Podstawowe praktyki cyberhigieny wymagane przez NIS 2 

Praktyczna checklista dla zespołów bezpieczeństwa

Proaktywny rozwój i promocja cyberbezpieczeństwa oraz najlepszych praktyk cyberhigieny umożliwia organizacjom poprawienie skuteczności ochrony przed zmieniającym się krajobrazem zagrożeń cybernetycznych. Cyberhigiena jest również jednym z wymagań z NIS 2.

W kontekście obowiązków NIS 2 mówimy m.in. o

• Regularnej aktualizacji systemów i oprogramowania
• Kontroli dostępu i nadawanie uprawnień
• Ochrony danych i infrastruktury sieciowej
• Monitorowania zagrożeń i podatności

Podstawowe procesy i narzędzia wspierające cyberochronę i cyberhigienę

1. Inwentaryzacja zasobów

• Tworzenie pełnej mapy sprzętu, oprogramowania, serwerów, urządzeń IoT i danych.
• Podstawowe narzędzia: bazy CMDB, narzędzia do inwentaryzacji.

2. Zarządzanie podatnościami

• Identyfikacja luk w systemach, konfiguracjach i oprogramowaniu.
• Narzędzia: skanery podatności, konsolidatory raportów (np. SecureVisio).

3. Zarządzanie danymi

• Inwentaryzacja danych, klasyfikacja wg krytyczności i wymogów regulacyjnych.
• Polityki archiwizacji, szyfrowanie, DLP, kopie zapasowe.

4. Tworzenie kopii zapasowych

• Regularne tworzenie, szyfrowanie i testowanie kopii zapasowych danych i systemów.
• Uwzględnienie wymogów RODO i polityk archiwizacji.

Wdrożenie programu podnoszenia świadomości cyberbezpieczeństwa

Samo podnoszenie świadomości na temat zagrożeń warto oprzeć o formalny program. Stworzenie programu wymaga:

1. Oceny metod dotarcia do pracownika – szkolenia online, materiały wideo, infografiki.
2. Stworzenie programu szkoleniowego – częstotliwość szkoleń, narzędzia edukacyjne.
3. Edukacja – dostarczenie wiedzy o zagrożeniach i praktykach cyberhigieny.
4. Weryfikacja – testy phishingowe, aktualizacja materiałów, sprawdzanie efektywności.

Zakres szkoleń powinien być uzależniony od obszaru zagrożeń organizacji. Niezależnie od kontekstu warto uwzględnić poniższe obszary:

• Rozpoznawanie i zgłaszanie ataków phishingowych
• Bezpieczeństwo pracy zdalnej i mobilnej
• Zarządzanie nośnikami danych i tworzenie silnych haseł
• Ochrona danych w chmurze i aplikacjach
• Reagowanie na incydenty i podstawy inżynierii społecznej

Checklista cyberhigieny i ochrony

Ogólne:

•  Inwentaryzacja zasobów
•  Regularne szkolenia dla pracowników
•  Aktualizacja polityk i narzędzi
•  Plan zarządzania ryzykiem
•  Program podnoszenia świadomości

Zarządzanie podatnościami:

•  Priorytetyzacja i naprawa luk
•  Regularne skanowanie infrastruktury

Kopie zapasowe:

•  Tworzenie i testowanie kopii zapasowych

Uwierzytelnianie MFA

Zarządzanie incydentami:

•  Plan reagowania na incydenty
•  Zespół reagowania na incydenty oraz wymagane technologie

Dane i ich ochrona:

•  Polityki przechowywania danych
•  Szyfrowanie danych w spoczynku i przesyłaniu
•  Monitorowanie dostępu do danych

---

Aleksander Bronowski – GTM Manager z ponad sześcioletnim doświadczeniem w doradztwie transakcyjnym i technologicznym. Na co dzień wspiera klientów w doborze i projektowaniu rozwiązań z obszaru cyberbezpieczeństwa. Specjalizuje się w obszarze zarządzania incydentami, podatnościami i ryzykiem, a także NIS 2.