Audyty
Ocena skuteczności działania infrastruktury w zakresie urządzeń i konfiguracji w zakresie: ochrony poczty, ochrony sieci, systemów serwerowych, stacji roboczych, systemów bezpieczeństwa.
Zarządzanie bezpieczeństwem informacji:
- nośniki wymienne – udokumentowany sposób postępowania,
- zarządzanie tożsamością/dostęp do systemów w zakresie: przydzielanie dostępu, odbieranie dostępu,
- pomieszczenie/pomieszczenia w dyspozycji struktur zespołu odpowiedzialnego za cyberbezpieczeństwo zgodnie z wymogami dla Operatora Usługi Kluczowej, o którym mowa w art. 5 ustawy z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa.
Monitorowanie i reagowanie na incydenty bezpieczeństwa:
- procedury zarządzania incydentami,
- raportowanie poziomów pokrycia scenariuszami znanych incydentów,
- dokumentacja dotycząca przekazywania informacji do właściwego zespołu CSIRT poziomu krajowego/ sektorowego zespołu cyberbezpieczeństwa,
- monitorowanie i wykrycie incydentów bezpieczeństwa,
- Identyfikacja i dokumentowanie przyczyn wystąpienia incydentów.
Zarządzanie ciągłością działania:
- konfiguracja oraz polityki systemów do wykonywania kopii bezpieczeństwa,
- raport z przeglądów i testów odtwarzania kopii bezpieczeństwa,
- procedury wykonywania i przechowywania kopii zapasowych,
- strategia i polityka ciągłości działania, awaryjne oraz odtwarzania po katastrofie (DRP),
- procedury utrzymaniowe.
Utrzymanie systemów informacyjnych:
- harmonogramy skanowania podatności,
- aktualny status realizacji postępowania z podatnościami,
- procedury związane ze z identyfikowaniem (wykryciem) podatności,
- współpraca z osobami odpowiedzialnymi za procesy zarządzania incydentami.
Zarządzanie bezpieczeństwem i ciągłością działania łańcucha usług:
- polityka bezpieczeństwa w relacjach z dostawcami,
- standardy i wymagania nakładane na dostawców w umowach w zakresie cyberbezpieczeństwa,
- dostęp zdalny,
- metody uwierzytelnienia.
Kryteria Audytu Bezpieczeństwa oparte są o:
- Wymagania normatywne PN-EN ISO/IEC 27001:2017-06.
- Wymagania normatywne PN-EN ISO 22301:2020-04.
- Wewnętrzną dokumentację Zamawiającego.
- Przepisy o Krajowym Systemie Cyberbezpieczeństwa.
- Standardy Krajowych Ram Interoperacyjności (KRI).
- Zakresem Audytu objęta będzie cała działalność świadczeniodawcy.
