Ścieżka zgodności · CIR 2024/2690
Kontrola dostępu — jak spełnić załącznik pkt 11 CIR 2024/2690 krok po kroku
Odpowiednie podmioty ustanawiają i utrzymują politykę kontroli dostępu (logiczną i fizyczną), zarządzają prawami dostępu i ich przeglądami, prowadzą politykę kont uprzywilejowanych i kont administracji systemu, ograniczają korzystanie z systemów administracji, zarządzają cyklem życia tożsamości oraz wdrażają bezpieczne uwierzytelnianie, w tym — w stosownych przypadkach, zgodnie z klasyfikacją aktywów — uwierzytelnianie wieloskładnikowe lub ciągłe. Poniżej ta norma rozłożona na warstwy: wymagania → kontrole standardów → rozwiązania. Zacznijcie od pytania, czy ten obowiązek Was wiąże — odpowiedź jest pierwszą sekcją pod spodem.
Krok zero
Kogo wiąże ten obowiązek?
Zanim przeczytacie choć jedno wymaganie — sprawdźcie, czy ta ścieżka jest Wasza. Odpowiedź nie jest pisana ręcznie: wynika z zakresu obowiązku zapisanego w modelu prawnym.
Dostawcy cyfrowi z art. 8b ust. 1 UKSC
Dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), dostawcy usług chmurowych, dostawcy usługi centrum przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, dostawcy internetowych platform handlowych, dostawcy wyszukiwarek internetowych oraz dostawcy platform usług sieci społecznościowych. Dla Was rozporządzenie CIR 2024/2690 jest obowiązkiem — ta ścieżka to Wasza lista zadań.
Pozostałe podmioty kluczowe i ważne
CIR Was nie obowiązuje — art. 8b ust. 2 UKSC odsyła do przyszłych aktów wykonawczych Komisji Europejskiej dla Waszego rodzaju podmiotu. Wasz wiążący obowiązek to art. 8b ust. 2 UKSC — tę ścieżkę czytajcie jako sprawdzony wzorzec, nie jako listę wymagań audytora.
Sprawdźcie swój rodzaj podmiotu
Klasa podmiotu to nie wszystko — decyduje rodzaj podmiotu, sektor i wielkość. Kwalifikator KSC wskaże Wasz rodzaj, a wynik powie wprost, czy ten obowiązek jest w Waszym katalogu.
Ten blok wygląda tak samo na każdej ścieżce: obowiązek z UKSC pokaże tu klasy podmiotów (kluczowy / ważny / publiczny), obowiązek z CIR — dostawców cyfrowych. Dyrektywa NIS2 nie ma własnych ścieżek — pokazujemy ją niżej, jako źródło obowiązku.
Skąd ten obowiązek
Zdanie dyrektywy i akty, które je wypełniają
Dyrektywa NIS2 wiąże państwa, nie Was — dlatego nie ma osobnej ścieżki. Konkrety dopisały akty, które ją wykonują — ten, na którym jesteście, i jego krajowe odbicie.
Art. 21 ust. 2 lit. i–j NIS2
lit. i „Środki zarządzania ryzykiem obejmują bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami."
lit. j „Stosowanie MFA/uwierzytelniania ciągłego oraz zabezpieczonej komunikacji bieżącej i awaryjnej, w stosownych przypadkach"
Tyle mówi dyrektywa. Co konkretnie zrobić — mówią akty obok. Treść cytowana z modelu, nie przepisywana.
Załącznik pkt 11 CIR 2024/2690
„11.1.1. Do celów art. 21 ust. 2 lit. i) dyrektywy (UE) 2022/2555 odpowiednie podmioty ustanawiają, dokumentują i wdrażają logiczną i fizyczną politykę kontroli dostępu w odniesieniu do dostępu do swoich sieci i systemów informatycznych w oparciu o wymogi biznesowe, a także wymogi w zakresie bezpieczeństwa sieci i…"
Komisja Europejska rozpisała lit. i, lit. j na 46 wymagań wiążących — ale tylko dla dostawców cyfrowych z art. 8b ust. 1 UKSC. To jest ścieżka, na której jesteście. Treść cytowana z modelu, nie pisana.
