System Zarządzania Bezpieczeństwem Informacji (SZBI) w Twojej organizacji

Lp.

Obowiązki w ramach zarządzania bezpieczeństwem informacji

1.

Zapewnij aktualizację regulacji wewnętrznych w zakresie dotyczącym zmieniającego się otoczenia (uwzględniając cyberbezpieczeństwo).

2.

Dbaj o aktualność inwentaryzacji sprzętu i oprogramowania służącego do przetwarzania informacji (obejmującą ich rodzaj i konfigurację)

3.

Przeprowadzaj okresowe analizy ryzyka związanych z naruszeniem poufności, integralności lub dostępności informacji. Podejmuj działania mitygujące to ryzyko, stosownie do wyników przeprowadzonej analizy.

4.

Ustanawiaj dodatkowe zabezpieczenia w systemach IT (w zależności od rezultatów analiz ryzyka).

5.

Zapewnij, by osoby zaangażowane w proces przetwarzania informacji posiadały stosowne uprawnienia i uczestniczyły w tym procesie w stopniu adekwatnym do realizowanych przez nie zadań oraz obowiązków mających na celu zapewnienie bezpieczeństwa informacji.

6.

Niezwłocznie modyfikuj uprawnienia wskazanych osób, w przypadku zmiany ich zadań.

7.

Zapewnij szkolenia osób zaangażowanych w proces przetwarzania informacji ze szczególnym uwzględnieniem takich zagadnień, jak:

• zagrożenia bezpieczeństwa informacji,
• skutki naruszenia zasad zarządzania bezpieczeństwem informacji, w tym odpowiedzialność prawna,
• stosowanie środków zapewniających bezpieczeństwo informacji, w tym urządzenia i oprogramowanie minimalizujące ryzyko błędów ludzkich.

8.

Zapewnij ochronę przetwarzanych informacji przed ich kradzieżą, nieuprawnionym dostępem, uszkodzeniami lub zakłóceniami, przez:

• monitorowanie dostępu do informacji,
• czynności zmierzające do wykrycia nieautoryzowanych działań związanych z przetwarzaniem informacji,
• zapewnienie środków uniemożliwiających nieautoryzowany dostęp na poziomie systemów operacyjnych, usług sieciowych i aplikacji;

9.

Ustal podstawowe zasady zapewniające bezpieczną pracę przy przetwarzaniu mobilnym i pracy na odległość.

10.

Zabezpiecz informacje w sposób uniemożliwiający nieuprawnionemu jej ujawnienie, modyfikacje, usunięcie lub zniszczenie.

11.

Uwzględniaj w umowach serwisowych podpisanych ze stronami trzecimi zapisy gwarantujące odpowiedni poziom bezpieczeństwa informacji.

12.

Ustal zasady postępowania z informacjami zapewniające minimalizację wystąpienia ryzyka kradzieży informacji i środków przetwarzania informacji, w tym urządzeń mobilnych.

13.

Zapewnij odpowiedni poziomu bezpieczeństwa w systemach IT, polegającego w szczególności na:

• dbałości o aktualizację oprogramowania,
• minimalizowaniu ryzyka utraty informacji w wyniku awarii,
• ochronie przed błędami, utratą, nieuprawnioną modyfikacją,
• stosowaniu mechanizmów kryptograficznych w sposób adekwatny do zagrożeń lub wymogów przepisu prawa,
• zapewnieniu bezpieczeństwa plików systemowych,
• redukcji ryzyk wynikających z wykorzystania opublikowanych podatności technicznych systemów teleinformatycznych,
• niezwłocznym podejmowaniu działań po dostrzeżeniu nieujawnionych podatności systemów teleinformatycznych na możliwość naruszenia bezpieczeństwa,
• kontroli zgodności systemów teleinformatycznych z odpowiednimi normami i politykami bezpieczeństwa

14.

Niezwłocznie zgłaszaj incydenty naruszenia bezpieczeństwa informacji w określony i z góry ustalony sposób, umożliwiający szybkie podjęcie działań korygujących. Przeczytaj także: Co zawrzeć w procedurze reagowania na incydenty oraz pobierz wzór karty oceny incydentu.

15.

Zapewnij okresowy audyt wewnętrzny dotyczący bezpieczeństwa informacji.