Ścieżka zgodności · CIR 2024/2690

Zarządzanie aktywami — jak spełnić załącznik pkt 12 CIR 2024/2690 krok po kroku

Odpowiednie podmioty klasyfikują aktywa według poziomów klauzuli tajności, ustanawiają i stosują polityki postępowania z aktywami oraz zarządzania nośnikami wymiennymi, prowadzą kompletny wykaz aktywów oraz zapewniają zdeponowanie, zwrot lub usunięcie aktywów po zakończeniu zatrudnienia. Poniżej ta norma rozłożona na warstwy: wymagania → kontrole standardów → rozwiązania, a przy każdym wymaganiu rezultat NIST CSF 2.0, któremu ono służy. Zacznijcie od pytania, czy ten obowiązek Was wiąże — odpowiedź jest pierwszą sekcją pod spodem.

wiąże wprost: dostawców cyfrowych z art. 8b ust. 1 UKSC załącznik pkt 12 CIR 2024/2690 doprecyzowuje art. 21 ust. 2 lit. i NIS2 CIS Critical Security Controls v8.1 · ENISA Technical Implementation Guidance · ISO/IEC 27001:2022 · NIST SP 800-61 Rev. 3 rezultaty: NIST CSF 2.0
Zaplanujcie wdrożenie z Inteca Przegląd ścieżek
28 wymagań wiążących wyprowadzonych z załącznik pkt 12 CIR 2024/2690.
101 mapowań na 64 kontrole katalogów: CIS Critical Security Controls v8.1, ENISA Technical Implementation Guidance, ISO/IEC 27001:2022 i NIST SP 800-61 Rev. 3 — każde z pisemnym uzasadnieniem.
23 z 28 wymagań ma rozwiązanie referencyjne, które realizuje ich kontrole.
9 rozwiązań referencyjnych na końcu ścieżki: narzędzia open source i szablony dokumentów Inteca, każde przypisane do kontroli, które realizuje.
Krok zero

Kogo wiąże ten obowiązek?

Zanim przeczytacie choć jedno wymaganie — sprawdźcie, czy ta ścieżka jest Wasza. Odpowiedź nie jest pisana ręcznie: wynika z zakresu obowiązku zapisanego w modelu prawnym.

wiąże wprost

Dostawcy cyfrowi z art. 8b ust. 1 UKSC

Dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD), dostawcy usług chmurowych, dostawcy usługi centrum przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa, dostawcy internetowych platform handlowych, dostawcy wyszukiwarek internetowych oraz dostawcy platform usług sieci społecznościowych. Dla Was rozporządzenie CIR 2024/2690 jest obowiązkiem — ta ścieżka to Wasza lista zadań.

nie wiąże — wzorzec

Pozostałe podmioty kluczowe i ważne

CIR Was nie obowiązuje — art. 8b ust. 2 UKSC odsyła do przyszłych aktów wykonawczych Komisji Europejskiej dla Waszego rodzaju podmiotu. Wasz wiążący obowiązek to art. 8b ust. 2 UKSC — tę ścieżkę czytajcie jako sprawdzony wzorzec, nie jako listę wymagań audytora.

nie wiecie?

Sprawdźcie swój rodzaj podmiotu

Klasa podmiotu to nie wszystko — decyduje rodzaj podmiotu, sektor i wielkość. Kwalifikator KSC wskaże Wasz rodzaj, a wynik powie wprost, czy ten obowiązek jest w Waszym katalogu.

Ten blok wygląda tak samo na każdej ścieżce: obowiązek z UKSC pokaże tu klasy podmiotów (kluczowy / ważny / publiczny), obowiązek z CIR — dostawców cyfrowych. Dyrektywa NIS2 nie ma własnych ścieżek — pokazujemy ją niżej, jako źródło obowiązku.

Skąd ten obowiązek

Zdanie dyrektywy i akty, które je wypełniają

Dyrektywa NIS2 wiąże państwa, nie Was — dlatego nie ma osobnej ścieżki. Konkrety dopisały akty, które ją wykonują — ten, na którym jesteście, i jego krajowe odbicie.

źródło · dyrektywa

Art. 21 ust. 2 lit. i NIS2

„Środki zarządzania ryzykiem obejmują bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami."