Te same przepisy w ustawie o KSC
Polska przeniosła te same przepisy do ustawy — tam wiążą one podmioty w klasach z zakresu każdego z tych obowiązków, także dostawców cyfrowych.
- Katalog środków bezpieczeństwa SZBI (art. 8 ust. 1 UKSC · kluczowy i ważny)
- Bezpieczna komunikacja w KSC (art. 8 ust. 1 UKSC · kluczowy i ważny)
- Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3) (art. 8 ust. 3 UKSC · tylko ważny (sektor publiczny))
- Ponowna weryfikacja niekaralności (art. 8f UKSC · kluczowy i ważny)
- Weryfikacja niekaralności (art. 8f UKSC · kluczowy i ważny)
Przebieg ścieżki
Od rozporządzenia do narzędzia i szablonu
Diagram pokazuje jedną nitkę ścieżki — wymaganie 7 z 46 wiążących — w komplecie warstw. Tabela niżej rozwija pozostałe wymagania.
przepis
obowiązek
wymaganie
kontrola standardu
rozwiązanie
Diagram wygenerowany z żywego modelu IRNIS przy publikacji tej strony.
Warstwa wymagań i kontroli
Wymagania tego obowiązku i ich odpowiedniki w standardach
Każdy wiersz to jedno atomowe wymaganie — dokładnie w brzmieniu z modelu, o które zapyta audytor — z kontrolami, na które mapuje je model. Wiersze pogrupowane po charakterze wymagania.
| Wymaganie (brzmienie z modelu) | Charakter | Kontrole standardów |
|---|---|---|
| Organizacja i politykiwymagania wiążące — organizacyjne | ||
| Podmiot ustanawia, dokumentuje i wdraża logiczną i fizyczną politykę kontroli dostępu w odniesieniu do dostępu do swoich sieci i systemów informatycznych w oparciu o wymogi biznesowe, a także wymogi w zakresie bezpieczeństwa sieci i systemów informatycznych. | organizacyjne | ISO 27001 · A.5.15 NIST CSF · PR.AA-05 |
| Polityka kontroli dostępu dotyczy dostępu osób, w tym pracowników, odwiedzających i podmiotów zewnętrznych, takich jak dostawcy i usługodawcy. | organizacyjne | ISO 27001 · A.5.15 |
| Polityka kontroli dostępu dotyczy dostępu sieci i systemów informatycznych. | organizacyjne | ISO 27001 · A.5.15 |
| Podmiot przydziela i odwołuje prawa dostępu w oparciu o zasadę ograniczonego dostępu, zasadę przydzielania jak najmniejszych uprawnień i zasadę podziału obowiązków. | organizacyjne | ISO 27001 · A.5.18 ISO 27001 · A.5.3 NIST CSF · PR.AA-05 |
| Podmiot prowadzi politykę zarządzania kontami uprzywilejowanymi i kontami administracji systemu w ramach polityki kontroli dostępu. | organizacyjne | ISO 27001 · A.5.15 ISO 27001 · A.8.2 |
| Podmiot zarządza pełnym cyklem życia tożsamości sieci i systemów informatycznych oraz ich użytkowników. | organizacyjne | ISO 27001 · A.5.16 NIST CSF · PR.AA-01 |
| Podmiot zapewnia nadzór nad tożsamością w sieciach i systemach informatycznych. | organizacyjne | ISO 27001 · A.5.16 NIST CSF · PR.AA-01 |
| Procesy i procedurywymagania wiążące — proceduralne | ||
| Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji polityki kontroli dostępu w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka. | proceduralne | ISO 27001 · A.5.1 NIST CSF · GV.PO-02 |
| Podmiot zapewnia, zmienia, usuwa i dokumentuje prawa dostępu do sieci i systemów informatycznych zgodnie z polityką kontroli dostępu. | proceduralne | ISO 27001 · A.5.18 NIST CSF · PR.AA-05 |
