O politică de securitate cibernetică este un document fundamental care oferă micii dvs. afaceri o modalitate clară de a explica modul în care angajații ar trebui să protejeze sistemele, conturile, dispozitivele și datele digitale ale companiei.

Aceasta transformă securitatea din sfaturi disparate în așteptări partajate, răspunzând la întrebări precum ce practici sunt permise, ce ar trebui să evite angajații, cine deține care decizii și ce se întâmplă atunci când ceva nu merge bine.

Acest ghid vă oferă un cadru practic pentru scrierea sau revizuirea unei politici de securitate cibernetică pentru mica dvs. afacere. Îl puteți folosi ca șablon de pornire, puteți adapta fiecare secțiune la instrumentele și riscurile dvs. și puteți conecta politica la controale operaționale care o fac mai ușor de urmat.

Ce este o politică de securitate cibernetică?

De ce au nevoie micile afaceri de o politică de securitate cibernetică

Șablon de politică de securitate cibernetică: 9 secțiuni de bază

De ce eșuează politicile de securitate IT pentru afaceri?

Cum oferă Proton Pass for Business asistență pentru aplicarea politicii

Ce este o politică de securitate cibernetică?

O politică de securitate cibernetică este un document scris care definește modul în care afacerea dvs. protejează informațiile, sistemele, dispozitivele și conturile împotriva amenințărilor cibernetice(fereastră nouă). Aceasta ar trebui să explice ce se așteaptă de la angajați și contractori, inclusiv de la manageri și administratori, în activitatea de zi cu zi.

O politică puternică ar trebui să fie ca o referință pe care oamenii o pot folosi cu adevărat atunci când deciziile sunt neclare. Ar trebui să răspundă la întrebări precum:

  • Care parole și conturi au nevoie de protecție suplimentară?
  • Pot angajații să folosească dispozitive personale pentru muncă?
  • Unde ar trebui stocate datele sensibile?
  • Cine poate aproba accesarea sistemelor de afaceri?
  • Ce ar trebui să facă cineva dacă suspectează o încălcare?
  • Cât de des va fi revizuită politica?
  • Ce se întâmplă cu accesarea atunci când cineva pleacă din companie?

Pentru IMM-uri, cea mai bună politică de securitate cibernetică este scurtă, clară și suficient de specifică pentru a elimina presupunerile.

De ce au nevoie micile afaceri de o politică de securitate cibernetică

O politică de securitate cibernetică vă poate ajuta afacerea în trei moduri:

Stabilește așteptări: angajații știu ce este permis, ce este necesar și ce are nevoie de aprobare.

Creează responsabilitate: dacă accesarea, dispozitivele, gestionarea datelor și răspunsul la incidente au proprietari clari, securitatea nu mai depinde de memoria individuală.

Oferă asistență pentru conformitate și încrederea clienților: conformitatea cu regulile privind datele, cum ar fi GDPR, impune afacerii dvs. să proceseze datele cu caracter personal în siguranță, folosind măsuri tehnice și organizaționale adecvate, inclusiv analiza riscurilor, politici organizaționale și măsuri tehnice.

O politică scrisă de securitate a informațiilor ajută să afișeze că afacerea dvs. a luat în considerare acele responsabilități și a creat controale pentru a reduce riscul.

Raportorul Proton privind securitatea cibernetică a IMM-urilor întărește motivul pentru care acest lucru contează pentru echipele mai mici: IMM-urile se confruntă adesea cu riscuri reale de securitate fără a avea aceleași resurse ca marile întreprinderi. O politică practică oferă acestor echipe o modalitate de a prioritiza elementele de bază și de a le face repetabile.

Șablon de politică de securitate cibernetică: 9 secțiuni de bază

Utilizați următoarea structură ca șablon de politică de securitate cibernetică. Nu trebuie să faceți fiecare secțiune excesiv de lungă. Scopul este de a defini regula, de a atribui proprietarul și de a explica modul în care angajații ar trebui să o aplice.

1. Scopul și domeniul de aplicare al politicii

Începeți prin a explica de ce există politica și cui i se aplică. Această secțiune previne o problemă comună: oamenii care presupun că politica se aplică doar „sistemelor IT” sau angajaților cu normă întreagă.

Copie șablon:

Această politică de securitate cibernetică definește modul în care [Company Name] protejează sistemele, conturile, dispozitivele și datele de afaceri. Se aplică angajaților, contractorilor, lucrătorilor temporari și terților care accesează informațiile sau sistemele companiei.

Domeniul de aplicare ar trebui să includă dispozitivele deținute de companie, serviciile cloud aprobate, conturile de afaceri, mediile de lucru la distanță, dispozitivele personale utilizate pentru muncă și accesarea de către furnizori.

2. Politica de utilizare acceptabilă

Secțiunea privind utilizarea acceptabilă explică modul în care angajații pot folosi sistemele și conturile companiei.

Ar trebui să acopere:

  • Software-ul și serviciile de afaceri aprobate
  • Restricții privind aplicațiile sau extensiile de browser neautorizate
  • Reguli pentru descărcarea fișierelor și a software-ului
  • Utilizarea e-mailului companiei și a mesageriei
  • Utilizarea personală a dispozitivelor companiei
  • Activități interzise, cum ar fi partajarea conturilor fără aprobare sau ocolirea controalelor de securitate

Păstrați această secțiune practică. Angajații ar trebui să înțeleagă ce alegeri de zi cu zi sunt acceptabile, fără a fi nevoie să interpreteze limbajul tehnic.

