Ponad 70 tys. podmiotów KSC musi wzmacniać cyberodporność. Są rekomendacje
Zarządzanie ryzykiem, pełna inwentaryzacja aktywów ICT i OT, obowiązkowe MFA w określonych przypadkach, regularne aktualizacje i testowanie kopii zapasowych zgodnie z zasadą 3-2-1. To część katalogu rekomendacji dla ponad 70 tys. podmiotów kluczowych i ważnych w krajowym systemie cyberbezpieczeństwa. Zalecenia mają pomóc organizacjom zwiększać cyberodporność i realizować obowiązki wynikające z ustawy o KSC.
Rekomendacje Pełnomocnika Rządu ds. Cyberbezpieczeństwa wskazują podstawowy zestaw działań służących zwiększeniu cyberodporności organizacji. Dokument może być punktem wyjścia zarówno dla podmiotów dopiero budujących system zarządzania cyberbezpieczeństwem, jak i tych, które muszą wzmocnić stosowane już zabezpieczenia. Rekomendowane rozwiązania powinny być dostosowane do charakteru działalności danego podmiotu, poziomu ryzyka, znaczenia świadczonych usług oraz wykorzystywanej infrastruktury. Ich wdrożenie ma jednocześnie wspierać realizację obowiązków wynikających z ustawy o krajowym systemie cyberbezpieczeństwa.
Cyberbezpieczeństwo zaczyna się od zarządzania ryzykiem
Katalog rekomendowanych działań jest szeroki i obejmuje rozwiązania zarówno organizacyjne, jak i techniczne. Jednym z podstawowych elementów jest zarządzanie ryzykiem cyberbezpieczeństwa oraz tworzenie i regularne aktualizowanie polityk bezpieczeństwa. Istotną rolę ma w tym procesie kierownictwo organizacji. Rekomendacje wskazują na potrzebę jego aktywnego zaangażowania w nadzór nad cyberbezpieczeństwem.
Podmioty powinny również prowadzić pełną inwentaryzację aktywów ICT i OT, zarządzać podatnościami oraz regularnie wdrażać aktualizacje bezpieczeństwa. Powinny też stosować odpowiednie środki kryptograficzne do ochrony danych i zapewnić fizyczne bezpieczeństwo infrastruktury.
Rekomendowane jest ponadto wykonywanie i testowanie kopii zapasowych zgodnie z zasadą 3-2-1, zarządzanie ryzykiem związanym z łańcuchem dostaw ICT oraz stałe monitorowanie bezpieczeństwa, wykrywanie zagrożeń i skuteczne reagowanie na incydenty.
Podmioty KSC powinny wiedzieć, jakie mają urządzenia i systemy
Szczególny nacisk położono na zarządzanie aktywami. Organizacje powinny prowadzić kompletną i aktualną inwentaryzację zarówno technologii informacyjnych i komunikacyjnych (ICT), jak i technologii operacyjnych (OT).
Rejestr powinien obejmować m.in. urządzenia końcowe, serwery, urządzenia sieciowe, systemy OT, bazy danych oraz oprogramowanie. Poszczególnym aktywom należy przypisać właścicieli i sklasyfikować je według poziomu krytyczności.
Rekomendowana jest również identyfikacja usług dostępnych publicznie z internetu oraz ewidencjonowanie wykorzystywanych portów, protokołów komunikacyjnych i zależności pomiędzy systemami. Tak przygotowana inwentaryzacja ma pozwolić organizacji określić, jakie zasoby posiada i które z nich mają szczególne znaczenie z punktu widzenia bezpieczeństwa.
Nie każdy powinien mieć dostęp do wszystkiego
Kolejnym elementem rekomendacji jest zarządzanie tożsamością i uprawnieniami. System dostępu powinien być oparty na zasadzie minimalnych uprawnień (Least Privilege) oraz zasadzie wiedzy niezbędnej (Need-to-Know). Oznacza to, że użytkownicy i aplikacje powinni otrzymywać wyłącznie takie uprawnienia, które są niezbędne do wykonywania przypisanych im zadań.
Podmioty powinny także usuwać lub blokować konta domyślne i nieużywane, wyłączać zbędne porty, usługi oraz protokoły, a także stosować mechanizmy blokowania kont po wielokrotnych nieudanych próbach logowania.
Rekomendowane są okresowe przeglądy uprawnień. W przypadku zmiany stanowiska przez pracownika lub zakończenia wykonywania określonych zadań jego uprawnienia powinny zostać niezwłocznie odebrane albo odpowiednio zmodyfikowane.
MFA przy poczcie, pracy zdalnej i systemach krytycznych
Jednym z istotnych środków ograniczających możliwość nieuprawnionego dostępu jest uwierzytelnianie wieloskładnikowe (MFA). Zgodnie z rekomendacją powinno być ono obowiązkowo stosowane przy dostępie zdalnym, korzystaniu z poczty elektronicznej, systemów krytycznych oraz kont uprzywilejowanych.
Rekomendacja przewiduje również wyłączenie bezpośredniego dostępu administracyjnego do urządzeń i serwerów z publicznej sieci internet. Dostęp administracyjny powinien następować wyłącznie przez bezpieczne połączenia VPN zabezpieczone MFA. Podmioty powinny ponadto prowadzić ewidencję kont uprzywilejowanych i monitorować sposób ich wykorzystywania. W rekomendacji znalazło się także rozwijanie świadomości pracowników w zakresie cyberbezpieczeństwa. Kolejnym elementem są audyty oraz ciągłe doskonalenie stosowanych systemów bezpieczeństwa.
Rekomendacja ma przy tym charakter podstawowego katalogu dobrych praktyk. Stanowi fundament dla dalszych, bardziej szczegółowych działań w poszczególnych obszarach technologicznych i organizacyjnych, zarówno w oparciu o już wydane rekomendacje Pełnomocnika Rządu, jak i dokumenty, które mają być publikowane w przyszłości. Rekomendację można pobrać tutaj: Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa dot. środków organizacyjnych i technicznych zwiększających poziom bezpieczeństwa systemów informacyjnych
