Ścieżka zgodności · CIR 2024/2690
Kontrola dostępu — jak spełnić załącznik pkt 11 CIR 2024/2690 krok po kroku
Odpowiednie podmioty ustanawiają i utrzymują politykę kontroli dostępu (logiczną i fizyczną), zarządzają prawami dostępu i ich przeglądami, prowadzą politykę kont uprzywilejowanych i kont administracji systemu, ograniczają korzystanie z systemów administracji, zarządzają cyklem życia tożsamości oraz wdrażają bezpieczne uwierzytelnianie, w tym — w stosownych przypadkach, zgodnie z klasyfikacją aktywów — uwierzytelnianie wieloskładnikowe lub ciągłe. Poniżej ta norma rozłożona na warstwy: wymagania → kontrole standardów → rozwiązania, a przy każdym wymaganiu rezultat NIST CSF 2.0, któremu ono służy. Zacznijcie od pytania, czy ten obowiązek Was wiąże — odpowiedź jest pierwszą sekcją pod spodem.
Krok zero
Kogo wiąże ten obowiązek?
Zanim przeczytacie choć jedno wymaganie — sprawdźcie, czy ta ścieżka jest Wasza. Odpowiedź nie jest pisana ręcznie: wynika z zakresu obowiązku zapisanego w modelu prawnym.
Dostawcy cyfrowi z art. 8b ust. 1 UKSC
Dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), dostawcy usług chmurowych, dostawcy usługi centrum przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, dostawcy internetowych platform handlowych, dostawcy wyszukiwarek internetowych oraz dostawcy platform usług sieci społecznościowych. Dla Was rozporządzenie CIR 2024/2690 jest obowiązkiem — ta ścieżka to Wasza lista zadań.
Pozostałe podmioty kluczowe i ważne
CIR Was nie obowiązuje — art. 8b ust. 2 UKSC odsyła do przyszłych aktów wykonawczych Komisji Europejskiej dla Waszego rodzaju podmiotu. Wasz wiążący obowiązek to art. 8b ust. 2 UKSC — tę ścieżkę czytajcie jako sprawdzony wzorzec, nie jako listę wymagań audytora.
Sprawdźcie swój rodzaj podmiotu
Klasa podmiotu to nie wszystko — decyduje rodzaj podmiotu, sektor i wielkość. Kwalifikator KSC wskaże Wasz rodzaj, a wynik powie wprost, czy ten obowiązek jest w Waszym katalogu.
Ten blok wygląda tak samo na każdej ścieżce: obowiązek z UKSC pokaże tu klasy podmiotów (kluczowy / ważny / publiczny), obowiązek z CIR — dostawców cyfrowych. Dyrektywa NIS2 nie ma własnych ścieżek — pokazujemy ją niżej, jako źródło obowiązku.
Skąd ten obowiązek
Zdanie dyrektywy i akty, które je wypełniają
Dyrektywa NIS2 wiąże państwa, nie Was — dlatego nie ma osobnej ścieżki. Konkrety dopisały akty, które ją wykonują — ten, na którym jesteście, i jego krajowe odbicie.
Art. 21 ust. 2 lit. i–j NIS2
lit. i „Środki zarządzania ryzykiem obejmują bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami."
lit. j „Stosowanie MFA/uwierzytelniania ciągłego oraz zabezpieczonej komunikacji bieżącej i awaryjnej, w stosownych przypadkach"
Tyle mówi dyrektywa. Co konkretnie zrobić — mówią akty obok. Treść cytowana z modelu, nie przepisywana.
Załącznik pkt 11 CIR 2024/2690
„11.1.1. Do celów art. 21 ust. 2 lit. i) dyrektywy (UE) 2022/2555 odpowiednie podmioty ustanawiają, dokumentują i wdrażają logiczną i fizyczną politykę kontroli dostępu w odniesieniu do dostępu do swoich sieci i systemów informatycznych w oparciu o wymogi biznesowe, a także wymogi w zakresie bezpieczeństwa sieci i…"
Komisja Europejska rozpisała lit. i, lit. j na 46 wymagań wiążących — ale tylko dla dostawców cyfrowych z art. 8b ust. 1 UKSC. To jest ścieżka, na której jesteście. Treść cytowana z modelu, nie pisana.
