Upravljanje kibernetičkom sigurnošću obuhvaća strateški i operativni okvir osmišljen za zaštitu mrežnih i informacijskih sustava te osiguravanje kontinuiteta poslovanja. Mjere se primjenjuju na IT i OT sustave te se prilagođavaju razini složenosti pojedinog subjekta.
- Predanost i odgovornost za kibernetičku sigurnost uključuje definiranje sigurnosnih politika, osiguravanje resursa, jasnu podjelu uloga i izbjegavanje sukoba interesa. Kontinuirano se prati stanje sustava u stvarnom vremenu uz redovito izvještavanje i edukaciju zaposlenika.
- Upravljanje programskom i sklopovskom imovinom zahtijeva precizan inventar sklopovske i programske opreme, klasifikaciju podataka te definiranje pravila za prijenosne medije i rad izvan prostorija subjekta, uz sigurno zbrinjavanje opreme i fizičku identifikaciju imovine.
- Upravljanje rizicima obuhvaća redovite procjene po principu svih prijetnji, vođenje registra rizika te integraciju sigurnosnih analiza u procjenu novih rješenja i šireg sustava upravljanja poslovnim rizicima.
- Sigurnost ljudskih potencijala i digitalnih identiteta pokriva provjere kandidata prije zapošljavanja, stalno podizanje svijesti o kibernetičkim prijetnjama, obuke za incidentne situacije, testiranje otpornosti na socijalni inženjering te pravovremeno upravljanje digitalnim identitetima i pravima pristupa.
- Osnovne prakse kibernetičke higijene obuhvaćaju obvezno korištenje višefaktorske autentifikacije, primjenu EDR i antivirusnih alata, redovito instaliranje sigurnosnih zakrpa, upravljanje ranjivostima te smanjenje javne izloženosti sustava.
- Osiguravanje kibernetičke sigurnosti mreže postiže se mrežnom segmentacijom, vatrozidima, enkripcijom prijenosa podataka, analizom mrežnog prometa te mehanizmima za detekciju anomalija.
- Kontrola fizičkog i logičkog pristupa mrežnim i informacijskim sustavima osigurava da pristup sustavima imaju samo autorizirane osobe, uz redovne godišnje revizije i poseban nadzor privilegiranih računa.
- Sigurnost lanca opskrbe obuhvaća procjenu i praćenje sigurnosnih rizika dobavljača, ugovaranje minimalnih sigurnosnih zahtjeva te izradu zajedničkih planova odgovora na incidente.
- Sigurnost u razvoju i održavanju mrežnih i informacijskih sustava temelji se na principima sigurne arhitekture, upravljanju promjenama, testiranju koda te primjeni DevSecOps praksi i kontinuiranoj integraciji sigurnosti.
- Kriptografija se primjenjuje na podatke u mirovanju i prijenosu, uz sigurno upravljanje ključevima te postupno uvođenje kvantno otporne kriptografije.
- Postupanje s incidentima uključuje dokumentirane procedure za analizu, zaustavljanje i oporavak, primjenu automatiziranih alata za detekciju te provođenje godišnjih simulacijskih vježbi.
- Kontinuitet poslovanja i upravljanje kibernetičkim krizama osiguravaju se analizom utjecaja na poslovanje, izradom planova oporavka, testiranjem redundancije te pripremom alternativnih podatkovnih centara.
- Fizička sigurnost sprječava neovlašteni pristup opremi kroz sigurnosne perimetre, digitalnu evidenciju pristupa i nadzor kritičnih prostorija u stvarnom vremenu.