Ścieżka zgodności · Ustawa o KSC

Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3) — jak spełnić art. 8 ust. 3 UKSC krok po kroku

Podmiot ważny będący podmiotem publicznym albo wskazaną uczelnią nie stosuje katalogu z art. 8 ust. 1, a zamiast tego opracowuje, wdraża, realizuje, monitoruje i utrzymuje w kontrolowanych przez siebie systemach informacyjnych system zarządzania bezpieczeństwem informacji spełniający wymogi załącznika nr 4 do ustawy. Poniżej ta norma rozłożona na warstwy: wymagania → kontrole standardów → rozwiązania, a przy każdym wymaganiu rezultat NIST CSF 2.0, któremu ono służy. Zacznijcie od pytania, czy ten obowiązek Was wiąże — odpowiedź jest pierwszą sekcją pod spodem.

wiąże: podmiot ważny — sektor publiczny art. 8 ust. 3 UKSC · załącznik nr 4 UKSC transponuje art. 21 ust. 1 · art. 21 ust. 2 lit. b–g, i NIS2 CIS Critical Security Controls v8.1 · ISO/IEC 27001:2022 · NIST SP 800-30 Rev. 1 · NIST SP 800-34 Rev. 1 · NIST SP 800-61 Rev. 3 rezultaty: NIST CSF 2.0
Zaplanujcie wdrożenie z Inteca Kontekst prawny: SZBI w KSC/NIS2
28 wymagań wiążących wyprowadzonych z art. 8 ust. 3 UKSC.
98 mapowań na 76 kontroli katalogów: CIS Critical Security Controls v8.1, ISO/IEC 27001:2022, NIST SP 800-30 Rev. 1, NIST SP 800-34 Rev. 1 i NIST SP 800-61 Rev. 3 — każde z pisemnym uzasadnieniem.
25 z 28 wymagań ma rozwiązanie referencyjne, które realizuje ich kontrole.
19 rozwiązań referencyjnych na końcu ścieżki: narzędzia open source i szablony dokumentów Inteca, każde przypisane do kontroli, które realizuje.
Ta strona a strona tematyczna: strona SZBI w KSC/NIS2 odpowiada „co i dlaczego musicie" — ścieżka odpowiada „jak i czym to zrealizować". Jak czytać warstwy ścieżki, tłumaczy strona przeglądowa ścieżek.
Krok zero

Kogo wiąże ten obowiązek?

Zanim przeczytacie choć jedno wymaganie — sprawdźcie, czy ta ścieżka jest Wasza. Odpowiedź nie jest pisana ręcznie: wynika z zakresu obowiązku zapisanego w modelu prawnym.

wiąże wprost

Podmioty ważne — sektor publiczny

Ten obowiązek wiąże podmioty ważne z sektora publicznego. Jeśli jesteście w wykazie w tej klasie, ta ścieżka jest Waszą listą zadań.

inny przepis

Podmioty kluczowe i Podmioty ważne

Ten obowiązek Was nie wiąże — art. 8 ust. 1 UKSC daje Wam własny zestaw wymagań. Wasza ścieżka to Katalog środków bezpieczeństwa SZBI.

nie wiecie?

Sprawdźcie swój rodzaj podmiotu

Klasa podmiotu to nie wszystko — decyduje rodzaj podmiotu, sektor i wielkość. Kwalifikator KSC wskaże Wasz rodzaj, a wynik powie wprost, czy ten obowiązek jest w Waszym katalogu.

Ten blok wygląda tak samo na każdej ścieżce: obowiązek z UKSC pokaże tu klasy podmiotów (kluczowy / ważny / publiczny), obowiązek z CIR — dostawców cyfrowych. Dyrektywa NIS2 nie ma własnych ścieżek — pokazujemy ją niżej, jako źródło obowiązku.

