Usługa · Cyberbezpieczeństwo

Polityki bezpieczeństwa i dokumentacja

Wzór polityki ściągnięty z internetu wygląda porządnie do pierwszego pytania audytora: kto ją zatwierdził, kiedy ostatnio ją przeglądano i skąd wiadomo, że pracownicy ją znają? Dokumentacja pisana pod cudzą firmę rozjeżdża się z rzeczywistością już po tygodniu. Tworzymy ją na podstawie rozmów z Twoim zespołem i tego, co widzimy w systemach, dlatego broni się przed zamawiającym, klientem i podczas zwykłej pracy.

Wyślij zapytanie Zakres usługi

Zestaw

dopasowany do firmy

Harmonogram

ustalany na starcie

ISO 27001

jako rama odniesienia

Co rok

wbudowany przegląd

Co obejmuje usługa

Zakres wynika z tego, czemu dokumentacja ma służyć: NIS2 i ustawa o KSC, Krajowe Ramy Interoperacyjności w jednostce publicznej, wymagania klienta z branży finansowej objętego DORA albo po prostu uporządkowanie zasad we własnej firmie.

Omów zakres z inżynierem

Polityka bezpieczeństwa informacji

Dokument nadrzędny zatwierdzany przez zarząd: co chronimy, przed czym i kto za to odpowiada. Kierownictwo powinno umieć tę politykę obronić, a nie tylko ją podpisać.

Szacowanie ryzyka

Czytelna tabela zagrożeń i skutków, z której wynika, jakie zabezpieczenia są konieczne, a z których świadomie rezygnujesz, z uzasadnieniem na piśmie.

Zarządzanie uprawnieniami

Zasady nadawania, zmiany i odbierania dostępów, spięte z procesem przyjęcia i odejścia pracownika w kadrach.

Procedury szczegółowe

Praca zdalna zgodna z regulaminem pracy zdalnej, hasła i MFA, prywatne urządzenia, kopie zapasowe, współpraca z dostawcami i obsługa incydentów wraz ze ścieżką zgłoszenia do właściwego CSIRT.

Instrukcje dla pracowników

Jedna, dwie strony zwykłym językiem. Nikt nie przeczyta trzydziestu stron o hasłach, a dwie strony z przykładami zapamięta.

Rejestry i dowody

Wzory rejestru incydentów, przeglądu uprawnień i potwierdzeń szkoleń. Audytorzy często proszą właśnie o nie, a nie o samą politykę.

Jak wygląda współpraca

Najważniejsze kryterium jest jedno: procedura musi dać się wykonać. Zasada sprzeczna z codzienną pracą zostanie złamana w pierwszym tygodniu.

Wywiady

Rozmawiamy na Teams z zarządem, osobą od IT i kadrami o tym, jak wygląda dziś wdrażanie nowych osób, nadawanie dostępów, współpraca z dostawcami i reakcja na awarie.

Projekty dokumentów

Piszemy teksty i omawiamy z Tobą każde sformułowanie, tak żeby każda zasada była realna do spełnienia w Twoich warunkach.

Wprowadzenie

Zarząd zatwierdza dokumenty, pracownicy dostają krótkie szkolenie online, a potwierdzenia zapoznania się trafiają do archiwum.

Aktualizacje

Wpisujemy coroczny przegląd do kalendarza i aktualizujemy dokumenty przy większych zmianach w systemach lub strukturze firmy.

NIS2 kładzie nacisk na odpowiedzialność kierownictwa za cyberbezpieczeństwo. W podmiotach objętych przepisami zarząd powinien rozumieć środki zarządzania ryzykiem, które zatwierdza. Polityka, której nikt z zarządu nie czytał, przestaje być tylko słabym dokumentem i staje się problemem zarządczym. Dlatego każde wdrożenie kończymy krótką sesją dla kierownictwa.

Pytania i odpowiedzi

Często tak, jako punkt wyjścia. Sprawdzamy, co w niej nadal odpowiada rzeczywistości, a co opisuje serwer, którego już nie ma, i uzupełniamy braki, takie jak zarządzanie dostawcami czy obsługa incydentów. Rzadko trzeba zaczynać od zera.

Certyfikat wydaje akredytowana jednostka certyfikująca, nie my. Piszemy dokumentację zgodnie z zasadami ISO 27001, więc stanowi solidną bazę, jeśli zdecydujesz się później na audyt certyfikujący. Możemy też pomóc się do takiego audytu przygotować.

Tak. Rozporządzenie o Krajowych Ramach Interoperacyjności wymaga od jednostek publicznych systemu zarządzania bezpieczeństwem informacji. Układamy dokumenty tak, żeby odpowiadały na te wymagania. Jeśli jednostka realizuje projekt, na przykład z programu „Cyberbezpieczny Samorząd”, pomagamy przygotować techniczną część dokumentacji.

Nie. Pracownicy potwierdzają zapoznanie się z krótkimi instrukcjami, które ich dotyczą, najlepiej elektronicznie, z datą i wersją dokumentu. Pełne polityki czytają osoby, które je stosują: kierownictwo, IT i kadry.

Więcej w tym obszarze

Zobacz cały obszar

Usługa RODO i ochrona danych osobowych Dostępy, logi i szyfrowanie danych osobowych Usługa Wdrażanie rozwiązań bezpieczeństwa Dobór, pilotaż i zdalne wdrożenie narzędzi Usługa Ochrona infrastruktury Styk z internetem, segmentacja i dostęp zdalny Usługa Bezpieczeństwo aplikacji Role w systemach biznesowych i konta integracji

Zamów dokumentację, która się obroni

Napisz, czemu ma służyć dokumentacja: NIS2, KRI, wymogi klienta czy własny porządek. Zaproponujemy zakres i harmonogram.

E-mail
office@apply.pl

Godziny pracy
pon.-pt. 8:00-18:00, odpowiedź w ciągu dnia roboczego

Spotkania
Online w Teams lub Google Meet

Zgadzam się na przetwarzanie moich danych przez Apply w celu odpowiedzi na zapytanie, zgodnie z polityką prywatności