| Prawa dostępu są odpowiednio zmieniane po zakończeniu lub zmianie zatrudnienia. | proceduralne | ISO 27001 · A.5.18 NIST CSF · PR.AA-05 |
| Dostęp do sieci i systemów informatycznych jest autoryzowany przez odpowiednie osoby. | proceduralne | ISO 27001 · A.5.18 NIST CSF · PR.AA-05 |
| Prawa dostępu odpowiednio uwzględniają dostęp osób trzecich, takich jak odwiedzający, dostawcy i usługodawcy, w szczególności poprzez ograniczenie zakresu i czasu trwania praw dostępu. | proceduralne | ISO 27001 · A.5.18 ISO 27001 · A.5.19 |
| Podmiot prowadzi rejestr przyznanych praw dostępu. | proceduralne | ISO 27001 · A.5.18 |
| Podmiot dokonuje przeglądu praw dostępu w zaplanowanych odstępach czasu i modyfikuje je w oparciu o zmiany organizacyjne. | proceduralne | ISO 27001 · A.5.18 NIST CSF · PR.AA-05 |
| Podmiot dokumentuje wyniki przeglądu praw dostępu, w tym niezbędne zmiany praw dostępu. | proceduralne | ISO 27001 · A.5.18 |
| Podmiot dokonuje przeglądu praw dostępu do kont uprzywilejowanych i kont administracji systemu w zaplanowanych odstępach czasu i modyfikuje je w oparciu o zmiany organizacyjne. | proceduralne | ISO 27001 · A.5.18 ISO 27001 · A.8.2 |
| Podmiot dokumentuje wyniki przeglądu praw dostępu do kont uprzywilejowanych i kont administracji systemu, w tym niezbędne zmiany praw dostępu. | proceduralne | ISO 27001 · A.8.2 |
| Tożsamości przypisane do wielu osób, w tym tożsamości współdzielone, są dopuszczane tylko wtedy, gdy jest to konieczne ze względów biznesowych lub operacyjnych, i podlegają wyraźnemu procesowi zatwierdzania i dokumentacji. | proceduralne | ISO 27001 · A.5.16 |
| Podmiot uwzględnia tożsamości przypisane do wielu osób w ramach zarządzania ryzykiem w cyberbezpieczeństwie. | proceduralne | ISO 27001 · 8.2 |
| Podmiot regularnie dokonuje przeglądu tożsamości w sieciach i systemach informatycznych oraz ich użytkowników. | proceduralne | ISO 27001 · A.5.16 NIST CSF · PR.AA-01 |
| Podmiot kontroluje przydzielanie użytkownikom tajnych informacji uwierzytelniających i zarządzanie nimi za pomocą procesu zapewniającego poufność informacji, w tym doradza pracownikom w zakresie właściwego postępowania z informacjami uwierzytelniającymi. | proceduralne | ISO 27001 · A.5.17 NIST CSF · PR.AA-01 |
| Podmiot dokonuje przeglądu procedur i technologii uwierzytelniania w zaplanowanych odstępach czasu. | proceduralne | ISO 27001 · A.5.1 ISO 27001 · 9.1 |
| Technikawymagania wiążące — techniczne | ||
| Polityka kontroli dostępu zapewnia, aby dostęp był przyznawany wyłącznie użytkownikom, którzy zostali odpowiednio uwierzytelnieni. | techniczne | ISO 27001 · A.8.5 NIST CSF · PR.AA-03 |
| Podmiot stosuje logowanie do zarządzania prawami dostępu. | techniczne | ISO 27001 · A.5.18 ISO 27001 · A.8.15 |
| Polityka zarządzania kontami uprzywilejowanymi i kontami administracji systemu ustanawia silną identyfikację, uwierzytelnianie, takie jak uwierzytelnianie wieloskładnikowe, oraz procedury autoryzacji kont uprzywilejowanych i kont administracji systemu. | techniczne | ISO 27001 · A.8.2 ISO 27001 · A.8.5 NIST CSF · PR.AA-03 |
