Která opatření zde má vyšší režim a která nižší?

Organizační opatření zahrnují procesy a dokumentace, které slouží jako manuál, jak se chovat bezpečně, nebo něco dělat správně. Pasivně podporují bezpečnost. Když jsou správně uchopené, zajišťují, že kyberbezpečnost funguje nejen na papíře, navíc podporují její kontinuitu a usnadňují bezpečný onboarding nových zaměstnanců. Organizační opatření můžete kromě návrhu vyhlášky k nZKB poznat i v newsletter sérii #UmimeNIS2.

Organizační opatření pro vyšší režim zahrnují:

• systém řízení bezpečnosti informací (mám procesy, dokumentace a technologie k řízení rizik),
• požadavky na vrcholné vedení (vedení uvolňuje zdroje a angažuje se v bezpečnosti),
• stanovení bezpečnostních rolí (mám rozdělené odpovědnosti za rozvoj a údržbu bezpečnosti),
• řízení bezpečnostní politiky a bezpečnostní dokumentace (reaguji na změny a pravidelně aktualizuji dokumentace),
• řízení aktiv (mám přehled o IT aktivech, vím, jak je chránit, bezpečně užívat, eviduji je a při změně aktualizuji evidenci),
• řízení rizik (mám postupy, jak odhalit hrozby pro firmu, vyhodnotit jejich závažnost a předejít jim),
• řízení dodavatelů (vím, že ti, se kterými spolupracuji, neohrozí firmu),
• bezpečnost lidských zdrojů (ve firmě všichni vědí, jak se chovat bezpečně a nezavinit útok),
• řízení změn (mám postup pro řízení významných změn a rizik s nimi spojených),
• akvizice, vývoj a údržba (když nakupuji nová aktiva, je to změna a vím, jak ji bezpečně řídit). 
• řízení přístupu (mám pravidla pro to, kdo, kdy, kam může a co tam může dělat),
• zvládání kybernetických bezpečnostních událostí a incidentů (mám plán a procesy, kterými zvládnu krizi),
• řízení kontinuity činností (mám plán, který mě udrží v chodu i navzdory krizi),
• provádění auditu kybernetické bezpečnosti (pravidelně a nestranně ověřuji, že vše funguje, jak má).

Organizační opatření pro nižší režim zahrnují:

• systém zajišťování minimální kybernetické bezpečnosti (mám procesy, dokumentace a technologie k řízení rizik),
• požadavky na vrcholné vedení (vedení uvolňuje zdroje a angažuje se v bezpečnosti),
• řízení aktiv (mám přehled o IT aktivech, vím, jak je chránit, bezpečně užívat, eviduji je a při změně aktualizuji evidenci),
• řízení rizik (mám postupy, jak odhalit hrozby pro firmu, vyhodnotit jejich závažnost a předejít jim),
• bezpečnost lidských zdrojů (ve firmě všichni vědí, jak se chovat bezpečně a nezavinit útok),
• řízení kontinuity činností (mám plán, který mě udrží v chodu i navzdory krizi),
• řízení přístupu (mám pravidla pro to, kdo, kdy, kam může a co tam může dělat),
• řešení kybernetických bezpečnostních incidentů (mám postup, jak incident odhalit, ohodnotit, nahlásit a vyřešit).