Skąd ten obowiązek

Art. 21 ust. 1 · art. 21 ust. 2 lit. b–g, i NIS2 → art. 8 ust. 3 UKSC

Dyrektywa NIS2 wiąże państwa, nie Was — dlatego nie ma osobnej ścieżki. Ma za to 9 przepisów ogólnych, które Polska przeniosła do tego przepisu ustawy, a Komisja Europejska rozpisała na szczegóły dla dostawców cyfrowych.

źródło · dyrektywa

Art. 21 ust. 1 · art. 21 ust. 2 lit. b–g, i NIS2

art. 21 ust. 1 NIS2 „Wprowadzenie odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych zarządzania ryzykiem, zapewniających poziom bezpieczeństwa odpowiedni do istniejącego ryzyka"

art. 21 ust. 2 NIS2 „Środki zarządzania ryzykiem bazują na podejściu uwzględniającym wszystkie zagrożenia, mają na celu ochronę sieci i systemów informatycznych oraz środowiska fizycznego tych systemów przed incydentami i obejmują CO NAJMNIEJ elementy wyliczone w lit. a–j (norma minimum katalogu; treść poszczególnych elementów niosą obowiązki OB_NIS2_21_2_a … OB_NIS2_21_2_j)."

lit. b „Środki zarządzania ryzykiem obejmują obsługę incydentu."

lit. c „Środki zarządzania ryzykiem obejmują ciągłość działania, np. zarządzanie kopiami zapasowymi i przywracanie normalnego działania po wystąpieniu sytuacji nadzwyczajnej, i zarządzanie kryzysowe."

lit. d „Środki zarządzania ryzykiem obejmują bezpieczeństwo łańcucha dostaw, w tym aspekty związane z bezpieczeństwem dotyczące stosunków między każdym podmiotem a jego bezpośrednimi dostawcami lub usługodawcami."

lit. e „Środki zarządzania ryzykiem obejmują bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych, w tym postępowanie w przypadku podatności i ich ujawnianie."

lit. f „Środki zarządzania ryzykiem obejmują polityki i procedury służące ocenie skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie."

lit. g „Środki zarządzania ryzykiem obejmują podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa."

lit. i „Środki zarządzania ryzykiem obejmują bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami."

Model łączy ten obowiązek z 9 przepisami dyrektywy relacją „transponuje", z oceną „równoważna".

ta ścieżka · UKSC

Art. 8 ust. 3 UKSC i załącznik nr 4 UKSC

„Podmiot ważny będący podmiotem publicznym albo podmiotem, o którym mowa w art. 7 ust. 1 pkt 1–4 i 6–7 ustawy z dnia 20 lipca 2018 r. – Prawo o szkolnictwie wyższym i nauce, niebędącym organizacją badawczą w zakresie, w jakim realizuje zadania publiczne z wykorzystaniem systemów informacyjnych, nie stosuje przepisu ust.…"

Polska przeniosła te przepisy do ustawy — to wiersze tabeli niżej (28 wymagań wiążących). Treść cytowana z modelu, nie pisana.

doprecyzowanie · CIR

Jesteście dostawcą cyfrowym? Komisja rozpisała te przepisy

Rozporządzenie wykonawcze CIR 2024/2690 rozkłada te same przepisy dyrektywy na szczegółowe wymagania — ale wiąże tylko dostawców cyfrowych z art. 8b ust. 1 UKSC. Oni realizują ten katalog przez ścieżki CIR; dla pozostałych podmiotów CIR to wzorzec, nie obowiązek.

Przebieg ścieżki

Od ustawy do narzędzia i szablonu

Diagram pokazuje jedną nitkę ścieżki — wymaganie 15 z 28 wiążących — w komplecie warstw. Tabela niżej rozwija pozostałe wymagania.

