Ramy regulacyjne i obowiązki UKSC/NIS2

• Krajowy system cyberbezpieczeństwa.
• Identyfikacja statusu organizacji – checklista wstępnej oceny podlegania UKSC.
• Interpretacja obowiązków organizacji wynikających z podlegania UKSC/NIS2.
• Wpis do wykazu podmiotów kluczowych / ważnych i obowiązki po dokonaniu wpisu.

Wdrożenie systemu zarządzania bezpieczeństwem informacji/ cyberbezpieczeństwem

• Identyfikacja zakresu systemu zarządzania bezpieczeństwem informacji w organizacji.
• Kroki w kierunku zaprojektowania systemu zarządzania bezpieczeństwem informacji zgodnego z UKSC.
• Analiza zgodności działań organizacji z wymaganiami ustawowymi (analiza luk).
• Integracja wymagań dot. cyberbezpieczeństwa z istniejącym SZBI.
• Przypisanie ról, odpowiedzialności i uprawnień w zakresie bezpieczeństwa informacji.
• Wdrożenie mechanizmów przeglądów i raportowania.
• Zapewnienie spójności działań organizacyjnych i technicznych.

Zarządzanie ryzykiem jako obowiązek ustawowy

• Budowa modelu zarządzania ryzykiem w organizacji – środki zarządzania ryzykiem.
• Jak gromadzić i wykorzystywać informacje o zagrożeniach i podatnościach, identyfikacja aktywów organizacji.
• Identyfikacja, analiza i ocena ryzyka.
• Podejmowanie decyzji o postępowaniu z ryzykiem – budowa planu postępowania z ryzykiem.
• Prowadzenie rejestru ryzyk jako dowodu zgodności.
• Zapewnienie aktualizacji oceny ryzyka w odpowiedzi na zmiany w organizacji i otoczeniu.

Środki bezpieczeństwa zgodne z UKSC

• Przegląd środków bezpieczeństwa wymaganych do wdrożenia przez UKSC.
• Mapowanie zabezpieczeń wynikających z załącznika A do normy ISO 27001 na wymagania wynikające z UKSC.
• Dobór i plan wdrożenia zabezpieczeń odpowiednich do poziomu ryzyka, znaczenia usług oraz możliwości organizacji.
• Zapewnienie bezpieczeństwa informacji przed utratą poufności, integralności i dostępności.
• Monitorowanie skuteczności wdrożonych zabezpieczeń.

Zarządzanie incydentami i obowiązki raportowe

• Wdrożenie procesu zarządzania incydentami obejmującego wykrywanie, analizę i reakcję na zdarzenie.
• Zapewnienie klasyfikacji incydentów zgodnie z wymaganiami UKSC.
• Organizacja współpracy z CSIRT poziomu krajowego.
• Wdrożenie procesu raportowania incydentów (wczesne ostrzeżenie, zgłoszenie, raport końcowy).
• Zapewnienie terminowości i kompletności zgłoszeń jako elementu zgodności.

Ciągłość działania i odporność operacyjna

• Wdrożenie rozwiązań zapewniających ciągłość działania usług kluczowych.
• Powiązanie cyberbezpieczeństwa z planami ciągłości działania (BCP/DR).
• Przygotowanie organizacji na zakłócenia operacyjne i incydenty.
• Testowanie planów ciągłości działania i scenariuszy kryzysowych.
• Zapewnienie odporności operacyjnej systemów i procesów.

Dokumentacja bezpieczeństwa informacji

• Systematyka dokumentacji systemu informacyjnego wykorzystywanego w procesie świadczenia usługi.
• Ustanowienie zasad nadzoru nad dokumentacją, w tym jej tworzenia, zatwierdzania, aktualizacji i przeglądów.
• Określenie zasad przechowywania dokumentacji oraz zabezpieczenia jej przed utratą, nieuprawnionym dostępem i modyfikacją.
• Przygotowanie dokumentacji i zapisów jako dowodów wykazania zgodności z wymaganiami UKSC.
• Zapewnienie spójności między dokumentacją a praktyką operacyjną.

Audyt i przygotowanie do kontroli

• Gromadzenie dowodów wdrożenia i działania systemu oraz środków bezpieczeństwa w organizacji.
• Przeprowadzenie wewnętrznego audytu zgodności z wymaganiami ustawowymi.
• Przygotowanie organizacji do kontroli organu właściwego.
• Wdrożenie mechanizmów doskonalenia systemu cyberbezpieczeństwa.