Tyle mówi dyrektywa. Co konkretnie zrobić — mówią akty obok. Treść cytowana z modelu, nie przepisywana.

ta ścieżka · CIR 2024/2690

Załącznik pkt 12 CIR 2024/2690

„12.1.1. Do celów art. 21 ust. 2 lit. i) dyrektywy (UE) 2022/2555 odpowiednie podmioty określają poziomy klauzuli tajności wszystkich aktywów, w tym informacji, wchodzących w zakres ich sieci i systemów informatycznych dla wymaganego poziomu ochrony. 12.1.2. Do celów pkt 12.1.1 odpowiednie podmioty: a) ustanawiają…"

Komisja Europejska rozpisała lit. i na 28 wymagań wiążących — ale tylko dla dostawców cyfrowych z art. 8b ust. 1 UKSC. To jest ścieżka, na której jesteście. Treść cytowana z modelu, nie pisana.

drugie wcielenie · UKSC

Ta sama litera w ustawie o KSC

Polska przeniosła tę samą literę do ustawy — tam wiąże ona podmioty w klasach z zakresu każdego z tych obowiązków, także dostawców cyfrowych.

Przebieg ścieżki

Od rozporządzenia do narzędzia i szablonu

Diagram pokazuje jedną nitkę ścieżki — wymaganie 19 z 28 wiążących — w komplecie warstw. Tabela niżej rozwija pozostałe wymagania.

Przepis Obowiązek Wymaganie Kontrola standardu Rozwiązanie CIR 2024/2690 załącznik pkt 12 doprecyzowuje art. 21 ust. 2 lit. i NIS2 Zarządzanie aktywami wiąże wprost: dostawców cyfrowych z art. 8b ust. 1 UKSC 28 wymagań wiążących 9 rozwiązań referencyjnych OB_CIR_ZAL_12 Wymaganie 19 z 28 „Podmiot opracowuje i prowadzi kompletny, dokładny, aktualny i spójny wykaz swoich aktywów." wymaganie 19 z 28 · wiążące WYM_CIR_ZAL_12_19 CIS Critical Security Controls v8.1 1.1 — Szczegółowa ewidencja aktywów przedsiębiorstwa jakość: realizuje wprost CIS Critical Security Controls v8.1 1.3 — Aktywne wykrywanie aktywów w sieci jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 1.4 — Aktualizacja ewidencji aktywów z logów DHCP jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 1.5 — Pasywne wykrywanie aktywów w sieci jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 2.1 — Ewidencja oprogramowania jakość: jeden ze sposobów realizacji CIS Critical Security Controls v8.1 3.2 — Ewidencja danych jakość: jeden ze sposobów realizacji ENISA Technical Implementation Guidance 12.4.1-01 — Kompletny inwentarz aktywów jakość: realizuje wprost ENISA Technical Implementation Guidance 12.4.1-02 — Regularna weryfikacja dokładności inwentarza jakość: realizuje wprost ENISA Technical Implementation Guidance 12.4.1-03 — Niezwłoczna aktualizacja inwentarza przy zmianach jakość: realizuje wprost ENISA Technical Implementation Guidance 12.4.1-04 — Ujednolicone nazewnictwo i kategoryzacja w inwentarzu jakość: realizuje wprost ENISA Technical Implementation Guidance 12.4.1-06 — Reguły walidacji danych w inwentarzu jakość: jeden ze sposobów realizacji ISO/IEC 27001:2022 A.5.9 — Inwentaryzacja i wykaz aktywów jakość: realizuje wprost NIST SP 800-61 Rev. 3 ID.AM-01.R1 — Automatycznie aktualizowana ewidencja sprzętu dla wykrywania jakość: jeden ze sposobów realizacji NIST SP 800-61 Rev. 3 ID.AM-02.R1 — Automatycznie aktualizowana ewidencja oprogramowania i usług jakość: jeden ze sposobów realizacji NIST SP 800-61 Rev. 3 ID.AM-07.R1 — Ewidencja danych: klasyfikacja, właściciele, lokalizacje jakość: jeden ze sposobów realizacji CISO Assistant narzędzie GLPI narzędzie Probo narzędzie nakłada uszczegóławia mapuje na realizuje służy rezultatowi REZULTATY · NIST CSF 2.0 ID.AM-01, ID.AM-02, ID.AM-07 ID.AM-01 — Prowadzony wykaz sprzętu ID.AM-02 — Prowadzony wykaz oprogramowania, usług i systemów ID.AM-07 — Prowadzony wykaz danych i metadanych cele do osiągnięcia — nie kontrole
przepis obowiązek wymaganie rezultat NIST CSF kontrola standardu rozwiązanie
Diagram wygenerowany z żywego modelu IRNIS przy publikacji tej strony.
Warstwa wymagań i kontroli

Wymagania tego obowiązku i ich odpowiedniki w standardach

Każdy wiersz to jedno atomowe wymaganie — dokładnie w brzmieniu z modelu, o które zapyta audytor — z kontrolami, na które mapuje je model, i rozwiązaniami referencyjnymi, które te kontrole realizują. Wiersze pogrupowane po charakterze wymagania.