Przepis Obowiązek Wymaganie Kontrola standardu Rozwiązanie Ustawa o KSC art. 8 ust. 3 i załącznik nr 4 transponuje art. 21 ust. 1 · art. 21 ust. 2 lit. b–g, i NIS2 Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3) wiąże: podmiot ważny — sektor publiczny 28 wymagań wiążących 19 rozwiązań referencyjnych OB_KSC_8_3_REZIM Wymaganie 15 z 28 „System zarządzania bezpieczeństwem informacji obejmuje ustanowienie podstawowych zasad gwarantujących bezpieczną pracę przy przetwarzaniu mobilnym i…" wymaganie 15 z 28 · wiążące WYM_KSC_ZAL4_14 CIS Critical Security Controls v8.1 12.7 — VPN i firmowe AAA dla urządzeń zdalnych jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 13.5 — Kontrola dostępu dla aktywów zdalnych jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 14.8 — Szkolenie o zagrożeniach niezabezpieczonych sieci jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 4.11 — Zdalne czyszczenie urządzeń przenośnych jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 4.12 — Wydzielona przestrzeń służbowa na urządzeniach mobilnych jakość: jeden ze sposobów realizacji ISO/IEC 27001:2022 A.6.7 — Zasady bezpiecznej pracy zdalnej i mobilnej jakość: realizuje wprost ISO/IEC 27001:2022 A.7.9 — Ochrona urządzeń i danych wykorzystywanych poza biurem jakość: jeden ze sposobów realizacji ISO/IEC 27001:2022 A.8.1 — Zarządzanie urządzeniami użytkowników końcowych jakość: jeden ze sposobów realizacji Keycloak narzędzie Probo narzędzie nakłada uszczegóławia mapuje na realizuje służy rezultatowi REZULTATY · NIST CSF 2.0 GV.PO-01, PR.AA-03, PR.DS-01 +2 GV.PO-01 — Polityka zarządzania ryzykiem ustanowiona i egzekwowana PR.AA-03 — Użytkownicy, usługi i sprzęt uwierzytelniani PR.DS-01 — Dane w spoczynku chronione cele do osiągnięcia — nie kontrole
przepis obowiązek wymaganie rezultat NIST CSF kontrola standardu rozwiązanie
Diagram wygenerowany z żywego modelu IRNIS przy publikacji tej strony.
Warstwa wymagań i kontroli

Wymagania tego obowiązku i ich odpowiedniki w standardach

Każdy wiersz to jedno atomowe wymaganie — dokładnie w brzmieniu z modelu, o które zapyta audytor — z kontrolami, na które mapuje je model, i rozwiązaniami referencyjnymi, które te kontrole realizują. Wiersze pogrupowane po charakterze wymagania.

