ISMS » Dokumentácia k ISMS

V tejto časti bude vznikať a udržovať sa všetka bezpečnostná dokumentácia, od politík cez štandardy po predpísané alebo odporúčané postupy. Dokumenty budú tvorené v časti Wiki, finalne verzie publikované do Dokumenty, alebo Súbory . Budú vytvorené v nasledovnej štruktúre:

1. Zásady informačnej bezpečnosti (základný obsah)¶

Tieto stanovujú riadenie a očakávania.

1. Zásady informačnej bezpečnosti (hlavné zásady)

• celkové ciele bezpečnosti,
• záväzok manažmentu,
• rozsah pôsobnosti (zamestnanci, dodávatelia, systémy zákazníkov),
• referencie na ostatné dokumenty.

2. Systém riadenia rizík

• prístup k hodnoteniu rizík,
• kritériá akceptácie rizík,
• zodpovednosti za riešenie rizík.

3. Zásady dodržiavania právnych predpisov a iných záväzkov

• regulačné požiadavky (GDPR, Kyberzákon a súvisiace vyhlášky),
• zmluvné záväzky voči spoločnosti SAP a voči zákazníkom,
• ochrana duševného vlastníctva.

2. Riadenie prístupu a správa identít¶

Kritické kvôli prístupom do systémov SAP.

4. Zásady riadenia prístupu

• princíp najnižších privilégií,
• prístup na základe rolí,
• procesy schvaľovania a kontroly.

5. Zásady správy používateľských účtov

• vytvorenie a odstránenie účtu,
• procesy pripojenia / presunu / odchodu,
• pravidlá prístupu do systému zákazníka.

6. Zásady hesiel a overovania

• zložitosť hesla,
• požiadavky MFA (najmä pre SAP, VPN, cloudové nástroje)
• pravidlá ukladania oprávnení (credentials, mená, heslá, PIN)

7. Zásady privilegovaného prístupu

• prístup správcu SAP (základný, bezpečnostný, DDIC),
• núdzový prístup (backup účty),
• Logovanie a monitorovanie

3. Ochrana dát a súkromia¶

Pre konzultačné práce v SAP systémoch veľmi dôležité.

8. Zásady klasifikácie a spracovania údajov

• kategórie údajov (verejné, interné, dôverné, dôverné pre klienta),
• pravidlá spracovania pre každú kategóriu.

9. Zásady ochrany údajov a súkromia

• princípy GDPR,
• spracovanie osobných údajov,
• segregácia údajov klienta.

10. Zásady uchovávania a likvidácie údajov

• doby uchovávania,
• bezpečné vymazanie,
• vrátenie/zničenie údajov klienta po ukončení prác/zmluvy

11. Zásady šifrovej ochrany

• uložené údaje,
• prenášané údaje,
• správy kľúčov (hesiel).

4. IT správa a zabezpečenie koncových bodov¶

Pre notebooky, vzdialených konzultantov a cloudové nástroje.

12. Zásady správneho používania

• firemné zariadenia,
• Internet, e-mail a cloudové služby,
• zakázané aktivity.

13. Zásady zabezpečenia koncových zariadení

• štandardy zabezpečenia notebookov,
• Antimalvérové nástroje /EDR (centrálna správa, sanitizácia)
• šifrová ochrana diskov,
• požiadavky na uzamknutie obrazovky.

14. Zásady práce na diaľku

• pravidlá pri používaní vzdialeného prístupu,
• používanie VPN,
• obmedzenia verejných Wi-Fi sietí

15. Riadenie záplat a zraniteľností

• opravy (patche, updaty) operačného systému a aplikácií,
• zraniteľnosti špecifické pre SAP systémy,
• Identifikácia zraniteľnosti