Wymaganie (brzmienie z modelu) Charakter Kontrole standardów Rezultat NIST CSF 2.0
Organizacja i politykiwymagania wiążące — organizacyjne
Podmiot określa poziomy klauzuli tajności wszystkich aktywów, w tym informacji, wchodzących w zakres jego sieci i systemów informatycznych dla wymaganego poziomu ochrony. organizacyjne CIS Controls · 3.7 ENISA TIG · 12.1.1-01 ISO 27001 · A.5.12
→ CISO Assistant · Probo
 ID.AM-05
Podmiot ustanawia system poziomów klauzuli tajności aktywów. organizacyjne CIS Controls · 3.7 ENISA TIG · 12.1.1-01 ENISA TIG · 12.1.2-03 ISO 27001 · A.5.12
→ CISO Assistant · Probo
 ID.AM-05
Podmiot ustanawia, wdraża i stosuje politykę właściwego postępowania z aktywami, w tym z informacjami, zgodnie ze swoją polityką bezpieczeństwa sieci i informacji. organizacyjne CIS Controls · 3.1 ENISA TIG · 12.2.2-01 ISO 27001 · A.5.10
→ CISO Assistant · Probo
 GV.PO-01 ID.AM-08
Polityka właściwego postępowania z aktywami obejmuje cały cykl życia aktywów, w tym nabycie, wykorzystywanie, przechowywanie, transport i zbycie. organizacyjne CIS Controls · 3.4 ENISA TIG · 12.2.2-01 ISO 27001 · A.5.10 NIST SP 800-61 · ID.AM-08.R1
→ CISO Assistant · Probo
 ID.AM-08
Polityka właściwego postępowania z aktywami zawiera zasady dotyczące bezpiecznego użytkowania, bezpiecznego przechowywania, bezpiecznego transportu oraz nieodwracalnego usuwania i niszczenia aktywów. organizacyjne CIS Controls · 3.1 CIS Controls · 3.5 ENISA TIG · 12.2.2-02 ENISA TIG · 12.2.2-03 ISO 27001 · A.5.10 ISO 27001 · A.7.10 ISO 27001 · A.8.10
→ CISO Assistant · OpenBao · Probo
 ID.AM-08 PR.DS-01 PR.PS-03
Polityka właściwego postępowania z aktywami stanowi, że przeniesienie odbywa się w sposób bezpieczny, zgodnie z rodzajem aktywów, które mają zostać przeniesione. organizacyjne ENISA TIG · 12.2.2-04 ISO 27001 · A.5.14
→ Probo
 ID.AM-08
Podmiot ustanawia, wdraża i stosuje politykę zarządzania wymiennymi nośnikami danych. organizacyjne ENISA TIG · 12.3.1-01 ISO 27001 · A.7.10
brak rozwiązania referencyjnego w modelu
 GV.PO-01 PR.DS-01
Poziom szczegółowości wykazu aktywów jest odpowiedni do potrzeb podmiotu. organizacyjne CIS Controls · 1.1 ENISA TIG · 12.4.2-01 ISO 27001 · A.5.9
→ CISO Assistant · GLPI · Probo
 ID.AM-01 ID.AM-02
Wykaz aktywów obejmuje listę operacji i usług oraz ich opis. organizacyjne ENISA TIG · 12.4.1-01 ISO 27001 · A.5.9
→ CISO Assistant · GLPI · Probo
 GV.OC-04 ID.AM-02
Wykaz aktywów obejmuje listę sieci i systemów informatycznych oraz innych powiązanych aktywów wspierających działalność i usługi podmiotu. organizacyjne CIS Controls · 1.1 CIS Controls · 6.6 ENISA TIG · 12.4.1-01 ISO 27001 · A.5.9 NIST SP 800-61 · ID.AM-01.R1 NIST SP 800-61 · ID.AM-02.R1
→ CISO Assistant · GLPI · Probo
 ID.AM-01 ID.AM-02 ID.AM-04
Procesy i procedurywymagania wiążące — proceduralne
Podmiot wiąże wszystkie aktywa z poziomem klauzuli tajności, w oparciu o wymogi poufności, integralności, autentyczności i dostępności, w celu wskazania wymaganej ochrony zgodnie z ich wrażliwością, krytycznością, ryzykiem i wartością biznesową. proceduralne CIS Controls · 3.7 ENISA TIG · 12.1.2-01 ENISA TIG · 12.1.2-05 ENISA TIG · 12.1.2-06 ISO 27001 · A.5.12
