Která opatření zde má vyšší režim a která nižší?

Organizační opatření zahrnují procesy a dokumentace, které slouží jako manuál, jak se chovat bezpečně, nebo něco dělat správně. Mimo technická opatření pasivně podporují bezpečnost. Když jsou správně uchopené, zajišťují, že kyberbezpečnost funguje nejen na papíře, navíc podporují její kontinuitu a usnadňují bezpečný onboarding nových zaměstnanců. Organizační opatření můžete kromě vyhlášek k nZKB poznat i v newsletter sérii #UmimeNIS2.

Organizační opatření pro vyšší režim zahrnují:

• systém řízení bezpečnosti informací (mám procesy, dokumentace a technologie k řízení rizik),
• požadavky na vrcholné vedení (vedení uvolňuje zdroje a angažuje se v bezpečnosti),
• stanovení bezpečnostních rolí (mám rozdělené odpovědnosti za rozvoj a údržbu bezpečnosti),
• řízení bezpečnostní politiky a bezpečnostní dokumentace (reaguji na změny a pravidelně aktualizuji dokumentace),
• řízení aktiv (mám přehled o IT aktivech, vím, jak je chránit, bezpečně užívat, eviduji je a při změně aktualizuji evidenci),
• řízení rizik (mám postupy, jak odhalit hrozby pro firmu, vyhodnotit jejich závažnost a předejít jim),
• řízení dodavatelů (vím, že ti, se kterými spolupracuji, neohrozí firmu),
• bezpečnost lidských zdrojů (ve firmě všichni vědí, jak se chovat bezpečně a nezavinit útok),
• řízení změn (mám postup pro řízení významných změn a rizik s nimi spojených),
• akvizice, vývoj a údržba (když nakupuji nová aktiva, je to změna a vím, jak ji bezpečně řídit). 
• řízení přístupu (mám pravidla pro to, kdo, kdy, kam může a co tam může dělat),
• zvládání kybernetických bezpečnostních událostí a incidentů (mám plán a procesy, kterými zvládnu krizi),
• řízení kontinuity činností (mám plán, který mě udrží v chodu i navzdory krizi),
• provádění auditu kybernetické bezpečnosti (pravidelně a nestranně ověřuji, že vše funguje, jak má).

Organizační opatření pro nižší režim zahrnují:

• systém zajišťování minimální kybernetické bezpečnosti (mám procesy, dokumentace a technologie k řízení rizik),
• požadavky na vrcholné vedení (vedení uvolňuje zdroje a angažuje se v bezpečnosti),
• řízení aktiv (mám přehled o IT aktivech, vím, jak je chránit, bezpečně užívat, eviduji je a při změně aktualizuji evidenci),
• řízení rizik (mám postupy, jak odhalit hrozby pro firmu, vyhodnotit jejich závažnost a předejít jim),
• bezpečnost lidských zdrojů (ve firmě všichni vědí, jak se chovat bezpečně a nezavinit útok),
• řízení kontinuity činností (mám plán, který mě udrží v chodu i navzdory krizi),
• řízení přístupu (mám pravidla pro to, kdo, kdy, kam může a co tam může dělat),
• řešení kybernetických bezpečnostních incidentů (mám postup, jak incident odhalit, ohodnotit, nahlásit a vyřešit).