wymagania organizacyjne łańcucha dostaw — rola w łańcuchu, kryteria wyboru dostawców, blok klauzul umownych do wpięcia w umowy.

rekomendowaneszablon Intecaszablon dokumentu / politykarealizuje 1 kontrolę · obejmuje 1 z 78 wymagań

Szablon: Polityka nadrzędna bezpieczeństwa informacji

Dokument, od którego zaczyna się SZBI: ramy systemu, polityki tematyczne, role i przeglądy — autorski szablon polityki nadrzędnej bezpieczeństwa informacji.

szablon Intecaszablon dokumentu / politykarealizuje 1 kontrolę · obejmuje 3 z 78 wymagań

Szablon: Procedura przyjmowania zgłoszeń podatności (CVD)

Autorski szablon procedury przyjmowania i obsługi zgłoszeń podatności (coordinated vulnerability disclosure) — kanał, terminy, komunikacja ze zgłaszającym.

szablon Intecaszablon proceduryrealizuje 1 kontrolę · obejmuje 16 z 78 wymagań

Trivy

Skaner open source podatności i błędów konfiguracji: obrazy kontenerów, zależności, infrastruktura jako kod — kontrola w cyklu wytwórczym.

open sourcenarzędzierealizuje 3 kontrole · obejmuje 27 z 78 wymagań

Wazuh

Platforma open source SIEM z wykrywaniem włamań: zbieranie i korelacja logów, monitorowanie integralności plików, wykrywanie podatności — rdzeń monitorowania w trybie ciągłym.

open sourcenarzędzierealizuje 3 kontrole · obejmuje 32 z 78 wymagań

20 wymagań bez rozwiązania referencyjnego

Ich kontrole (CIS Controls, ENISA TIG, ISO 27001, NIST SP 800-119, NIST SP 800-177 i NIST SP 800-61) nie mają w modelu narzędzia ani szablonu, który je realizuje:

  • Podmiot przed przystąpieniem do rozwoju sieci i systemu informatycznego, w tym oprogramowania, określa zasady bezpiecznego rozwoju sieci i…
  • Zasady bezpiecznego rozwoju obejmują wszystkie fazy rozwoju, w tym specyfikację, projektowanie, opracowywanie, wdrażanie i testowanie.
  • Podmiot przeprowadza analizę wymogów bezpieczeństwa na etapie specyfikacji i projektowania każdego projektu rozwoju lub nabycia…
  • Podmiot stosuje zasady inżynierii bezpieczeństwa systemów i zasady bezpiecznego kodowania we wszystkich działaniach związanych z rozwojem…
  • Podmiot określa wymogi bezpieczeństwa dotyczące środowisk rozwoju.
  • Podmiot odpowiednio wybiera i chroni dane dotyczące testów bezpieczeństwa oraz nimi zarządza.
  • Podmiot dokonuje sanityzacji i anonimizacji danych testowych na podstawie oceny ryzyka przeprowadzonej zgodnie z pkt 2.1 załącznika do…
  • Podmiot przyjmuje plan wdrożenia pełnego przejścia na protokoły komunikacyjne warstwy sieciowej najnowszej generacji w bezpieczny,…
  • Podmiot przyjmuje plan wdrożenia uzgodnionych na szczeblu międzynarodowym i interoperacyjnych nowoczesnych standardów komunikacji…
  • Podmiot dokonuje segmentacji systemów na sieci lub strefy zgodnie z wynikami oceny ryzyka przeprowadzonej zgodnie z pkt 2.1 załącznika do…
  • Podmiot oddziela swoje systemy i sieci od systemów i sieci osób trzecich.
  • Przy segmentacji podmiot uwzględnia funkcjonalny, logiczny i fizyczny związek, w tym położenie, między wiarygodnymi systemami i usługami.
  • Podmiot udziela dostępu do sieci lub strefy na podstawie oceny jej wymogów bezpieczeństwa.
  • Systemy o kluczowym znaczeniu dla funkcjonowania podmiotu lub dla bezpieczeństwa utrzymywane są w strefach bezpieczeństwa.
  • Podmiot wdraża strefę zdemilitaryzowaną w ramach swoich sieci łączności w celu zapewnienia bezpiecznej komunikacji pochodzącej z jego sieci…
  • Dostęp i łączność między strefami i w ich obrębie ograniczone są do zakresu niezbędnego do działania podmiotu lub do zapewnienia…
  • Systemy produkcji usług podmiotu oddzielone są od systemów wykorzystywanych do opracowywania i testowania, w tym do tworzenia kopii…
  • Podmiot chroni swoje sieci i systemy informatyczne przed szkodliwym i niedozwolonym oprogramowaniem.
  • Podmiot wdraża środki, które wykrywają użycie złośliwego lub nieuprawnionego oprogramowania lub mu zapobiegają.
  • Sieci i systemy informatyczne podmiotu wyposażone są w oprogramowanie do wykrywania i reagowania, regularnie aktualizowane zgodnie z oceną…
dowolna realizacja
Uczciwie o granicach

Czego ta ścieżka nie zrobi za Was

Nie zastąpi dowodów operacyjnych

Ścieżka daje strukturę i uzasadnienia — mapę tego, co wykazać. Zapisy, decyzje, logi i podpisane dokumenty musicie wytworzyć u siebie; o oczekiwaniach audytora więcej na stronie audyt KSC/NIS2.

Chcecie przejść tę ścieżkę z przewodnikiem?

Inteca poprowadzi wdrożenie warstwa po warstwie: od wymagań przepisu, przez kontrole standardów, po narzędzia i bazę dowodową pod audyt.

Umówcie konsultację Wróćcie do przeglądu ścieżek