Zakres certyfikacji Firma Bezpieczna Cyfrowo

Zakres oceny w firmie

Certyfikacja Firma Bezpieczna Cyfrowo dotyczy przede wszystkim cyberbezpieczeństwa i ochrony informacji wykorzystywanych w twojej działalności przed zagrożeniami z internetu.

Większość firm korzysta dziś ze smartfonów, komputerów i usług cyfrowych — poczty elektronicznej, stron internetowych czy usług online — wszystkie te elementy mogą być objęte zakresem oceny.

Zakres oceny obejmuje środki techniczne i organizacyjne, które składają się na cyberbezpieczeństwo firmy. Dotyczy to procedur i instrukcji, ale także wszystkich urządzeń mających dostęp do danych organizacji, takich jak:

• poczta elektroniczna
• dane klientów
• strona internetowa
• usługi online
• informacje dostępne zdalnie w chmurze.

Celem programu jest zwiększenie odporności twojej firmy, twoich urządzeń i danych poprzez ochronę przed najczęstszymi cyberatakami.

Certyfikacja jest przeznaczona dla firm sektora MŚP, niezależnie od wielkości i skali działania.

Jak określić zakres oceny w twojej firmie

Jednym z pierwszych kroków podczas ubiegania się o certyfikat jest ustalenie zakresu oceny, czyli określenie, co będzie oceniane — obszary objęte certyfikacją.

Zakres zależy od tego, jak pracujesz i jakich technologii używasz.

Możesz pracować samodzielnie z domu, korzystając z komputera, telefonu i usług chmurowych. Możesz być usługodawcą pracującym u klientów, korzystając z telefonu komórkowego. Możesz też prowadzić działalność w wielu lokalizacjach — w biurze, sklepie i online, mieć pracowników zdalnych albo pracowników, którzy korzystają z prywatnego sprzętu do celów służbowych.

Wszystkie te elementy znajdą się w zakresie oceny.

Przy ustalaniu zakresu trzeba wziąć pod uwagę:

• model działania firmy (np. jednoosobowa działalność, praca w wielu lokalizacjach)
• korzystanie z usług w chmurze
• sposób pracy pracowników, w tym pracę zdalną
• urządzenia używane do celów służbowych, również prywatne.

Certyfikowanie tylko części organizacji

Najskuteczniejszym rozwiązaniem jest certyfikowanie całej firmy. Pozwala to objąć ochroną wszystkie zasoby organizacji.

Czasami nie da się objąć certyfikacją całej organizacji — na przykład gdy korzystasz z urządzeń lub oprogramowania, które nie spełniają wymagań programu, bo nie są już wspierane przez producenta.

W takiej sytuacji konieczne jest techniczne oddzielenie części objętej certyfikacją od reszty, na przykład poprzez utworzenie podsieci z wykorzystaniem VLAN lub zapory sieciowej. Rozwiązanie to chroni część podlegającą ocenie przed zagrożeniami mającymi źródło w pozostałej sieci.

Jeżeli nie certyfikujesz całej firmy, musisz jasno opisać, co obejmuje zakres (np. cała organizacja z wyłączeniem sieci rozwojowej). Często wymaga to konsultacji ze specjalistami.

Sieć dla gości — kiedy można ją wyłączyć z zakresu

Jeśli twoja firma udostępnia sieć dla gości, która nie ma dostępu do danych i usług firmowych, a służy wyłącznie do korzystania z internetu, może zostać wyłączona z zakresu certyfikacji.

To szczególny przypadek, w którym zakres certyfikacji może zostać opisany jako „cała organizacja”, mimo że część infrastruktury technicznie nie jest oceniana. Dotyczy to na przykład:

• sieci Wi-Fi dla gości w hotelu
• sieć udostępniana studentom w szkole lub na uczelni.

Granica zakresu

Granice zakresu wyznaczają zapory sieciowe i routery, które oddzielają sieci i urządzenia firmy od internetu. Muszą one być zabezpieczone zgodnie z wymaganiami programu.

Zakres oceny obejmuje również urządzenia użytkowników końcowych, takie jak komputery, laptopy, tablety i urządzenia mobilne.

Obszary techniczne objęte oceną

Program Firma Bezpieczna Cyfrowo ocenia siedem obszarów technicznych:

• zabezpieczenia brzegowe (firewall)
• bezpieczną konfigurację
• zarządzanie aktualizacjami
• kontrolę dostępu użytkowników
• ochronę przed złośliwym oprogramowaniem
• tworzenie kopii zapasowych danych
• usługi cyfrowe i identyfikację w sieci.

Sprzęt IT bez dostępu do internetu

Jeśli posiadasz sprzęt IT, który nigdy nie łączy się z internetem ani z siecią połączoną z internetem, nie musisz go zgłaszać do certyfikacji.

Praca zdalna a zakres certyfikacji

Każdy, kto pracuje z domu — niezależnie od tego, jak często — jest traktowany jako pracownik zdalny.

Urządzenia używane do pracy zdalnej są objęte zakresem certyfikacji, także prywatne telefony komórkowe mające dostęp do służbowej poczty elektronicznej.

Zakresem oceny objęte są wszystkie urządzenia mające dostęp do danych lub usług organizacji, w tym urządzenia pracowników, wolontariuszy, członków zarządu, rad szkół oraz kontrahentów.

Dane i usługi organizacji

Dane

Dane organizacji to wszelkie elektroniczne informacje należące do firmy — e-maile, dokumenty, dane z baz danych, dane finansowe i inne informacje używane w działalności.

Usługi cyfrowe

To aplikacje mobilne, usługi w chmurze, zdalne pulpity oraz narzędzia do zarządzania urządzeniami mobilnymi, które są własnością firmy lub są przez nią subskrybowane.

Wszystkie usługi w chmurze są objęte zakresem oceny i muszą spełniać wymagania programu. Jeśli dane firmy są hostowane w chmurze, to twoja organizacja odpowiada za spełnienie wymagań bezpieczeństwa, niezależnie od modelu usługi — w zależności od rodzaju usługi w chmurze, za wdrożenie środków bezpieczeństwa może odpowiadać twoja organizacja lub dostawca usługi, ale to twoja firma podlega certyfikacji.

Pomoc i wsparcie

Jeżeli twoja organizacja ma złożoną strukturę i zakres oceny nie może objąć całej firmy, może być potrzebne profesjonalne wsparcie w planowaniu zabezpieczeń podsieci.