| Polityka zarządzania kontami uprzywilejowanymi i kontami administracji systemu ustanawia specjalne konta wykorzystywane wyłącznie do działań administracyjnych systemu, takich jak instalacja, konfiguracja, zarządzanie lub konserwacja. | techniczne | ISO 27001 · A.8.2 |
| Przywileje związane z administrowaniem systemem są w jak największym stopniu zindywidualizowane i ograniczone. | techniczne | ISO 27001 · A.8.2 NIST CSF · PR.AA-05 |
| Konta administracji systemu są wykorzystywane wyłącznie do łączenia się z systemami administracji systemu. | techniczne | ISO 27001 · A.8.2 |
| Podmiot ogranicza i kontroluje korzystanie z systemów administracji systemu zgodnie z polityką kontroli dostępu. | techniczne | ISO 27001 · A.8.18 ISO 27001 · A.8.2 |
| Systemy administracji systemu są wykorzystywane wyłącznie do celów administracji systemem, a nie do jakichkolwiek innych operacji. | techniczne | ISO 27001 · A.8.18 ISO 27001 · A.8.2 |
| Systemy administracji systemu są logicznie oddzielone od oprogramowania użytkowego, które nie jest wykorzystywane do celów administracji systemu. | techniczne | ISO 27001 · A.8.18 ISO 27001 · A.8.22 |
| Dostęp do systemów administracji systemu jest chroniony poprzez uwierzytelnianie i szyfrowanie. | techniczne | ISO 27001 · A.8.24 ISO 27001 · A.8.5 |
| Podmiot ustanawia niepowtarzalne tożsamości dla sieci i systemów informatycznych oraz ich użytkowników. | techniczne | ISO 27001 · A.5.16 NIST CSF · PR.AA-01 |
| Tożsamość użytkownika jest połączona z jedną osobą. | techniczne | ISO 27001 · A.5.16 |
| Podmiot stosuje logowanie do zarządzania tożsamościami. | techniczne | ISO 27001 · A.5.16 ISO 27001 · A.8.15 |
| Podmiot niezwłocznie dezaktywuje tożsamości w sieciach i systemach informatycznych oraz tożsamości ich użytkowników. | techniczne | ISO 27001 · A.5.16 NIST CSF · PR.AA-01 |
| Podmiot wdraża procedury i technologie bezpiecznego uwierzytelniania w oparciu o ograniczenia dostępu i politykę kontroli dostępu. | techniczne | ISO 27001 · A.8.5 NIST CSF · PR.AA-03 |
| Siła uwierzytelnienia jest odpowiednia do klasyfikacji składnika aktywów, do którego ma być uzyskany dostęp. | techniczne | ISO 27001 · A.8.5 NIST CSF · PR.AA-03 |
| Zmiana danych uwierzytelniających jest wymagana na początku, w określonych z góry odstępach czasu oraz w przypadku podejrzenia, że dane uwierzytelniające zostały naruszone. | techniczne | ISO 27001 · A.5.17 |
| Po określonej z góry liczbie nieudanych prób logowania wymagane jest resetowanie danych uwierzytelniających i blokowanie użytkownika. | techniczne | ISO 27001 · A.8.5 |
| Nieaktywne sesje są kończone po wcześniej zdefiniowanym okresie bezczynności. | techniczne | ISO 27001 · A.8.5 |
| Dostęp do kont o uprzywilejowanym dostępie lub kont administracyjnych wymaga osobnych danych uwierzytelniających. | techniczne | ISO 27001 · A.8.2 |
| Podmiot stosuje najnowocześniejsze metody uwierzytelniania zgodnie z powiązanym oszacowanym ryzykiem i klasyfikacją składnika aktywów, do którego ma być uzyskany dostęp. | techniczne | ISO 27001 · A.8.5 NIST CSF · PR.AA-03 |
| Podmiot stosuje unikalne informacje uwierzytelniające. | techniczne | ISO 27001 · A.5.17 |