→ CISO Assistant · Probo
 ID.AM-05
Podmiot dostosowuje wymogi dotyczące dostępności aktywów do celów dostarczenia oraz przywrócenia normalnego działania określonych w jego planach ciągłości działania i planach przywrócenia normalnego działania po wystąpieniu sytuacji nadzwyczajnej. proceduralne ISO 27001 · A.5.12 ISO 27001 · A.5.30
→ CISO Assistant · Probo · Proxmox Backup Server · Szablon: Plan ciągłości działania z BIA
 ID.AM-05
Podmiot przeprowadza okresowe przeglądy poziomów klauzuli tajności aktywów oraz w stosownych przypadkach je aktualizuje. proceduralne ENISA TIG · 12.1.3-01 ENISA TIG · 12.1.3-02 ISO 27001 · A.5.12
→ CISO Assistant · Probo
 ID.AM-05
Podmiot przekazuje politykę właściwego postępowania z aktywami każdemu, kto wykorzystuje lub obsługuje aktywa. proceduralne ENISA TIG · 12.2.1-01 ISO 27001 · A.5.10
→ CISO Assistant · Probo
 GV.PO-01
Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji polityki właściwego postępowania z aktywami w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub ryzyku. proceduralne ENISA TIG · 12.2.3-01 ISO 27001 · A.5.1
→ CISO Assistant · Probo · Szablon: Polityka nadrzędna bezpieczeństwa informacji
 GV.PO-02
Podmiot przekazuje politykę zarządzania wymiennymi nośnikami danych swoim pracownikom i osobom trzecim, które obsługują wymienne nośniki danych w obiektach podmiotu lub w innych miejscach, w których nośniki te są podłączone do sieci i systemów informatycznych podmiotu. proceduralne ENISA TIG · 12.3.1-02 ISO 27001 · A.7.10
brak rozwiązania referencyjnego w modelu
 GV.PO-01
Podmiot dokonuje przeglądu i, w stosownych przypadkach, aktualizacji polityki zarządzania wymiennymi nośnikami danych w zaplanowanych odstępach czasu oraz w przypadku wystąpienia poważnych incydentów lub istotnych zmian w działalności lub ryzyku. proceduralne ENISA TIG · 12.3.3-01 ISO 27001 · A.5.1
→ CISO Assistant · Probo · Szablon: Polityka nadrzędna bezpieczeństwa informacji
 GV.PO-02
Podmiot opracowuje i prowadzi kompletny, dokładny, aktualny i spójny wykaz swoich aktywów. proceduralne CIS Controls · 1.1 CIS Controls · 1.3 CIS Controls · 1.4 CIS Controls · 1.5 CIS Controls · 2.1 CIS Controls · 3.2 ENISA TIG · 12.4.1-01 ENISA TIG · 12.4.1-02 ENISA TIG · 12.4.1-03 ENISA TIG · 12.4.1-04 ENISA TIG · 12.4.1-06 ISO 27001 · A.5.9 NIST SP 800-61 · ID.AM-01.R1 NIST SP 800-61 · ID.AM-02.R1 NIST SP 800-61 · ID.AM-07.R1
→ CISO Assistant · GLPI · Probo
 ID.AM-01 ID.AM-02 ID.AM-07
Podmiot rejestruje zmiany we wpisach w wykazie aktywów w możliwy do prześledzenia sposób. proceduralne ENISA TIG · 12.4.3-02 ISO 27001 · A.5.9 NIST SP 800-61 · ID.AM-08.R1
→ CISO Assistant · GLPI · Probo
 ID.AM-01 ID.AM-02
Podmiot regularnie dokonuje przeglądu i aktualizacji wykazu i swoich aktywów. proceduralne CIS Controls · 1.1 ENISA TIG · 12.4.3-01 ISO 27001 · A.5.9
→ CISO Assistant · GLPI · Probo