Te same przepisy w ustawie o KSC
Polska przeniosła te same przepisy do ustawy — tam wiążą one podmioty w klasach z zakresu każdego z tych obowiązków, także dostawców cyfrowych.
- Katalog środków bezpieczeństwa SZBI (art. 8 ust. 1 UKSC · kluczowy i ważny)
- Bezpieczna komunikacja w KSC (art. 8 ust. 1 UKSC · kluczowy i ważny)
- Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3) (art. 8 ust. 3 UKSC · tylko ważny (sektor publiczny))
- Ponowna weryfikacja niekaralności (art. 8f UKSC · kluczowy i ważny)
- Weryfikacja niekaralności (art. 8f UKSC · kluczowy i ważny)
Przebieg ścieżki
Od rozporządzenia do narzędzia i szablonu
Diagram pokazuje jedną nitkę ścieżki — wymaganie 46 z 46 wiążących — w komplecie warstw. Tabela niżej rozwija pozostałe wymagania.
przepis
obowiązek
wymaganie
rezultat NIST CSF
kontrola standardu
rozwiązanie
Diagram wygenerowany z żywego modelu IRNIS przy publikacji tej strony.
Warstwa wymagań i kontroli
Wymagania tego obowiązku i ich odpowiedniki w standardach
Każdy wiersz to jedno atomowe wymaganie — dokładnie w brzmieniu z modelu, o które zapyta audytor — z kontrolami, na które mapuje je model, i rozwiązaniami referencyjnymi, które te kontrole realizują. Wiersze pogrupowane po charakterze wymagania.
| Wymaganie (brzmienie z modelu) | Charakter | Kontrole standardów | Rezultat NIST CSF 2.0 |
|---|---|---|---|
| Organizacja i politykiwymagania wiążące — organizacyjne | |||
| Podmiot ustanawia, dokumentuje i wdraża logiczną i fizyczną politykę kontroli dostępu w odniesieniu do dostępu do swoich sieci i systemów informatycznych w oparciu o wymogi biznesowe, a także wymogi w zakresie bezpieczeństwa sieci i systemów informatycznych. | organizacyjne | ENISA TIG · 11.1.1-01 ENISA TIG · 11.1.2-04 ENISA TIG · 13.3.1-02 ISO 27001 · A.5.15 → Keycloak |
PR.AA-05 PR.AA-06 |
| Polityka kontroli dostępu dotyczy dostępu osób, w tym pracowników, odwiedzających i podmiotów zewnętrznych, takich jak dostawcy i usługodawcy. | organizacyjne | ENISA TIG · 11.1.2-01 ISO 27001 · A.5.15 → Keycloak |
PR.AA-05 PR.AA-06 |
| Polityka kontroli dostępu dotyczy dostępu sieci i systemów informatycznych. | organizacyjne | ENISA TIG · 11.1.2-01 ISO 27001 · A.5.15 → Keycloak |
PR.AA-05 |
| Podmiot przydziela i odwołuje prawa dostępu w oparciu o zasadę ograniczonego dostępu, zasadę przydzielania jak najmniejszych uprawnień i zasadę podziału obowiązków. | organizacyjne | CIS Controls · 3.3 CIS Controls · 6.8 ENISA TIG · 11.2.2-01 ENISA TIG · 11.2.2-02 ENISA TIG · 11.2.2-03 ISO 27001 · A.5.18 ISO 27001 · A.5.3 → CISO Assistant · Keycloak · Probo |
PR.AA-05 |
| Podmiot prowadzi politykę zarządzania kontami uprzywilejowanymi i kontami administracji systemu w ramach polityki kontroli dostępu. | organizacyjne | CIS Controls · 5.4 ENISA TIG · 11.3.1-02 ENISA TIG · 11.3.1-03 ISO 27001 · A.5.15 ISO 27001 · A.8.2 → Keycloak |