Wymaganie (brzmienie z modelu) Charakter Kontrole standardów Rezultat NIST CSF 2.0
Organizacja i politykiwymagania wiążące — organizacyjne
Podmiot nie stosuje przepisu art. 8 ust. 1 ustawy. organizacyjne ISO 27001 · A.5.31
→ CISO Assistant · Probo · Szablon: Polityka nadrzędna bezpieczeństwa informacji
 GV.OC-03
Podmiot opracowuje, wdraża, realizuje, monitoruje i utrzymuje w systemach informacyjnych kontrolowanych przez ten podmiot system zarządzania bezpieczeństwem informacji spełniający wymogi określone w załączniku nr 4 do ustawy. organizacyjne ISO 27001 · 4.3 ISO 27001 · 4.4
→ CISO Assistant · Probo · Szablon: Polityka nadrzędna bezpieczeństwa informacji
 GV.OV-03 GV.PO-01 GV.RM-01 GV.RR-02
System zarządzania bezpieczeństwem informacji obejmuje inwentaryzację produktów ICT, usług ICT i procesów ICT służących do przetwarzania informacji. organizacyjne CIS Controls · 16.4 CIS Controls · 1.1 CIS Controls · 2.1 CIS Controls · 2.4 ISO 27001 · A.5.9 NIST SP 800-61 · ID.AM-01.R1 NIST SP 800-61 · ID.AM-02.R1
→ CISO Assistant · GLPI · Probo
 ID.AM-01 ID.AM-02
System zarządzania bezpieczeństwem informacji obejmuje zapewnienie ochrony przetwarzanych informacji przed ich kradzieżą, nieuprawnionym dostępem, uszkodzeniami lub zakłóceniami. organizacyjne CIS Controls · 3.10 CIS Controls · 3.11 CIS Controls · 3.13 CIS Controls · 3.6 ISO 27001 · A.5.15
→ Keycloak
 PR.DS-01 PR.DS-02 PR.DS-10
W przypadku korzystania z usług dostawcy chmury obliczeniowej lub dostawcy usługi centrum przetwarzania danych ochrona przetwarzanych informacji obejmuje udokumentowanie mechanizmów zapewnienia ochrony przetwarzanych informacji przed ich kradzieżą, nieuprawnionym dostępem, uszkodzeniami lub zakłóceniami. organizacyjne ISO 27001 · A.5.20 ISO 27001 · A.5.23
→ CISO Assistant · Probo · Szablon: Polityka bezpieczeństwa łańcucha dostaw
 GV.SC-05 GV.SC-07
System zarządzania bezpieczeństwem informacji obejmuje dopuszczenie do informacji wyłącznie osób posiadających stosowne uprawnienia do systemów informacyjnych, w tym systemów operacyjnych, usług sieciowych i aplikacji. organizacyjne CIS Controls · 3.3 ISO 27001 · A.5.15
→ Keycloak
 PR.AA-05
System zarządzania bezpieczeństwem informacji obejmuje stosowanie zasad przyznania minimalnych uprawnień niezbędnych dla realizacji zadań. organizacyjne CIS Controls · 3.3 CIS Controls · 5.4 CIS Controls · 6.8 ISO 27001 · A.5.15
→ Keycloak
 PR.AA-05
System zarządzania bezpieczeństwem informacji obejmuje ustanowienie podstawowych zasad gwarantujących bezpieczną pracę przy przetwarzaniu mobilnym i pracy na odległość. organizacyjne CIS Controls · 12.7 CIS Controls · 13.5 CIS Controls · 14.8 CIS Controls · 4.11 CIS Controls · 4.12 ISO 27001 · A.6.7 ISO 27001 · A.7.9 ISO 27001 · A.8.1
→ Keycloak · Probo
 GV.PO-01 PR.AA-03 PR.DS-01 PR.DS-02 PR.IR-01
System zarządzania bezpieczeństwem informacji obejmuje stosowanie zasad cyberhigieny przez pracowników korzystających z systemów informacyjnych, w tym kierownika podmiotu. organizacyjne ISO 27001 · A.5.10 ISO 27001 · A.6.3
→ CISO Assistant · Probo · Szablon: Program budowania świadomości bezpieczeństwa
 PR.AT-01
System zarządzania bezpieczeństwem informacji obejmuje stosowanie środków minimalizujących wystąpienie incydentów przez szkolenie osób zaangażowanych w proces przetwarzania informacji, ze szczególnym uwzględnieniem rodzajów cyberzagrożeń, podstawowych zasad cyberhigieny, reagowania na wystąpienie incydentu oraz świadomości skutków naruszenia zasad bezpieczeństwa informacji. organizacyjne CIS Controls · 14.1 CIS Controls · 14.2 CIS Controls · 14.5 CIS Controls · 14.6 ISO 27001 · A.6.3 NIST SP 800-61 · PR.AT-02.R1
