Cyberbezpieczeństwo
w zarządzaniu organizacją

Bezpieczeństwo jako kultura organizacji

Bezpieczeństwo informacji to coś więcej niż zestaw procedur technicznych - to element kultury organizacyjnej. Oznacza, że każdy w organizacji rozumie wagę informacji i czuje się za nią odpowiedzialny.

Nawet najlepszy system zabezpieczeń nie pomoże, jeśli pracownik zapisze hasło na karteczce. Kluczowa jest rola liderów - to oni dają przykład i budują kulturę bezpieczeństwa.

Pięć obowiązków kadry zarządzającej

1. 1Ustanowienie priorytetów bezpieczeństwa w politykach
2. 2Zapewnienie zasobów (ludzie, czas, budżet, narzędzia)
3. 3Rozliczalne przypisanie odpowiedzialności
4. 4Nadzór nad poziomem ryzyka i działaniami naprawczymi
5. 5Utrzymanie gotowości poprzez ćwiczenia i testy

Ustawa o KSC

Krajowy System Cyberbezpieczeństwa nakłada obowiązki na podmioty publiczne i infrastrukturalne: budowa SZBI, współpraca z CSIRT NASK/GOV/MON, raportowanie incydentów.

KRI - Krajowe Ramy Interoperacyjności

Rozporządzenie wymusza podejście procesowe: procedury, nadzór nad dostępem, bezpieczeństwo systemów i ciągłość działania. Fundament cyberhigieny instytucjonalnej.

Procedura: MONITORUJ-POINFORMUJ-ZABEZPIECZ-RAPORTUJ

1. 1MONITORUJ - śledź komunikaty RCB i CSIRT NASK
2. 2POINFORMUJ - powiadom kadrę i pracowników
3. 3ZABEZPIECZ - wzmocnij kontrolę dostępu
4. 4RAPORTUJ - zgłaszaj incydenty do CSIRT NASK

Model zarządzania ryzykiem (ISO 27005)

1. 1Identyfikacja aktywów i procesów krytycznych
2. 2Identyfikacja zagrożeń i podatności
3. 3Ocena ryzyka (prawdopodobieństwo x skutek)
4. 4Decyzja o postępowaniu z ryzykiem
5. 5Wdrożenie działań i monitorowanie

Kluczowe wskaźniki (KPI/KRI)

• MTTD - medianowy czas wykrycia incydentu
• MTTR - medianowy czas przywrócenia działania
• Odsetek systemów z aktualnymi poprawkami
• Pokrycie szkoleniami cyberbezpieczeństwa
• Liczba otwartych działań wysokiego ryzyka

Pierwsze 60 minut

1. 1IDENTYFIKUJ - niezwłoczne zgłoszenie podejrzanego zdarzenia
2. 2ZABEZPIECZ - odłącz urządzenie od sieci bez niszczenia śladów
3. 3ESKALUJ - powiadom IT, kierownictwo, IOD
4. 4DOKUMENTUJ - czas, objawy, zakres, podjęte działania

Godziny 1-6

• Potwierdzenie klasy incydentu i zasięgu
• Działania ograniczające skutki
• Ochrona dowodów cyfrowych i logów
• Analiza wpływu na dane osobowe
• Przygotowanie komunikacji wewnętrznej

Godziny 6-24

• Plan odtworzenia i priorytetyzacja usług
• Decyzje prawne i notyfikacyjne (RODO 72h)
• Komunikacja z interesariuszami zewnętrznymi
• Monitoring wtórnych oznak naruszenia
• Raport kierowniczy: co, jak, co dalej

Zasady silnych haseł

• Minimum 12-14 znaków (im dłuższe, tym lepsze)
• Mieszanka liter, cyfr, znaków specjalnych
• Unikalne hasło dla każdego konta
• Unikaj danych osobowych (daty, imiona)
• Rozważ passphrase - zdanie jako hasło

Codzienne nawyki bezpieczeństwa

• Blokuj ekran odchodząc od komputera (Win+L / Cmd+Ctrl+Q)
• Nie zapisuj haseł na karteczkach ani w plikach
• Sprawdzaj linki przed kliknięciem
• Zgłaszaj podejrzane wiadomości
• Aktualizuj oprogramowanie regularnie

Klasyfikacja informacji (ISO 27001)

• PUBLICZNE - dostępne dla wszystkich
• WEWNĘTRZNE - tylko dla pracowników
• POUFNE - ograniczony dostęp, need-to-know
• SZCZEGÓLNIE CHRONIONE - najwyższa ochrona

Bezpieczne przeglądanie

• Sprawdzaj HTTPS (kłódka) przed podaniem danych
• Weryfikuj domenę - czy to prawdziwa strona?
• Nie klikaj w linki z nieznanych źródeł
• Aktualizuj przeglądarkę i rozszerzenia

Bezpieczeństwo urządzeń mobilnych

• Silne hasło/PIN lub biometria
• Szyfrowanie pamięci urządzenia
• Możliwość zdalnego wymazania (MDM)
• Tylko aplikacje z oficjalnych źródeł
• Regularne aktualizacje systemu

Polityka czystego biurka

• Nie zostawiaj dokumentów na biurku
• Dokumenty poufne w zamykanych szafach
• Niszczenie przez certyfikowane niszczarki
• Blokuj ekran odchodząc od komputera

Czym jest OSINT

Open Source Intelligence - zbieranie informacji z publicznie dostępnych źródeł. Atakujący wykorzystują te dane do spersonalizowanych ataków (spear phishing).

Ochrona przed OSINT

• Regularny audyt informacji publicznych o organizacji
• Polityka publikowania w mediach społecznościowych
• Usuwanie metadanych z dokumentów
• Monitoring wycieków poświadczeń (HIBP)
• Szkolenie pracowników z bezpiecznego publikowania

Dokumentacja wspierająca

• Procedura zarządzania incydentami
• Polityka kontroli dostępu
• Polityka kopii zapasowych
• Procedura zarządzania zmianami
• Plan ciągłości działania (BCP/DRP)

Cykl PDCA

1. 1PLAN - ustanowienie polityki, celów, procesów
2. 2DO - wdrożenie i eksploatacja systemu
3. 3CHECK - monitorowanie i przegląd skuteczności
4. 4ACT - działania doskonalące na podstawie wyników

Procedura zgłaszania naruszeń

1. 1Wykrycie i wstępna ocena zdarzenia
2. 2Powiadomienie IOD i zespołu ds. incydentów
3. 3Ocena ryzyka dla praw osób
4. 4Decyzja o zgłoszeniu do UODO (72h)
5. 5Decyzja o powiadomieniu osób (bez zbędnej zwłoki)
6. 6Dokumentacja w rejestrze naruszeń