PR.AA-01 PR.AA-05 |
| Podmiot zarządza pełnym cyklem życia tożsamości sieci i systemów informatycznych oraz ich użytkowników. | organizacyjne | CIS Controls · 5.1 CIS Controls · 5.6 ENISA TIG · 11.5.1-01 ISO 27001 · A.5.16 → Keycloak |
PR.AA-01 |
| Podmiot zapewnia nadzór nad tożsamością w sieciach i systemach informatycznych. | organizacyjne | CIS Controls · 12.5 CIS Controls · 5.6 CIS Controls · 6.7 ENISA TIG · 11.5.2-01 ISO 27001 · A.5.16 → Keycloak |
PR.AA-01 |
| Procesy i procedurywymagania wiążące — proceduralne | |||
| Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji polityki kontroli dostępu w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub poziomie ryzyka. | proceduralne | ENISA TIG · 11.1.3-01 ISO 27001 · A.5.1 → CISO Assistant · Probo · Szablon: Polityka nadrzędna bezpieczeństwa informacji |
GV.PO-02 |
| Podmiot zapewnia, zmienia, usuwa i dokumentuje prawa dostępu do sieci i systemów informatycznych zgodnie z polityką kontroli dostępu. | proceduralne | CIS Controls · 6.1 CIS Controls · 6.7 ENISA TIG · 11.2.2-03 ENISA TIG · 11.2.2-04 ENISA TIG · 13.3.2-05 ISO 27001 · A.5.18 → Keycloak |
PR.AA-05 |
| Prawa dostępu są odpowiednio zmieniane po zakończeniu lub zmianie zatrudnienia. | proceduralne | CIS Controls · 6.1 CIS Controls · 6.2 ENISA TIG · 11.2.2-04 ISO 27001 · A.5.18 → Keycloak |
GV.RR-04 PR.AA-05 |
| Dostęp do sieci i systemów informatycznych jest autoryzowany przez odpowiednie osoby. | proceduralne | ENISA TIG · 11.2.2-03 ENISA TIG · 13.3.2-06 ISO 27001 · A.5.18 → Keycloak |
PR.AA-05 |
| Prawa dostępu odpowiednio uwzględniają dostęp osób trzecich, takich jak odwiedzający, dostawcy i usługodawcy, w szczególności poprzez ograniczenie zakresu i czasu trwania praw dostępu. | proceduralne | ENISA TIG · 11.2.2-05 ENISA TIG · 11.2.2-06 ISO 27001 · A.5.18 ISO 27001 · A.5.19 → CISO Assistant · Keycloak · Probo · Szablon: Polityka bezpieczeństwa łańcucha dostaw |
PR.AA-05 PR.AA-06 |
| Podmiot prowadzi rejestr przyznanych praw dostępu. | proceduralne | CIS Controls · 5.1 CIS Controls · 6.8 ENISA TIG · 11.2.2-07 ENISA TIG · 13.3.2-07 ISO 27001 · A.5.18 → Keycloak |
PR.AA-05 |
| Podmiot dokonuje przeglądu praw dostępu w zaplanowanych odstępach czasu i modyfikuje je w oparciu o zmiany organizacyjne. | proceduralne | CIS Controls · 6.8 ENISA TIG · 11.2.3-01 ENISA TIG · 11.2.3-03 ENISA TIG · 13.3.2-05 ISO 27001 · A.5.18 → Keycloak |
PR.AA-05 |
| Podmiot dokumentuje wyniki przeglądu praw dostępu, w tym niezbędne zmiany praw dostępu. | proceduralne | ENISA TIG · 11.2.2-07 ISO 27001 · A.5.18 → Keycloak |
PR.AA-05 |
| Podmiot dokonuje przeglądu praw dostępu do kont uprzywilejowanych i kont administracji systemu w zaplanowanych odstępach czasu i modyfikuje je w oparciu o zmiany organizacyjne. | proceduralne | ENISA TIG · 11.3.3-01 ISO 27001 · A.5.18 ISO 27001 · A.8.2 → Keycloak |
PR.AA-05 |