→ Szablon: Program budowania świadomości bezpieczeństwa
 PR.AT-01
Procesy i procedurywymagania wiążące — proceduralne
System zarządzania bezpieczeństwem informacji obejmuje bezzwłoczne cofanie przyznanych uprawnień w przypadku stwierdzenia braku podstawy dostępu do informacji na stałe. proceduralne CIS Controls · 6.2 ISO 27001 · A.5.18
→ Keycloak
 PR.AA-05
System zarządzania bezpieczeństwem informacji obejmuje zawieszanie uprawnień w przypadku niewykonywania obowiązków co najmniej przez jeden miesiąc. proceduralne CIS Controls · 5.3 ISO 27001 · A.5.18
→ Keycloak
 PR.AA-05
System zarządzania bezpieczeństwem informacji obejmuje modyfikację zakresu przyznanych uprawnień, jeżeli jest to zasadne z uwagi na zmianę charakteru wykonywanych zadań i zakresu dostępu do informacji. proceduralne CIS Controls · 6.1 CIS Controls · 6.2 ISO 27001 · A.5.18
→ Keycloak
 PR.AA-05
System zarządzania bezpieczeństwem informacji obejmuje testowanie pod kątem kompletności i możliwości odtworzenia danych zawartych w zapasowych kopiach. proceduralne CIS Controls · 11.5 ISO 27001 · A.8.13 NIST SP 800-34 · 3.5.1
→ Proxmox Backup Server
 PR.DS-11 RC.RP-03
System zarządzania bezpieczeństwem informacji obejmuje przygotowanie procedury stosowanej w przypadku wystąpienia awarii lub incydentu. proceduralne CIS Controls · 17.4 ISO 27001 · A.5.24 NIST SP 800-34 · 4.3.2 NIST SP 800-61 · GV.PO.R1
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 ID.IM-04
System zarządzania bezpieczeństwem informacji obejmuje testowanie procedury stosowanej w przypadku wystąpienia awarii lub incydentu. proceduralne CIS Controls · 17.7 ISO 27001 · A.5.30 NIST SP 800-34 · 3.5.1
→ CISO Assistant · Proxmox Backup Server · Szablon: Plan ciągłości działania z BIA
 ID.IM-02
System zarządzania bezpieczeństwem informacji obejmuje monitorowanie częstotliwości wydawania kolejnych wersji produktów ICT, źródeł dystrybucji produktów ICT oraz cyklu życia produktów ICT w celu zapewnienia bezpieczeństwa systemu informacyjnego. proceduralne CIS Controls · 12.1 CIS Controls · 15.6 CIS Controls · 2.2 CIS Controls · 9.1 ISO 27001 · A.8.8
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 ID.AM-08
System zarządzania bezpieczeństwem informacji obejmuje określenie procedur i zasad działania podmiotu na wypadek wystąpienia cyberzagrożenia lub w przypadku wystąpienia incydentu. proceduralne CIS Controls · 17.4 ISO 27001 · A.5.24 NIST SP 800-61 · GV.PO.R1
→ DFIR-IRIS · Szablon: Plan reagowania na incydenty i komunikacji
 ID.IM-04
Podmiot dokonuje przeglądu systemu zarządzania bezpieczeństwem informacji co najmniej raz w roku. proceduralne ISO 27001 · 9.3
→ CISO Assistant · Probo
 GV.OV-01 GV.OV-02 GV.OV-03
Podmiot dokonuje przeglądu systemu zarządzania bezpieczeństwem informacji bezzwłocznie w przypadku wystąpienia okoliczności, które mogą wpłynąć na ryzyko wystąpienia incydentu poważnego i wymagają ponownego zrealizowania działań opisanych w przyjętym systemie zarządzania bezpieczeństwem informacji lub zmian w samym systemie. proceduralne ISO 27001 · 8.2 ISO 27001 · 9.3 NIST SP 800-30 · Task 4-2
→ CISO Assistant · Probo · Szablon: Metodyka zarządzania ryzykiem
 GV.OV-01 GV.OV-02 GV.PO-02 ID.RA-07
Technikawymagania wiążące — techniczne
System zarządzania bezpieczeństwem informacji obejmuje kontrolowanie podstawowych wersji używanych produktów ICT lub usług ICT. techniczne CIS Controls · 2.1 ISO 27001 · A.8.9