 ID.AM-01 ID.AM-02 ID.AM-07
Podmiot dokumentuje historię zmian wykazu aktywów. proceduralne ENISA TIG · 12.4.3-02 ISO 27001 · A.5.9
→ CISO Assistant · GLPI · Probo
 ID.AM-01 ID.AM-02
Podmiot ustanawia, wdraża i stosuje procedury zapewniające zdeponowanie, zwrot lub usunięcie aktywów będących do dyspozycji personelu po zakończeniu zatrudnienia. proceduralne CIS Controls · 4.11 ENISA TIG · 12.5-01 ENISA TIG · 12.5-02 ISO 27001 · A.5.11
→ GLPI
 GV.RR-04 ID.AM-08
Podmiot dokumentuje zdeponowanie, zwrot i usunięcie aktywów będących do dyspozycji personelu po zakończeniu zatrudnienia. proceduralne ENISA TIG · 12.5-01 ISO 27001 · A.5.11
→ GLPI
 GV.RR-04 ID.AM-08
Technikawymagania wiążące — techniczne
Polityka zarządzania wymiennymi nośnikami danych przewiduje techniczny zakaz podłączania wymiennych nośników, chyba że istnieje organizacyjny powód ich użycia. techniczne ENISA TIG · 12.3.2-01 ISO 27001 · A.7.10
brak rozwiązania referencyjnego w modelu
 PR.DS-01 PR.PS-01
Polityka zarządzania wymiennymi nośnikami danych zapewnia blokadę samowykonywania z takich nośników i skanowanie nośników pod kątem kodu złośliwego przed ich użyciem w systemach podmiotu. techniczne CIS Controls · 10.3 CIS Controls · 10.4 ENISA TIG · 12.3.2-02 ENISA TIG · 12.3.2-03 ISO 27001 · A.8.7
brak rozwiązania referencyjnego w modelu
 DE.CM-09 PR.PS-05
Polityka zarządzania wymiennymi nośnikami danych zapewnia środki kontroli i ochrony przenośnych urządzeń pamięci masowej zawierających dane przesyłane i dane przechowywane. techniczne CIS Controls · 3.9 ENISA TIG · 12.3.2-06 ISO 27001 · A.7.10
brak rozwiązania referencyjnego w modelu
 PR.DS-01 PR.DS-02
Polityka zarządzania wymiennymi nośnikami danych przewiduje środki do stosowania technik kryptograficznych w celu ochrony danych na wymiennych nośnikach danych. techniczne CIS Controls · 3.9 ENISA TIG · 12.3.2-04 ENISA TIG · 12.3.2-05 ISO 27001 · A.7.10 ISO 27001 · A.8.24
→ OpenBao · Proxmox Backup Server · Smallstep step-ca
 PR.DS-01
Podmiot zapewnia, aby aktywa będące do dyspozycji personelu po zakończeniu zatrudnienia nie miały już dostępu do sieci i systemów informatycznych podmiotu. techniczne CIS Controls · 6.2 ENISA TIG · 12.5-01 ISO 27001 · A.5.18
→ Keycloak
 PR.AA-01 PR.AA-05
Komplet wymagań tego obowiązku — 28 wierszy, generowanych z modelu przy każdej publikacji. Każde mapowanie na kontrolę ma w modelu pisemne uzasadnienie i ocenę dopasowania — na stronie pokazujemy cel mapowania. Rezultat NIST CSF 2.0 to cel, któremu służy wymaganie — nie kontrola; nie wlicza się do mapowań ani nie prowadzi do rozwiązań. Wersja krajowa tych przepisów (wiąże każdy podmiot w swoim zakresie): Katalog środków bezpieczeństwa SZBI, Środki bezpieczeństwa podmiotu publicznego (art. 8 ust. 3), Ponowna weryfikacja niekaralności, Weryfikacja niekaralności.
Kolumna „kontrole" mówi Wam, gdzie tę samą rzecz mierzy Wasz certyfikat ISO albo profil NIST — jeśli kontrolę już macie wdrożoną i udokumentowaną, ta część ścieżki jest do reużycia, nie do budowy od zera.