| Podmiot dokumentuje wyniki przeglądu praw dostępu do kont uprzywilejowanych i kont administracji systemu, w tym niezbędne zmiany praw dostępu. | proceduralne | ISO 27001 · A.8.2 → Keycloak |
PR.AA-05 |
| Tożsamości przypisane do wielu osób, w tym tożsamości współdzielone, są dopuszczane tylko wtedy, gdy jest to konieczne ze względów biznesowych lub operacyjnych, i podlegają wyraźnemu procesowi zatwierdzania i dokumentacji. | proceduralne | ENISA TIG · 11.5.3-01 ISO 27001 · A.5.16 → Keycloak |
ID.RA-07 PR.AA-01 |
| Podmiot uwzględnia tożsamości przypisane do wielu osób w ramach zarządzania ryzykiem w cyberbezpieczeństwie. | proceduralne | ENISA TIG · 11.5.3-01 ISO 27001 · 8.2 → CISO Assistant · Probo · Szablon: Metodyka zarządzania ryzykiem |
ID.RA-07 |
| Podmiot regularnie dokonuje przeglądu tożsamości w sieciach i systemach informatycznych oraz ich użytkowników. | proceduralne | CIS Controls · 5.1 CIS Controls · 5.5 ENISA TIG · 11.5.4-01 ISO 27001 · A.5.16 → Keycloak |
PR.AA-01 |
| Podmiot kontroluje przydzielanie użytkownikom tajnych informacji uwierzytelniających i zarządzanie nimi za pomocą procesu zapewniającego poufność informacji, w tym doradza pracownikom w zakresie właściwego postępowania z informacjami uwierzytelniającymi. | proceduralne | ENISA TIG · 11.6.2-02 ISO 27001 · A.5.17 → Keycloak · OpenBao · Smallstep step-ca |
PR.AA-01 PR.AA-02 PR.AT-01 |
| Podmiot dokonuje przeglądu procedur i technologii uwierzytelniania w zaplanowanych odstępach czasu. | proceduralne | ENISA TIG · 11.6.4-01 ISO 27001 · A.5.1 ISO 27001 · 9.1 → CISO Assistant · Probo · Szablon: Metodyka zarządzania ryzykiem · Szablon: Polityka nadrzędna bezpieczeństwa informacji |
ID.IM-03 PR.AA-03 |
| Technikawymagania wiążące — techniczne | |||
| Polityka kontroli dostępu zapewnia, aby dostęp był przyznawany wyłącznie użytkownikom, którzy zostali odpowiednio uwierzytelnieni. | techniczne | ENISA TIG · 11.6.2-01 ISO 27001 · A.8.5 → Keycloak · OpenBao · Smallstep step-ca |
PR.AA-03 |
| Podmiot stosuje logowanie do zarządzania prawami dostępu. | techniczne | ENISA TIG · 11.2.2-09 ISO 27001 · A.5.18 ISO 27001 · A.8.15 → Keycloak · Wazuh |
PR.PS-04 |
| Polityka zarządzania kontami uprzywilejowanymi i kontami administracji systemu ustanawia silną identyfikację, uwierzytelnianie, takie jak uwierzytelnianie wieloskładnikowe, oraz procedury autoryzacji kont uprzywilejowanych i kont administracji systemu. | techniczne | CIS Controls · 6.5 ENISA TIG · 11.3.2-01 ENISA TIG · 11.4.2-03 ISO 27001 · A.8.2 ISO 27001 · A.8.5 → Keycloak · OpenBao · Smallstep step-ca |
PR.AA-03 |
| Polityka zarządzania kontami uprzywilejowanymi i kontami administracji systemu ustanawia specjalne konta wykorzystywane wyłącznie do działań administracyjnych systemu, takich jak instalacja, konfiguracja, zarządzanie lub konserwacja. | techniczne | CIS Controls · 5.4 ENISA TIG · 11.3.2-08 ISO 27001 · A.8.2 → Keycloak |
