Ministerstwo Cyfryzacji publikuje nowe zalecenia cyberbezpieczeństwa dla ponad 70 tys. podmiotów

Pełnomocnik Rządu ds. Cyberbezpieczeństwa opublikował nową rekomendację dotyczącą organizacyjnych i technicznych środków ochrony systemów informacyjnych. Dokument ma pomóc ponad 70 tys. podmiotów kluczowych i ważnych w krajowym systemie cyberbezpieczeństwa w budowaniu odporności na cyberataki oraz realizacji obowiązków związanych z bezpieczeństwem infrastruktury IT i OT.

Rekomendacja obejmuje zestaw praktyk dotyczących zarządzania ryzykiem, kontroli dostępu, ochrony danych, monitorowania zagrożeń i reagowania na incydenty. Jej celem jest uporządkowanie najważniejszych działań, które organizacje powinny uwzględniać przy projektowaniu i utrzymywaniu systemów zarządzania cyberbezpieczeństwem.

Od inwentaryzacji infrastruktury po ochronę danych

Jednym z podstawowych zaleceń jest prowadzenie pełnej inwentaryzacji zasobów ICT oraz technologii operacyjnych OT. Organizacje powinny wiedzieć, jakie urządzenia, aplikacje i systemy wykorzystują, kto ma do nich dostęp oraz które elementy infrastruktury są krytyczne dla ciągłości działania.

Dokument wskazuje również na konieczność stosowania zasad minimalnych uprawnień, uwierzytelniania wieloskładnikowego MFA i bezpiecznego dostępu zdalnego. Istotną część stanowią działania związane z identyfikowaniem podatności oraz regularnym aktualizowaniem oprogramowania.

W obszarze ochrony danych rekomendacja obejmuje stosowanie odpowiednich mechanizmów kryptograficznych i wykonywanie kopii zapasowych zgodnie z zasadą 3-2-1. Zakłada ona utrzymywanie trzech kopii danych na dwóch rodzajach nośników, z jedną kopią przechowywaną poza podstawowym środowiskiem.

Ministerstwo podkreśla także znaczenie testowania możliwości odtwarzania danych, prowadzenia audytów i przygotowania procedur reagowania na incydenty.

Znaczenie dla integratorów i dostawców usług bezpieczeństwa

Ważnym elementem dokumentu jest zarządzanie ryzykiem w łańcuchu dostaw ICT. Oznacza to potrzebę uwzględniania bezpieczeństwa produktów, usług i dostawców zewnętrznych, od których zależy funkcjonowanie organizacji.

Dla integratorów i firm świadczących usługi cyberbezpieczeństwa rekomendacja może stanowić podstawę do przeglądu środowisk klientów oraz określenia obszarów wymagających modernizacji. Dotyczy to między innymi systemów IAM, zarządzania podatnościami, rozwiązań backupowych i monitorowania infrastruktury.

Istotne jest jednak rozróżnienie między rekomendacją a przepisami prawa. Opublikowany dokument nie ustanawia samodzielnie nowych obowiązków dla wszystkich wskazanych podmiotów. Przedstawia katalog dobrych praktyk, które powinny być dostosowane do charakteru działalności, poziomu ryzyka i znaczenia świadczonych usług.

Zalecenia mają wspierać realizację wymagań ustawy o krajowym systemie cyberbezpieczeństwa, a także stanowić punkt wyjścia do bardziej szczegółowych działań ochronnych.