→ GLPI · StackRox · Trivy · Wazuh
 PR.PS-01
System zarządzania bezpieczeństwem informacji obejmuje, jeżeli to możliwe, korzystanie z mechanizmów kontroli instalacji produktów ICT lub usług ICT na urządzeniach, w tym na urządzeniach mobilnych. techniczne CIS Controls · 2.3 CIS Controls · 2.5 CIS Controls · 9.4 ISO 27001 · A.8.1 ISO 27001 · A.8.19
→ GLPI
 PR.PS-05
Ochrona przetwarzanych informacji obejmuje ochronę wykorzystującą oprogramowanie zabezpieczające lub sprzętowe zabezpieczenia, w które są wyposażone urządzenia przetwarzające informacje. techniczne CIS Controls · 10.5 CIS Controls · 3.13 CIS Controls · 4.4 CIS Controls · 4.5 ISO 27001 · A.8.1 ISO 27001 · A.8.7
brak rozwiązania referencyjnego w modelu
 DE.CM-09 PR.DS-01 PR.DS-10
System zarządzania bezpieczeństwem informacji obejmuje zapewnienie środków uniemożliwiających nieautoryzowany dostęp do systemów informacyjnych. techniczne CIS Controls · 4.7 ISO 27001 · A.8.3 ISO 27001 · A.8.5
→ Keycloak · OpenBao · Smallstep step-ca
 PR.IR-01
System zarządzania bezpieczeństwem informacji obejmuje wykonywanie zapasowych kopii danych odseparowanych logicznie i fizycznie od danych przetwarzanych w systemach informacyjnych dla realizacji zadania publicznego. techniczne CIS Controls · 11.2 CIS Controls · 11.4 ISO 27001 · A.8.13 NIST SP 800-34 · 3.4.2 NIST SP 800-34 · 5.1.5
→ Proxmox Backup Server
 PR.DS-11
System zarządzania bezpieczeństwem informacji obejmuje stosowanie oprogramowania antywirusowego. techniczne CIS Controls · 10.1 CIS Controls · 9.7 ISO 27001 · A.8.7
brak rozwiązania referencyjnego w modelu
 DE.CM-09 PR.PS-05
System zarządzania bezpieczeństwem informacji obejmuje stosowanie stabilnych wersji produktów ICT lub usług ICT, w stosunku do których nie występują informacje o krytycznych podatnościach, a w przypadku ich wystąpienia dopuszczalne jest stosowanie tych wersji produktów ICT lub usług ICT, które nie stwarzają istotnego negatywnego wpływu na poziom bezpieczeństwa systemów informacyjnych. techniczne CIS Controls · 12.1 CIS Controls · 16.5 CIS Controls · 2.2 CIS Controls · 9.1 ISO 27001 · A.8.8
→ Greenbone Community Edition · StackRox · Szablon: Procedura przyjmowania zgłoszeń podatności (CVD) · Trivy · Wazuh
 PR.PS-02
Bezpieczeństwo fizycznewymagania wiążące — fizyczne
Ochrona przetwarzanych informacji obejmuje ochronę fizyczną miejsc, w których jest przetwarzana informacja, w przypadku przetwarzania danych w urządzeniach znajdujących się pod kontrolą podmiotu. fizyczne ISO 27001 · A.7.1
brak rozwiązania referencyjnego w modelu
 PR.AA-06
Komplet wymagań tego obowiązku — 28 wierszy, generowanych z modelu przy każdej publikacji. Każde mapowanie na kontrolę ma w modelu pisemne uzasadnienie i ocenę dopasowania — na stronie pokazujemy cel mapowania. Rezultat NIST CSF 2.0 to cel, któremu służy wymaganie — nie kontrola; nie wlicza się do mapowań ani nie prowadzi do rozwiązań. Dostawca cyfrowy? Wersja szczegółowa tych wymagań na ścieżce CIR: Obsługa incydentów, Ciągłość działania i zarządzanie kryzysowe, Bezpieczeństwo łańcucha dostaw, Bezpieczny rozwój i utrzymanie systemów, Ocena skuteczności zabezpieczeń, Cyberhigiena i szkolenia, Bezpieczeństwo zasobów ludzkich, Kontrola dostępu, Zarządzanie aktywami, Bezpieczeństwo fizyczne i środowiskowe.
Kolumna „kontrole" mówi Wam, gdzie tę samą rzecz mierzy Wasz certyfikat ISO albo profil NIST — jeśli kontrolę już macie wdrożoną i udokumentowaną, ta część ścieżki jest do reużycia, nie do budowy od zera.