PR.AA-01 PR.AA-05 |
| Przywileje związane z administrowaniem systemem są w jak największym stopniu zindywidualizowane i ograniczone. | techniczne | ENISA TIG · 11.3.1-01 ENISA TIG · 11.3.2-02 ENISA TIG · 11.3.2-03 ENISA TIG · 11.3.2-04 ENISA TIG · 11.3.2-07 ISO 27001 · A.8.2 → Keycloak |
PR.AA-05 |
| Konta administracji systemu są wykorzystywane wyłącznie do łączenia się z systemami administracji systemu. | techniczne | CIS Controls · 5.4 ENISA TIG · 11.3.2-08 ISO 27001 · A.8.2 → Keycloak |
PR.AA-05 |
| Podmiot ogranicza i kontroluje korzystanie z systemów administracji systemu zgodnie z polityką kontroli dostępu. | techniczne | ENISA TIG · 11.4.1-01 ISO 27001 · A.8.18 ISO 27001 · A.8.2 → Keycloak |
PR.AA-05 PR.IR-01 |
| Systemy administracji systemu są wykorzystywane wyłącznie do celów administracji systemem, a nie do jakichkolwiek innych operacji. | techniczne | CIS Controls · 12.8 ENISA TIG · 11.4.2-01 ISO 27001 · A.8.18 ISO 27001 · A.8.2 → Keycloak |
PR.AA-05 PR.IR-01 |
| Systemy administracji systemu są logicznie oddzielone od oprogramowania użytkowego, które nie jest wykorzystywane do celów administracji systemu. | techniczne | CIS Controls · 12.8 ENISA TIG · 11.4.2-02 ISO 27001 · A.8.18 ISO 27001 · A.8.22 → Keycloak |
PR.IR-01 |
| Dostęp do systemów administracji systemu jest chroniony poprzez uwierzytelnianie i szyfrowanie. | techniczne | CIS Controls · 12.3 CIS Controls · 4.6 CIS Controls · 6.5 ENISA TIG · 11.4.2-04 ENISA TIG · 11.4.2-05 ISO 27001 · A.8.24 ISO 27001 · A.8.5 → Keycloak · OpenBao · Proxmox Backup Server · Smallstep step-ca |
PR.AA-03 PR.DS-02 |
| Podmiot ustanawia niepowtarzalne tożsamości dla sieci i systemów informatycznych oraz ich użytkowników. | techniczne | ENISA TIG · 11.5.1-01 ISO 27001 · A.5.16 → Keycloak |
PR.AA-01 |
| Tożsamość użytkownika jest połączona z jedną osobą. | techniczne | ENISA TIG · 11.2.2-10 ISO 27001 · A.5.16 → Keycloak |
PR.AA-01 PR.AA-02 |
| Podmiot stosuje logowanie do zarządzania tożsamościami. | techniczne | ENISA TIG · 11.5.2-02 ISO 27001 · A.5.16 ISO 27001 · A.8.15 → Keycloak · Wazuh |
PR.PS-04 |
| Podmiot niezwłocznie dezaktywuje tożsamości w sieciach i systemach informatycznych oraz tożsamości ich użytkowników. | techniczne | CIS Controls · 5.3 CIS Controls · 6.2 ENISA TIG · 11.5.4-02 ISO 27001 · A.5.16 → Keycloak |
PR.AA-01 |
| Podmiot wdraża procedury i technologie bezpiecznego uwierzytelniania w oparciu o ograniczenia dostępu i politykę kontroli dostępu. | techniczne | CIS Controls · 12.5 ENISA TIG · 11.6.2-01 ISO 27001 · A.8.5 → Keycloak · OpenBao · Smallstep step-ca |
PR.AA-03 |
| Siła uwierzytelnienia jest odpowiednia do klasyfikacji składnika aktywów, do którego ma być uzyskany dostęp. | techniczne | CIS Controls · 5.2 ENISA TIG · 11.6.3-01 ENISA TIG · 11.6.3-02 ISO 27001 · A.8.5 → Keycloak · OpenBao · Smallstep step-ca |