Dlaczego NIST CSF 2.0 stoi osobno

NIST CSF 2.0 opisuje rezultaty — „co ma być osiągnięte" — i sam odsyła po zabezpieczenia do katalogów takich jak ISO 27001 czy CIS. Dlatego na tej ścieżce rezultat CSF mówi, po co jest wymaganie, a kolumna kontroli — czym je spełnić.

Warstwa rozwiązań

Czym to zrealizować — rekomendacje referencyjne

Rozwiązanie trafia na ścieżkę tylko wtedy, gdy realizuje kontrolę, na którą mapuje wymaganie tego obowiązku. 9 rozwiązań obejmuje 23 z 28 wymagań; dla 5 model nie wskazuje rozwiązania — i strona mówi to wprost. Wasze własne narzędzie realizujące te same kontrole domyka ścieżkę tak samo.

CISO Assistant

Narzędzie open source do prowadzenia SZBI: rejestr ryzyk, plan postępowania, dowody skuteczności środków — z gotowymi ramami ISO 27001 i NIST CSF, na które mapuje ta ścieżka.

open sourcenarzędzierealizuje 6 kontroli · obejmuje 18 z 28 wymagań

GLPI

Open source ITSM i ewidencja aktywów: inwentaryzacja systemów i usług, zgłoszenia, zmiany — baza faktów dla zarządzania aktywami i ciągłością.

open sourcenarzędzierealizuje 2 kontrole · obejmuje 9 z 28 wymagań

Keycloak

Serwer tożsamości open source — realizacja polityk kontroli dostępu i zarządzania tożsamością: role, uprawnienia, MFA, federacja.

open sourcenarzędzierealizuje 1 kontrolę · obejmuje 1 z 28 wymagań

OpenBao

Open source zarządzanie sekretami i kluczami: przechowywanie haseł, certyfikatów i kluczy kryptograficznych z kontrolą dostępu i audytem.

open sourcenarzędzierealizuje 2 kontrole · obejmuje 2 z 28 wymagań

Probo

Narzędzie open source do oceny i monitorowania dostawców: rejestr dostawców, oceny ryzyka, śledzenie zobowiązań umownych — operacyjna strona łańcucha dostaw.

open sourcenarzędzierealizuje 6 kontroli · obejmuje 19 z 28 wymagań

Proxmox Backup Server

Open source serwer kopii zapasowych: deduplikacja, szyfrowanie, weryfikacja kopii i odtwarzanie — techniczny fundament planów ciągłości i odtworzenia.

open sourcenarzędzierealizuje 2 kontrole · obejmuje 2 z 28 wymagań

Smallstep step-ca

Open source urząd certyfikacji (Smallstep step-ca): automatyczne wystawianie i odnawianie certyfikatów — PKI dla systemów i usług.

open sourcenarzędzierealizuje 1 kontrolę · obejmuje 1 z 28 wymagań

Szablon: Plan ciągłości działania z BIA

Autorski szablon planu ciągłości działania z analizą wpływu (BIA) — scenariusze, role, procedury odtworzenia, testy.

szablon Intecaszablon planurealizuje 1 kontrolę · obejmuje 1 z 28 wymagań

Szablon: Polityka nadrzędna bezpieczeństwa informacji

Dokument, od którego zaczyna się SZBI: ramy systemu, polityki tematyczne, role i przeglądy — autorski szablon polityki nadrzędnej bezpieczeństwa informacji.

rekomendowaneszablon Intecaszablon dokumentu / politykarealizuje 1 kontrolę · obejmuje 2 z 28 wymagań

5 wymagań bez rozwiązania referencyjnego

Ich kontrole (CIS Controls, ENISA TIG i ISO 27001) nie mają w modelu narzędzia ani szablonu, który je realizuje:

  • Podmiot ustanawia, wdraża i stosuje politykę zarządzania wymiennymi nośnikami danych.
  • Podmiot przekazuje politykę zarządzania wymiennymi nośnikami danych swoim pracownikom i osobom trzecim, które obsługują wymienne nośniki…
  • Polityka zarządzania wymiennymi nośnikami danych przewiduje techniczny zakaz podłączania wymiennych nośników, chyba że istnieje…
  • Polityka zarządzania wymiennymi nośnikami danych zapewnia blokadę samowykonywania z takich nośników i skanowanie nośników pod kątem kodu…
  • Polityka zarządzania wymiennymi nośnikami danych zapewnia środki kontroli i ochrony przenośnych urządzeń pamięci masowej zawierających dane…
dowolna realizacja
Uczciwie o granicach

Czego ta ścieżka nie zrobi za Was

Nie zastąpi dowodów operacyjnych

Ścieżka daje strukturę i uzasadnienia — mapę tego, co wykazać. Zapisy, decyzje, logi i podpisane dokumenty musicie wytworzyć u siebie; o oczekiwaniach audytora więcej na stronie audyt KSC/NIS2.

Chcecie przejść tę ścieżkę z przewodnikiem?

Inteca poprowadzi wdrożenie warstwa po warstwie: od wymagań przepisu, przez kontrole standardów, po narzędzia i bazę dowodową pod audyt.

Umówcie konsultację Wróćcie do przeglądu ścieżek