| Poziom uwierzytelnienia jest odpowiedni do klasyfikacji składnika aktywów, do którego ma być uzyskany dostęp. | techniczne | ISO 27001 · A.8.5 NIST CSF · PR.AA-03 |
| Użytkownicy są uwierzytelniani za pomocą wielu czynników uwierzytelniania lub mechanizmów ciągłego uwierzytelniania w celu uzyskania dostępu do sieci i systemów informatycznych podmiotu. | techniczne | ISO 27001 · A.8.5 NIST CSF · PR.AA-03 |
| Zalecenia ENISAdoradcze — dobra praktyka ponad minimum (Technical Implementation Guidance) | ||
| Stosuje się uwierzytelnianie wieloskładnikowe odporne na phishing. | doradcze | ISO 27001 · A.8.5 NIST CSF · PR.AA-03 |
| Wyjątki od stosowania MFA są udokumentowane, zatwierdzane i okresowo przeglądane. | doradcze | NIST CSF · ID.RA-07 |
| Przegląd polityk kontroli dostępu jest przeprowadzany co najmniej raz w roku. | doradcze | — |
| Podmiot ustanawia i utrzymuje inwentarz systemów uwierzytelniania i autoryzacji, w tym systemów utrzymywanych lokalnie i u zewnętrznego usługodawcy, oraz regularnie go przegląda i aktualizuje. | doradcze | ISO 27001 · A.5.9 NIST CSF · ID.AM-02 |
| Logi zarządzania prawami dostępu zawierają szczegóły: kto przyznał lub zmienił dostęp, kiedy oraz jakie zmiany wprowadzono. | doradcze | ISO 27001 · A.8.15 |
| Użycie kont generycznych i współdzielonych jest zminimalizowane, a użytkownicy pozostają zawsze identyfikowalni w zakresie swoich działań w systemach ICT. | doradcze | ISO 27001 · A.5.16 |
| Przeglądy kontroli dostępu do aktywów, weryfikujące autoryzację wszystkich uprawnień, są wykonywane cyklicznie, co najmniej raz w roku. | doradcze | — |
| Użycie uprzywilejowanych praw dostępu jest poprzedzone podwyższonymi wymaganiami uwierzytelnienia, takimi jak ponowne uwierzytelnienie lub podniesienie poziomu uwierzytelnienia (step-up). | doradcze | ISO 27001 · A.8.2 |
| Tymczasowy dostęp uprzywilejowany jest przyznawany wyłącznie na czas niezbędny do przeprowadzenia zatwierdzonych zmian lub działań, zamiast stałego przyznawania uprzywilejowanych praw dostępu. | doradcze | ISO 27001 · A.8.2 |
| Każde użycie dostępu uprzywilejowanego jest logowane do celów audytowych. | doradcze | ISO 27001 · A.8.15 ISO 27001 · A.8.2 |
| Przegląd praw dostępu kont uprzywilejowanych obejmuje weryfikację, czy obowiązki, role, zakresy odpowiedzialności i kompetencje administratorów systemów nadal kwalifikują ich do pracy z uprzywilejowanymi prawami dostępu. | doradcze | ISO 27001 · A.8.2 |
| Cała aktywność w systemach administracji systemu jest logowana i regularnie przeglądana. | doradcze | ISO 27001 · A.8.15 ISO 27001 · A.8.16 |
| Logi dostępu z systemów administracji systemu są zintegrowane ze scentralizowanym zarządzaniem logami lub rozwiązaniem SIEM podmiotu, a skonfigurowane automatyczne alerty wykrywają i zgłaszają podejrzane lub nieautoryzowane próby dostępu. | doradcze | ISO 27001 · A.8.16 NIST CSF · DE.CM-09 |
| Okres retencji logów jest jednoznacznie zdefiniowany w oparciu o potrzeby biznesowe, wymogi prawne oraz cele bezpieczeństwa sieci i informacji. | doradcze | ISO 27001 · A.8.15 |
