Co jsou organizační opatření kybernetické bezpečnosti?
Organizační opatření mění způsob, jakým lidé pracují a jak jsou nastavené firemní procesy. Na rozdíl od technických opatření, která spočívají v nákupu a nasazení technologií, se ta organizační zaměřují na lidské chování a pravidla. V praxi sem patří například:
- Směrnice a postupy: Zavedení jasných pracovních postupů a kontrolních mechanismů.
- Systémy řízení: Nastavení procesů pro fungování celé firmy nebo IT.
- Vzdělávání: Pravidelné školení zaměstnanců.
- Pravidla pro partnery: Stanovení bezpečnostních požadavků na dodavatele.
Zavedení většiny organizačních opatření je poměrně snadné. Sama o sobě ale nestačí – vždy je nutné je kombinovat s technickými opatřeními. Teprve toto spojení pravidel a technologií vám zajistí účinnou ochranu před nejběžnějšími IT riziky.
- Organizační opatření jsou založená na změnách procesů nebo změnách organizace práce.
- Pro změnu chování uživatelů je nezbytný tréning, školení a vzdělávání lidí
Jaká organizační opatření jsou pro naši firmu vhodná?
Konkrétní organizační opatření musí přirozeně vycházet z konkrétní situace a potřeb a velikosti vaší organizace a provedené analýzy rizik. Jiná organizační opatření bude mít malá rodinná firma o pár lidech a jiná firma s tisíci zaměstnanci. Zavedení většiny z nich poměrně snadné a v kombinaci s technickými opatřeními vám pomůže proti nejběžnějším IT rizikům.
Kdo má organizační opatření na starost?
Záleží na velikosti firmy, ale obvykle jsou organizační opatření na straně personalistů, ale i manažerů kvality nebo IT manažerů.
Přehled organizačních opatření kyberbezpečnosti ve středních firmách
Uvedený seznam nejlepších opatření a nástrojů je založený na zkušenostech středních firme a nejlepší praxi a obsahuje pouze základní výčet opatření, které se praxi ukázaly jako nejčastější.
- Vzdělávání zaměstnanců: Kontinuální školení v oblasti sociálního inženýrství.
- HR procesy: řízení přístupů při nástupu, změně pracovní pozice nebo odchodu zaměstnanců
- IT procesy: údržba, aktualizace i práce s daty a hesly
- Zvládání incidentů: Přesný plán, co dělat, když k útoku skutečně dojde (kdo co dělá) a jak obnovit normální provoz
- Řízení rizik: Pravidelná identifikace firemních aktiv a analýza hrozeb, které je mohou ohrozit.
- Bezpečnostní politiky: Jasné směrnice pro práci s daty, hesly, vzdáleným přístupem a používáním firemních zařízení.
Zavedení politik bezpečnosti a rolí do organizace
- zavedení systematického řízení bezpečnosti informací a kybernetické bezpečnosti
- zavedení bezpečnostních politiky, směrnic a procesních standardů
- zavedení rolí a odpovědnosti za bezpečnost data a informací (CISO/IT, vlastníci systémů)
Zavedená kultura bezpečnosti, vzdělávání lidí, povědomí o bezpečnosti
- zavedené vstupní školení zaměstnanců (v rámci onboardingu)
- zavedený pravidelný trénink a školení stávajících zaměstnanců
- simulace útoků - trénink krizových situací
- zavedená kultura bezpečnosti (kybernetická hygiena, politika hesel, účtů, ochrany koncových zařízení)
HR procesy: nástup, odchod, vzdělávání
- prověřování (screening) uchazečů před nástupem do firmy
- přidělování oprávnění v souladu s jejich pracovním zařazením (na základě role)
- nástup zaměstnance: přidělení správného oprávnění a proškolení a to včetně oprávnění přístupu do prostor firmy
- odchod: odebrání přístupů při odchodu, mlčenlivost
- změny práv při změně role
- evidence předaného a vráceného IT vybavení
- ošetření ochrany dat, intelektuálního vlastnictví a případně konkurenční doložky v pracovních smlouvách
IT procesy: řízení IT aktiv, ITSM, ITAM
- celý životní cyklus IT vybavení: pořízení–změny–vyřazení (včetně mazání dat)
- kompletní evidence HW/SW/SaaS/účtů, aktuální informace o vašem IT prostředí
- údržba, a provozní deník nad jednotlivými prvky IT
- pravidelné zálohy důležitých dat
- řízení bezpečnosti informací a dat: mazání, šifrování přenosu
- pravidelné aktualizace software a firemních aplikací
- pořízení IT vybavení: volba správné a bezpečné technologie
- monitoring vnitřní i vnější sítě, chování uživatelů, AI agentů a aplikací
- bezpečnostní požadavky na nové systémy, výběr odolných technologií
- řízené změny v konfiguracích systémů, definované procesy pro návrat do stabilního stavu (rollback)
- řízení výjimek a změn v IT prostředí: (musíte znát dopady změn)
Řízení rizik: Průběžné hodnocení kybernetických rizik
- identifikace kritických problémů, aktiv a procesů - aktualizace nových a odstranění neplatných
- metodika pro řízení rizik + registry rizik
- pravidelné hodnocení (aspoň ročně)
- vazba na zdroje (aktiva)
Řízení dodavatelů a nakupovaných služeb (Supply chain)
- seznam dodavatelů a dodávaných služeb + kritičnost
- security požadavky ve smlouvách, ošetřené smlouvy s dodavateli - SLA, NDA, exit
- hodnocení klíčových dodavatelů
- mějte pod kontrolou pracovníky dodavatelů, kteří mohou přistupovat k vašim datům a aktivům
Zvládání incidentů: Incident management (IR) a hlášení, Zvládání incidentů a řízení kontinuity
- systém hlášení incidentů incidentů
- eskalační procedury + kontaktní body + komunikace
- vyhodnocení incidentu a zavedení opatření (post-incident review)
- krizová komunikace v průběhu incidentu
Návrat do běžného provozu, kontinuita procesů (Business Continuity & DR, odolnost služeb)
- reakce na havárie, procesy obnovy do provozního (původního režimu)
- pravidelné testy obnovy
- BCP/DRP pro klíčové služby
- RTO/RPO cíle dle kritičnosti
Měření účinnosti, audit, zlepšování
- KPI/KRI pro bezpečnost
- interní audity / pen-testy dle rizik • review vedením • plán nápravných opatření