Kybernetická bezpečnosť nie je len o technológiách, ale predovšetkým o jasne nastavených pravidlách, procesoch a zodpovednostiach. Aby organizácie vedeli účinne predchádzať kybernetickým incidentom a primerane na ne reagovať, potrebujú vnútorný riadiaci dokument, ktorý určí „kto, čo a ako“. Týmto dokumentom je Smernica o politike kybernetickej a informačnej bezpečnosti.

Čo je Smernica o politike KIB?

• Smernica predstavuje vnútornú organizačnú a riadiacu normu, ktorá je záväzná pre celú organizáciu. Určuje najmä: postupy a pravidlá pre zavádzanie technických, organizačných a technologických opatrení,
• kritériá výberu riešení, ktoré majú zabrániť vzniku alebo šíreniu kybernetických incidentov,
• požiadavky na návrh, vývoj a prevádzku informačných systémov tak, aby boli bezpečné už od ich vzniku („security by design“).

Inými slovami, smernica je „návod na bezpečné fungovanie organizácie v digitálnom prostredí“.

Prečo je dôležitá?

Bez jasne definovaných pravidiel hrozí, že bezpečnostné opatrenia budú zavádzané nesystematicky, nejednotne alebo s nízkou účinnosťou.

Smernica preto:

• zjednocuje prístup k bezpečnosti v rámci celej organizácie,
• znižuje riziko ľudských chýb,
• zabezpečuje, aby sa nové systémy, technológie a služby zavádzali podľa jasne stanovených bezpečnostných kritérií.

Čo všetko rieši?

Podľa Jednotného metodického rámca má smernica obsahovať opatrenia pre tieto oblasti:

1. Organizácia a riadenie kybernetickej a informačnej bezpečnosti,
2. Riadenie rizík,
3. Personálna bezpečnosť,
4. Riadenie prístupov,
5. Spolupráca s tretími stranami,
6. Bezpečnosť prevádzky systémov a sietí,
7. Aktualizácie a opravy zraniteľností,
8. Ochrana proti škodlivému kódu,
9. Sieťová a komunikačná bezpečnosť,
10. Vývoj a údržba systémov,
11. Zaznamenávanie a monitorovanie udalostí,
12. Fyzická bezpečnosť,
13. Riešenie kybernetických incidentov,
14. Šifrovacie opatrenia,
15. Kontinuita prevádzky,
16. Audity a kontrola súladu.

Niektoré opatrenia sú bližšie rozpracované a vysvetlené na Centrálnom portály kybernetickej bezpečnosti v seriáli „Pod povrchom zákona“.

Ako funguje v praxi?

Smernica slúži ako praktický nástroj pre manažéra kybernetickej bezpečnosti alebo bezpečnostného špecialistu.

Na jej základe:

• plánujú a vyhodnocujú vhodné bezpečnostné technológie (napr. monitoring, log manažment, detekčné systémy, SIEM/SOC),
• nastavujú a kontrolujú procesy pre bezpečný vývoj a prevádzku informačných systémov, koordinujú spoluprácu s CSIRT, bezpečnostnými komunitami a regulačnými orgánmi.

Flexibilný, ale záväzný dokument

Vzor smernice z Jednotného metodického rámca ma odporúčací charakter, no obsahuje minimálne požiadavky, ktoré je organizácia povinná splniť. Každá organizácia si môže smernicu prispôsobiť podľa vlastných procesov, organizačnej štruktúry a technického prostredia, no vždy musí rešpektovať platnú legislatívu a záväzné bezpečnostné štandardy.

Čo bude nasledovať ?

V ďalšej časti seriálu sa pozrieme na tému Iné riadiace dokumenty.