Dlaczego NIST CSF 2.0 stoi osobno

NIST CSF 2.0 opisuje rezultaty — „co ma być osiągnięte" — i sam odsyła po zabezpieczenia do katalogów takich jak ISO 27001 czy CIS. Dlatego na tej ścieżce rezultat CSF mówi, po co jest wymaganie, a kolumna kontroli — czym je spełnić.

Warstwa rozwiązań

Czym to zrealizować — rekomendacje referencyjne

Rozwiązanie trafia na ścieżkę tylko wtedy, gdy realizuje kontrolę, na którą mapuje wymaganie tego obowiązku. 19 rozwiązań obejmuje 25 z 28 wymagań; dla 3 model nie wskazuje rozwiązania — i strona mówi to wprost. Wasze własne narzędzie realizujące te same kontrole domyka ścieżkę tak samo.

CISO Assistant

Narzędzie open source do prowadzenia SZBI: rejestr ryzyk, plan postępowania, dowody skuteczności środków — z gotowymi ramami ISO 27001 i NIST CSF, na które mapuje ta ścieżka.

open sourcenarzędzierealizuje 10 kontroli · obejmuje 8 z 28 wymagań

DFIR-IRIS

Platforma open source do obsługi incydentów: sprawy, oś czasu, artefakty i zadania zespołu reagowania — operacyjny zapis tego, o co zapyta CSIRT i audytor.

open sourcenarzędzierealizuje 1 kontrolę · obejmuje 2 z 28 wymagań

GLPI

Open source ITSM i ewidencja aktywów: inwentaryzacja systemów i usług, zgłoszenia, zmiany — baza faktów dla zarządzania aktywami i ciągłością.

open sourcenarzędzierealizuje 3 kontrole · obejmuje 3 z 28 wymagań

Greenbone Community Edition

Skaner podatności open source (Greenbone Community Edition): cykliczne skanowanie systemów i raporty podatności pod zarządzanie podatnościami.

open sourcenarzędzierealizuje 1 kontrolę · obejmuje 2 z 28 wymagań

Keycloak

Serwer tożsamości open source — realizacja polityk kontroli dostępu i zarządzania tożsamością: role, uprawnienia, MFA, federacja.

open sourcenarzędzierealizuje 5 kontroli · obejmuje 8 z 28 wymagań

OpenBao

Open source zarządzanie sekretami i kluczami: przechowywanie haseł, certyfikatów i kluczy kryptograficznych z kontrolą dostępu i audytem.

open sourcenarzędzierealizuje 1 kontrolę · obejmuje 1 z 28 wymagań

Probo

Narzędzie open source do oceny i monitorowania dostawców: rejestr dostawców, oceny ryzyka, śledzenie zobowiązań umownych — operacyjna strona łańcucha dostaw.

open sourcenarzędzierealizuje 10 kontroli · obejmuje 8 z 28 wymagań

Proxmox Backup Server

Open source serwer kopii zapasowych: deduplikacja, szyfrowanie, weryfikacja kopii i odtwarzanie — techniczny fundament planów ciągłości i odtworzenia.

open sourcenarzędzierealizuje 2 kontrole · obejmuje 3 z 28 wymagań

Smallstep step-ca

Open source urząd certyfikacji (Smallstep step-ca): automatyczne wystawianie i odnawianie certyfikatów — PKI dla systemów i usług.

open sourcenarzędzierealizuje 1 kontrolę · obejmuje 1 z 28 wymagań

StackRox

Open source bezpieczeństwo Kubernetes: wykrywanie włamań i anomalii w kontenerach, polityki wdrożeniowe, skanowanie obrazów.

open sourcenarzędzierealizuje 2 kontrole · obejmuje 3 z 28 wymagań

Szablon: Metodyka zarządzania ryzykiem

Autorski szablon metodyki szacowania i postępowania z ryzykiem — kryteria, skale, rejestr i cykl przeglądów pod wymagania SZBI.