PR.AA-03 |
| Zmiana danych uwierzytelniających jest wymagana na początku, w określonych z góry odstępach czasu oraz w przypadku podejrzenia, że dane uwierzytelniające zostały naruszone. | techniczne | ENISA TIG · 11.6.2-03 ISO 27001 · A.5.17 → Keycloak · OpenBao · Smallstep step-ca |
PR.AA-01 |
| Po określonej z góry liczbie nieudanych prób logowania wymagane jest resetowanie danych uwierzytelniających i blokowanie użytkownika. | techniczne | CIS Controls · 4.10 ENISA TIG · 11.6.2-05 ISO 27001 · A.8.5 → Keycloak · OpenBao · Smallstep step-ca |
PR.AA-03 |
| Nieaktywne sesje są kończone po wcześniej zdefiniowanym okresie bezczynności. | techniczne | CIS Controls · 4.3 ISO 27001 · A.8.5 → Keycloak · OpenBao · Smallstep step-ca |
PR.AA-03 |
| Dostęp do kont o uprzywilejowanym dostępie lub kont administracyjnych wymaga osobnych danych uwierzytelniających. | techniczne | CIS Controls · 5.4 ENISA TIG · 11.3.2-08 ISO 27001 · A.8.2 → Keycloak |
PR.AA-01 |
| Podmiot stosuje najnowocześniejsze metody uwierzytelniania zgodnie z powiązanym oszacowanym ryzykiem i klasyfikacją składnika aktywów, do którego ma być uzyskany dostęp. | techniczne | ENISA TIG · 11.6.3-01 ENISA TIG · 11.6.4-02 ISO 27001 · A.8.5 → Keycloak · OpenBao · Smallstep step-ca |
PR.AA-03 |
| Podmiot stosuje unikalne informacje uwierzytelniające. | techniczne | CIS Controls · 5.2 ENISA TIG · 11.6.2-01 ENISA TIG · 11.6.3-03 ISO 27001 · A.5.17 → Keycloak · OpenBao · Smallstep step-ca |
PR.AA-01 PR.AA-02 |
| Poziom uwierzytelnienia jest odpowiedni do klasyfikacji składnika aktywów, do którego ma być uzyskany dostęp. | techniczne | CIS Controls · 5.2 ENISA TIG · 11.6.3-02 ENISA TIG · 11.7.1-01 ISO 27001 · A.8.5 → Keycloak · OpenBao · Smallstep step-ca |
PR.AA-03 |
| Użytkownicy są uwierzytelniani za pomocą wielu czynników uwierzytelniania lub mechanizmów ciągłego uwierzytelniania w celu uzyskania dostępu do sieci i systemów informatycznych podmiotu. | techniczne | CIS Controls · 6.3 CIS Controls · 6.4 CIS Controls · 6.5 ENISA TIG · 11.7.1-01 ENISA TIG · 11.7.1-02 ENISA TIG · 11.7.2-01 ENISA TIG · 11.7.2-02 ENISA TIG · 11.7.2-04 ENISA TIG · 11.7.2-05 ENISA TIG · 11.7.2-06 ISO 27001 · A.8.5 → Keycloak · OpenBao · Smallstep step-ca |
PR.AA-03 |
Komplet wymagań tego obowiązku — 46 wierszy, generowanych z modelu przy każdej publikacji. Każde mapowanie na kontrolę ma w modelu pisemne uzasadnienie i ocenę dopasowania — na stronie pokazujemy cel mapowania. Rezultat NIST CSF 2.0 to cel, któremu służy wymaganie — nie kontrola; nie wlicza się do mapowań ani nie prowadzi do rozwiązań. Wersja krajowa tych przepisów (wiąże każdy podmiot w swoim zakresie): Katalog środków bezpieczeństwa SZBI, Bezpieczna komunikacja w KSC, Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3), Ponowna weryfikacja niekaralności, Weryfikacja niekaralności.