| Wrażliwe pliki konfiguracyjne i poświadczenia przechowywane w systemach administracji systemu są zaszyfrowane. | doradcze | ISO 27001 · A.8.24 NIST CSF · PR.DS-01 |
| Podmiot ustanawia i utrzymuje inwentarz wszystkich zarządzanych tożsamości — użytkowników, tożsamości uprzywilejowanych i administracyjnych oraz tożsamości usługowych — zawierający co najmniej: dla osób imię i nazwisko, nazwę użytkownika, daty rozpoczęcia i zakończenia oraz poziom uprawnień, a dla tożsamości usługowych właściciela (komórkę organizacyjną), datę przeglądu, cel i poziom uprawnień. | doradcze | ISO 27001 · A.5.16 NIST CSF · PR.AA-01 |
| Tożsamości przypisane sieciom i systemom informatycznym (użytkownicy nieosobowi) podlegają odpowiednio rozdzielonemu zatwierdzaniu oraz niezależnemu bieżącemu nadzorowi. | doradcze | ISO 27001 · A.5.16 |
| Wszystkie aktywne tożsamości podlegają przeglądowi cyklicznie, co najmniej raz na kwartał; w przypadku mikropodmiotów — co najmniej raz w roku. | doradcze | — |
| Uśpione tożsamości są terminowo wyłączane lub usuwane po zdefiniowanym z góry okresie braku aktywności, o ile jest to wspierane. | doradcze | — |
| Dane uwierzytelniające są unikalne dla wszystkich aktywów podmiotu, a hasła liczą co najmniej 8 znaków dla kont chronionych MFA i co najmniej 14 znaków dla kont bez MFA. | doradcze | ISO 27001 · A.5.17 NIST CSF · PR.AA-03 |
| System zarządzania hasłami wymusza silne hasła, zapobiega użyciu haseł powszechnie używanych oraz skompromitowanych kombinacji nazwy użytkownika i hasła, nie wyświetla hasła podczas wprowadzania oraz przechowuje i przesyła hasła w formie chronionej. | doradcze | ISO 27001 · A.5.17 ISO 27001 · A.8.5 |
| Wykrycie potencjalnej próby naruszenia lub udanego naruszenia mechanizmów kontroli logowania generuje alert. | doradcze | ISO 27001 · A.8.16 ISO 27001 · A.8.5 NIST CSF · DE.CM-09 |
| MFA jest wymuszane w systemach dostępnych z internetu, takich jak poczta elektroniczna, pulpit zdalny i VPN. | doradcze | ISO 27001 · A.8.5 NIST CSF · PR.AA-03 |
Komplet wymagań tego obowiązku — 69 wierszy, generowanych z modelu przy każdej publikacji. Każde mapowanie na kontrolę ma w modelu pisemne uzasadnienie i ocenę dopasowania — na stronie pokazujemy cel mapowania. Wiersz bez chipa kontroli („—") to wymaganie, dla którego model nie wskazuje kontroli standardu — dobra praktyka lub norma, której standardy nie mierzą wprost. Wersja krajowa tych przepisów (wiąże każdy podmiot w swoim zakresie): Katalog środków bezpieczeństwa SZBI, Bezpieczna komunikacja w KSC, Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3), Ponowna weryfikacja niekaralności, Weryfikacja niekaralności.
Kolumna „kontrole" mówi Wam, gdzie tę samą rzecz mierzy Wasz certyfikat ISO albo profil NIST — jeśli kontrolę już macie wdrożoną i udokumentowaną, ta część ścieżki jest do reużycia, nie do budowy od zera.
Warstwa rozwiązań
Czym to zrealizować — rekomendacje referencyjne
Kontrole prowadzą do 22 kategorii rozwiązań (taksonomia ECSO); model wskazuje dla nich 13 rozwiązań referencyjnych; dla 8 kategorii — żadnego, i strona mówi to wprost. Wasze własne narzędzie tej samej kategorii też domyka ścieżkę.
