Pełnomocnik Rządu ds. Cyberbezpieczeństwa opublikował nowe rekomendacje dotyczące środków organizacyjnych i technicznych służących ochronie systemów informacyjnych. Dokument skierowany jest do podmiotów krajowego systemu cyberbezpieczeństwa (KSC), obejmującego ponad 70 tys. podmiotów kluczowych i ważnych. Zalecenia dotyczą m.in. zarządzania ryzykiem, ochrony infrastruktury, tworzenia kopii zapasowych oraz reagowania na incydenty.
Rosnąca liczba cyberzagrożeń wymaga od przedsiębiorstw i instytucji systematycznego wzmacniania zabezpieczeń. Opublikowana 16 października rekomendacja ma pomóc organizacjom w budowaniu odporności na cyberataki oraz przygotowaniu odpowiednich procedur bezpieczeństwa.
Dokument stanowi podstawowy katalog dobrych praktyk, które powinny być uwzględniane podczas tworzenia, utrzymywania i doskonalenia systemów zarządzania cyberbezpieczeństwem. Zalecenia mają zastosowanie zarówno do podmiotów dopiero wdrażających rozwiązania ochronne, jak i tych, które muszą dostosować istniejące zabezpieczenia do nowych zagrożeń i wymagań prawnych.
Od zarządzania ryzykiem po ochronę infrastruktury
Rekomendacja obejmuje szeroki zakres działań organizacyjnych i technicznych. Jednym z najważniejszych elementów jest zarządzanie ryzykiem cyberbezpieczeństwa, w tym opracowywanie i regularna aktualizacja polityk bezpieczeństwa. Dokument podkreśla również rolę kierownictwa, które powinno aktywnie uczestniczyć w nadzorowaniu tego obszaru działalności organizacji.
Wśród zaleceń znalazły się także pełna inwentaryzacja zasobów ICT i OT, zarządzanie uprawnieniami zgodnie z zasadą minimalnego dostępu oraz stosowanie uwierzytelniania wieloskładnikowego (MFA). Istotne znaczenie przypisano również bezpiecznemu dostępowi zdalnemu, regularnemu usuwaniu podatności i aktualizowaniu oprogramowania.
Osobną część rekomendacji poświęcono ochronie danych i ciągłości działania. Organizacje powinny stosować odpowiednie mechanizmy kryptograficzne, zabezpieczać fizycznie infrastrukturę oraz regularnie wykonywać i testować kopie zapasowe. W tym ostatnim przypadku wskazano zasadę 3-2-1, zakładającą utrzymywanie trzech kopii danych na dwóch różnych rodzajach nośników, z jedną kopią przechowywaną w odrębnej lokalizacji.
Zalecenia dotyczą także bezpieczeństwa łańcucha dostaw ICT, monitorowania zagrożeń, wykrywania incydentów i skutecznego reagowania na ataki. Uzupełnieniem działań technicznych mają być szkolenia pracowników, regularne audyty oraz ciągłe doskonalenie stosowanych zabezpieczeń.
Co rekomendacje oznaczają dla operatorów telekomunikacyjnych?
Nowe wytyczne mają znaczenie również dla przedsiębiorców telekomunikacyjnych objętych krajowym systemem cyberbezpieczeństwa. W ich przypadku szczególnie istotne pozostają ochrona infrastruktury sieciowej, kontrola dostępu do systemów administracyjnych, zarządzanie podatnościami urządzeń oraz zapewnienie ciągłości świadczenia usług.
Rekomendacja zwraca też uwagę na kwestie organizacyjne, które mogą stanowić wyzwanie zwłaszcza dla mniejszych przedsiębiorstw. Chodzi m.in. o dokumentowanie procedur bezpieczeństwa, zarządzanie ryzykiem związanym z dostawcami technologii oraz przygotowanie organizacji do skutecznego reagowania na incydenty.
Ministerstwo Cyfryzacji zaznacza, że zalecenia nie są jednakowym zestawem rozwiązań dla wszystkich organizacji. Powinny być dostosowywane do charakteru działalności, poziomu ryzyka, znaczenia świadczonych usług oraz wykorzystywanej infrastruktury.
Kolejny element wdrażania wymagań KSC
Publikacja rekomendacji wpisuje się w działania związane ze wzmacnianiem krajowego systemu cyberbezpieczeństwa. Wdrożenie wskazanych rozwiązań ma nie tylko ograniczać ryzyko skutecznych ataków, ale również wspierać przedsiębiorstwa i instytucje w realizacji obowiązków wynikających z ustawy o KSC.
Dokument nie zastępuje przepisów prawa, lecz stanowi praktyczny punkt odniesienia przy planowaniu i rozwijaniu zabezpieczeń. Jest także uzupełnieniem wcześniejszych rekomendacji Pełnomocnika Rządu ds. Cyberbezpieczeństwa, dotyczących m.in. ochrony dostawców internetu przed atakami DDoS, bezpieczeństwa urządzeń brzegowych i przeciwdziałania ransomware.