Kolumna „kontrole" mówi Wam, gdzie tę samą rzecz mierzy Wasz certyfikat ISO albo profil NIST — jeśli kontrolę już macie wdrożoną i udokumentowaną, ta część ścieżki jest do reużycia, nie do budowy od zera.
Dlaczego NIST CSF 2.0 stoi osobno
NIST CSF 2.0 opisuje rezultaty — „co ma być osiągnięte" — i sam odsyła po zabezpieczenia do katalogów takich jak ISO 27001 czy CIS. Dlatego na tej ścieżce rezultat CSF mówi, po co jest wymaganie, a kolumna kontroli — czym je spełnić.
Warstwa rozwiązań
Czym to zrealizować — rekomendacje referencyjne
Rozwiązanie trafia na ścieżkę tylko wtedy, gdy realizuje kontrolę, na którą mapuje wymaganie tego obowiązku. 10 rozwiązań obejmuje 46 z 46 wymagań. Wasze własne narzędzie realizujące te same kontrole domyka ścieżkę tak samo.
CISO Assistant
Narzędzie open source do prowadzenia SZBI: rejestr ryzyk, plan postępowania, dowody skuteczności środków — z gotowymi ramami ISO 27001 i NIST CSF, na które mapuje ta ścieżka.
Keycloak
Serwer tożsamości open source — realizacja polityk kontroli dostępu i zarządzania tożsamością: role, uprawnienia, MFA, federacja.
OpenBao
Open source zarządzanie sekretami i kluczami: przechowywanie haseł, certyfikatów i kluczy kryptograficznych z kontrolą dostępu i audytem.
Probo
Narzędzie open source do oceny i monitorowania dostawców: rejestr dostawców, oceny ryzyka, śledzenie zobowiązań umownych — operacyjna strona łańcucha dostaw.
Proxmox Backup Server
Open source serwer kopii zapasowych: deduplikacja, szyfrowanie, weryfikacja kopii i odtwarzanie — techniczny fundament planów ciągłości i odtworzenia.
Smallstep step-ca
Open source urząd certyfikacji (Smallstep step-ca): automatyczne wystawianie i odnawianie certyfikatów — PKI dla systemów i usług.
Szablon: Metodyka zarządzania ryzykiem
Autorski szablon metodyki szacowania i postępowania z ryzykiem — kryteria, skale, rejestr i cykl przeglądów pod wymagania SZBI.
Szablon: Polityka bezpieczeństwa łańcucha dostaw
Autorski szablon polityki domykający wymagania organizacyjne łańcucha dostaw — rola w łańcuchu, kryteria wyboru dostawców, blok klauzul umownych do wpięcia w umowy.
Szablon: Polityka nadrzędna bezpieczeństwa informacji
Dokument, od którego zaczyna się SZBI: ramy systemu, polityki tematyczne, role i przeglądy — autorski szablon polityki nadrzędnej bezpieczeństwa informacji.
Wazuh
Platforma open source SIEM z wykrywaniem włamań: zbieranie i korelacja logów, monitorowanie integralności plików, wykrywanie podatności — rdzeń monitorowania w trybie ciągłym.
Macie już własne narzędzie?
Ścieżka definiuje, co rozwiązanie musi realizować — nie narzuca produktu. Tabela wymagań wyżej to gotowa lista kontrolna do oceny narzędzia, które już posiadacie.
Uczciwie o granicach
Czego ta ścieżka nie zrobi za Was
Nie zastąpi dowodów operacyjnych
Ścieżka daje strukturę i uzasadnienia — mapę tego, co wykazać. Zapisy, decyzje, logi i podpisane dokumenty musicie wytworzyć u siebie; o oczekiwaniach audytora więcej na stronie audyt KSC/NIS2.
Chcecie przejść tę ścieżkę z przewodnikiem?
Inteca poprowadzi wdrożenie warstwa po warstwie: od wymagań przepisu, przez kontrole standardów, po narzędzia i bazę dowodową pod audyt.