CISO Assistant
Narzędzie open source do prowadzenia SZBI: rejestr ryzyk, plan postępowania, dowody skuteczności środków — z gotowymi ramami ISO 27001 i NIST CSF, na które mapuje ta ścieżka.
GLPI
Open source ITSM i ewidencja aktywów: inwentaryzacja systemów i usług, zgłoszenia, zmiany — baza faktów dla zarządzania aktywami i ciągłością.
Keycloak
Serwer tożsamości open source — realizacja polityk kontroli dostępu i zarządzania tożsamością: role, uprawnienia, MFA, federacja.
OpenBao
Open source zarządzanie sekretami i kluczami: przechowywanie haseł, certyfikatów i kluczy kryptograficznych z kontrolą dostępu i audytem.
Probo
Narzędzie open source do oceny i monitorowania dostawców: rejestr dostawców, oceny ryzyka, śledzenie zobowiązań umownych — operacyjna strona łańcucha dostaw.
Proxmox Backup Server
Open source serwer kopii zapasowych: deduplikacja, szyfrowanie, weryfikacja kopii i odtwarzanie — techniczny fundament planów ciągłości i odtworzenia.
Smallstep step-ca
Open source urząd certyfikacji (Smallstep step-ca): automatyczne wystawianie i odnawianie certyfikatów — PKI dla systemów i usług.
StackRox
Open source bezpieczeństwo Kubernetes: wykrywanie włamań i anomalii w kontenerach, polityki wdrożeniowe, skanowanie obrazów.
Szablon: Metodyka zarządzania ryzykiem
Autorski szablon metodyki szacowania i postępowania z ryzykiem — kryteria, skale, rejestr i cykl przeglądów pod wymagania SZBI.
Szablon: Polityka bezpieczeństwa łańcucha dostaw
Autorski szablon polityki domykający wymagania organizacyjne łańcucha dostaw — rola w łańcuchu, kryteria wyboru dostawców, blok klauzul umownych do wpięcia w umowy.
Szablon: Polityka bezpieczeństwa zasobów ludzkich
Autorski szablon polityki bezpieczeństwa zasobów ludzkich — obowiązki przed zatrudnieniem, w trakcie i po jego zakończeniu, weryfikacja, szkolenia, sankcje.
Szablon: Polityka nadrzędna bezpieczeństwa informacji
Dokument, od którego zaczyna się SZBI: ramy systemu, polityki tematyczne, role i przeglądy — autorski szablon polityki nadrzędnej bezpieczeństwa informacji.
Wazuh
Platforma open source SIEM z wykrywaniem włamań: zbieranie i korelacja logów, monitorowanie integralności plików, wykrywanie podatności — rdzeń monitorowania w trybie ciągłym.
Data Leakage Prevention · Digital Signature · Firewalls / NextGen Firewalls · Hardware Security Modules (HSM) · PC/Mobile/End Point Security · Security Operations Center (SOC) · Software & Security Lifecycle Management · Wireless Security — bez rekomendacji w modelu
Kontrole prowadzą też do tych kategorii, ale model nie wskazuje dla nich rozwiązania referencyjnego. Wasze własne narzędzie tej kategorii domyka ścieżkę tak samo.
Uczciwie o granicach
Czego ta ścieżka nie zrobi za Was
Nie zastąpi dowodów operacyjnych
Ścieżka daje strukturę i uzasadnienia — mapę tego, co wykazać. Zapisy, decyzje, logi i podpisane dokumenty musicie wytworzyć u siebie; o oczekiwaniach audytora więcej na stronie audyt KSC/NIS2.
Chcecie przejść tę ścieżkę z przewodnikiem?
Inteca poprowadzi wdrożenie warstwa po warstwie: od wymagań przepisu, przez kontrole standardów, po narzędzia i bazę dowodową pod audyt.