Агенцията на Европейския съюз за киберсигурност (ENISA) публикува една от най-четените си брошури и на български
Агенцията на Европейския съюз за киберсигурност (ENISA) съобщи, че брошурата с 12 стъпки за киберсигурност на малките и средни предприятия вече е достъпна на 23 езика, включително на български. Започвам да публикувам препоръките.
„Кризата с COVID-19 показа колко важни са за МСП интернет и компютрите като цяло. За да просперират в икономическата си дейност по време на пандемията, много МСП трябваше да предприемат мерки за непрекъснатост на дейността, например преминаване към облачни услуги, подобряване на интернет услугите, надграждане на уебсайтовете и осигуряване на възможности за персонала да работи от разстояние.
В настоящата листовка се предоставят на МСП 12 практически стъпки за високо равнище и по-добра защита на техните системи и дейности. Това е придружаваща публикация към по-подробния доклад на ENISA „Киберсигурност за МСП –предизвикателства и препоръки“.
На 2 юли писах за доклада на ENISA Кои са 12-те стъпки за осигуряване на киберсигурност за малки и средни предприятия?
Ето и първите 5 препоръки:
1 Развиване на добра култура за киберсигурност
Възлагане на управленска отговорност
Добрата киберсигурност е ключов елемент от трайния успех на всяко МСП. Отговорността за тази така важна функция трябва да бъде възложена на някой в организацията, който да осигури за киберсигурността да бъдат подсигурени подходящите ресурси, например време на персонала, закупуване на софтуер, услуги и хардуер за киберсигурност, обучение на персонала и разработване на ефективни политики.
Спечелване на участието на служителите
Участието на служителите трябва да се спечели чрез ефективна комуникация относно киберсигурността от страна на ръководството, открита подкрепа от негова страна на инициативи за киберсигурност, предоставяне на подходящи обучения за служителите и определяне на ясни и конкретни правила, очертани в политиките за киберсигурност.
Публикуване на политиката за киберсигурност
Съгласно Общия регламент на ЕС за защита на данните1 всички МСП, които обработват или съхраняват лични данни на лица, пребиваващи в ЕС/ЕИП, трябва да гарантират, че са налице подходящи мерки за сигурност с цел защита на тези данни. Това включва гаранции, че всички трети страни, работещи от името на МСП, разполагат с подходящи мерки за сигурност.
1 Общ регламент относно защитата на данните, https://ec.europa.eu/info/law/law-topic/data-protection_bg
Извършване на одити за киберсигурност
Трябва да се извършват редовни одити от лица с необходимите знания, умения и опит. Одиторите трябва да са независими, избрани като външен изпълнител или вътрешни служители в МСП, но независими от ежедневните ИТ дейности.
Да не се забравя защитата на данните
В политиката за киберсигурност трябва да бъдат очертани ясни и конкретни правила за служителите за това какво поведение се очаква да имат, когато използват ИКТ средата, оборудването и услугите на дружеството. В тази политика трябва също така да се акцентира върху последствията, с които служителят може да се сблъска, ако не спазва правилата в нея. Политиката трябва редовно да се преразглежда и актуализира.
2 Предоставяне на подходящо обучение
Осигуряване на редовни обучения за информираност относно киберсигурността за всички служители, за да се гарантира, че могат да разпознават и да се справят с различните заплахи за киберсигурността. Тези обучения трябва да са съобразени с конкретното МСП и да са фокусирани върху реални ситуации.
Осигуряване на специализирано обучение по киберсигурност за лицата, които отговарят за управлението на киберсигурността в рамките на дейността, за да се гарантира, че ще имат необходимите умения и компетенции да вършат работата си.
3 Гарантиране на ефективно управление на трети страни
Осигуряване, че всички доставчици, особено тези с достъп до чувствителни данни и/или системи, се управляват активно и отговарят на договорените равнища на сигурност. Трябва да има договорни споразумения, в които да бъде регламентирано как доставчиците отговарят на тези изисквания за сигурност
4 Разработване на план за реакция при инциденти
Да се разработи официален план за реакция при инциденти, който съдържа документирани ясни насоки, роли и отговорности, за да се гарантира, че на всички инциденти във връзка със сигурността ще се реагира своевременно, професионално и по подходящ начин. За да се реагира бързо на заплахи за сигурността, трябва да се проучат инструменти, чрез които те могат да се наблюдават и да се подават предупредителни сигнали, когато бъде отчетена подозрителна дейности или пробиви в сигурността.
5 Сигурен достъп до системи
Насърчаване на всеки да използва фраза парола, съчетание от най-малко три произволни често срещани думи, комбинирани във фраза, която е едновременно лесна за запомняне и сигурна. Ако бъде избрана типична парола:
- нека бъде дълга, с малки и главни букви, ако е възможно също и с цифри и специални символи.
- Да се избягват очевидни, напр. „парола“, поредица от букви или цифри като „абв“ или напр. „123“.
- Да се избягва използване на лична информация, която може да бъде намерена онлайн.
Без значение дали се използват фрази пароли или обичайни пароли,
- те не трябва да се използват в същия вид другаде.
- Не трябва да се споделят с колеги.
- Трябва да се активира двуфакторна автентикация.
- Да се използва специален мениджър на пароли.