szablon Intecaszablon proceduryrealizuje 1 kontrolę · obejmuje 1 z 28 wymagań

Szablon: Plan ciągłości działania z BIA

Autorski szablon planu ciągłości działania z analizą wpływu (BIA) — scenariusze, role, procedury odtworzenia, testy.

szablon Intecaszablon planurealizuje 1 kontrolę · obejmuje 1 z 28 wymagań

Szablon: Plan reagowania na incydenty i komunikacji

Autorski szablon planu reagowania na incydenty i komunikacji — klasyfikacja, eskalacja, terminy zgłoszeń, komunikaty do stron.

szablon Intecaszablon planurealizuje 1 kontrolę · obejmuje 2 z 28 wymagań

Szablon: Polityka bezpieczeństwa łańcucha dostaw

Autorski szablon polityki domykający wymagania organizacyjne łańcucha dostaw — rola w łańcuchu, kryteria wyboru dostawców, blok klauzul umownych do wpięcia w umowy.

szablon Intecaszablon dokumentu / politykarealizuje 1 kontrolę · obejmuje 1 z 28 wymagań

Szablon: Polityka nadrzędna bezpieczeństwa informacji

Dokument, od którego zaczyna się SZBI: ramy systemu, polityki tematyczne, role i przeglądy — autorski szablon polityki nadrzędnej bezpieczeństwa informacji.

rekomendowaneszablon Intecaszablon dokumentu / politykarealizuje 3 kontrole · obejmuje 2 z 28 wymagań

Szablon: Procedura przyjmowania zgłoszeń podatności (CVD)

Autorski szablon procedury przyjmowania i obsługi zgłoszeń podatności (coordinated vulnerability disclosure) — kanał, terminy, komunikacja ze zgłaszającym.

szablon Intecaszablon proceduryrealizuje 1 kontrolę · obejmuje 2 z 28 wymagań

Szablon: Program budowania świadomości bezpieczeństwa

Autorski szablon programu budowania świadomości bezpieczeństwa — plan szkoleń, grupy docelowe, mierniki skuteczności.

szablon Intecaszablon planurealizuje 1 kontrolę · obejmuje 2 z 28 wymagań

Trivy

Skaner open source podatności i błędów konfiguracji: obrazy kontenerów, zależności, infrastruktura jako kod — kontrola w cyklu wytwórczym.

open sourcenarzędzierealizuje 2 kontrole · obejmuje 3 z 28 wymagań

Wazuh

Platforma open source SIEM z wykrywaniem włamań: zbieranie i korelacja logów, monitorowanie integralności plików, wykrywanie podatności — rdzeń monitorowania w trybie ciągłym.

open sourcenarzędzierealizuje 2 kontrole · obejmuje 3 z 28 wymagań

3 wymagania bez rozwiązania referencyjnego

Ich kontrole (CIS Controls i ISO 27001) nie mają w modelu narzędzia ani szablonu, który je realizuje:

  • Ochrona przetwarzanych informacji obejmuje ochronę fizyczną miejsc, w których jest przetwarzana informacja, w przypadku przetwarzania danych…
  • Ochrona przetwarzanych informacji obejmuje ochronę wykorzystującą oprogramowanie zabezpieczające lub sprzętowe zabezpieczenia, w które są…
  • System zarządzania bezpieczeństwem informacji obejmuje stosowanie oprogramowania antywirusowego.
dowolna realizacja
Uczciwie o granicach

Czego ta ścieżka nie zrobi za Was

Nie zastąpi dowodów operacyjnych

Ścieżka daje strukturę i uzasadnienia — mapę tego, co wykazać. Zapisy, decyzje, logi i podpisane dokumenty musicie wytworzyć u siebie; o oczekiwaniach audytora więcej na stronie audyt KSC/NIS2.

Chcecie przejść tę ścieżkę z przewodnikiem?

Inteca poprowadzi wdrożenie warstwa po warstwie: od wymagań przepisu, przez kontrole standardów, po narzędzia i bazę dowodową pod audyt.

Umówcie konsultację Wróćcie do przeglądu ścieżek