Copie șablon:

Angajații trebuie să folosească sisteme de afaceri aprobate pentru activitatea companiei. Aplicațiile neaprobate, conturile personale de stocare și extensiile de browser neautorizate nu trebuie folosite pentru a stoca, procesa sau partaja datele companiei, cu excepția cazului în care sunt aprobate de [rol/echipă].

3. Cerințe privind gestionarea parolelor și a accesării

Este important să luați în considerare controalele de administrator. O politică poate defini cine ar trebui să aibă accesare, când este necesară autentificarea cu doi factori (A2F) și cum ar trebui să funcționeze offboarding-ul, dar echipele au în continuare nevoie de o modalitate operațională de a aplica aceste reguli. Un manager de parole pentru afaceri precum Proton Pass for Business oferă asistență pentru acest lucru prin panoul său de administrator, unde echipa dvs. poate gestiona accesarea, aplica politicile, revizui activitatea și reduce dependența de gestionarea informală a parolelor.

Politica dvs. ar trebui să prevadă că:

  • Parolele de lucru trebuie să fie unice și puternice.
  • Parolele nu trebuie reutilizate în conturile personale și de afaceri.
  • Acreditările partajate nu trebuie trimise prin modalități neaprobate, cum ar fi e-mail, chat, capturi de ecran, tichete sau documente.
  • A2F ar trebui să fie activată peste tot, începând cu conturile cu risc ridicat.
  • Accesarea ar trebui să fie acordată pe baza rolului și a nevoilor de afaceri.
  • Accesarea trebuie eliminată atunci când cineva își schimbă rolul sau pleacă.
  • Excepțiile trebuie documentate, inclusiv cazurile în care A2F nu poate fi încă activată, un cont partajat este temporar inevitabil, un furnizor are nevoie de accesare privilegiată pe o perioadă limitată sau un sistem original nu poate îndeplini cerințele standard de parolă sau de accesare.

Ghidul Proton pentru crearea unei politici de parole poate oferi asistență pentru această secțiune cu mai multe detalii despre regulile privind parolele, partajare, gestionarea accesării și autentificarea cu doi factori.

Acesta este, de asemenea, un punct în care politica are nevoie de asistență operațională. O regulă care spune „folosiți parole unice” este slabă dacă angajații trebuie în continuare să creeze și să rețină manual fiecare parolă.

Un manager de parole pentru afaceri precum Proton Pass for Business ajută echipele să transforme cerințele privind parolele în practică zilnică: angajații pot genera parole puternice și unice, le pot stoca în seifuri criptate, pot folosi completare automată și pot partaja parolele în siguranță, în loc să folosească canale nesigure — totul într-o singură aplicație.

Copie șablon:

Parolele de lucru trebuie să fie unice, puternice și stocate în managerul de parole pentru afaceri aprobat. Parolele nu trebuie reutilizate în conturi personale și de afaceri sau partajate prin e-mail, chat, capturi de ecran, tichete sau documente. Autentificarea cu mai mulți factori trebuie să fie activată pentru conturile cu risc ridicat, iar accesarea trebuie acordată pe baza rolului și a nevoilor de afaceri. Atunci când un angajat, contractor sau furnizor nu mai are nevoie de accesare, permisiunile trebuie revizuite și eliminate.

4. Clasificarea și gestionarea datelor

O politică de securitate cibernetică ar trebui să definească tipurile de informații cu care se confruntă afacerea dvs. și modul în care fiecare tip de informații ar trebui protejat. Iată trei niveluri pe care o mică afacere le poate folosi fără a complica lucrurile:

Public: informații aprobate pentru uz public

Intern: informații de afaceri pentru angajați și contractori aprobați, care nu ar fi adecvat să fie partajate în exterior

Confidențial: date ale clienților, date financiare, acreditări, contracte, dosare ale angajaților sau informații operaționale sensibile — orice poate cauza prejudicii dacă sunt divulgate

Copie șablon:

Informațiile confidențiale trebuie stocate numai în sisteme aprobate, partajate cu persoane autorizate și protejate de accesarea neautorizată. Angajații nu trebuie să stocheze date confidențiale de afaceri în conturi personale, documente negestionate sau dispozitive neaprobate.

5. Raportarea incidentelor și primul răspuns

Politica dvs. ar trebui să explice ce trebuie să facă angajații atunci când identifică sau suspectează o vulnerabilitate. Acesta nu trebuie să fie un plan complet de răspuns la incidente, dar ar trebui să definească primele acțiuni și responsabilitatea.

Includeți exemple precum:

  • Alerte de conectare suspecte
  • Dispozitive pierdute sau furate
  • E-mailuri de phishing
  • Partajare accidentală a datelor
  • Avertizări malware
  • Activitate neobișnuită a contului
  • Accesarea neautorizată a documentelor sau sistemelor

Utilizați ghidul Proton pentru prevenirea încălcării datelor pentru afaceri pentru îndrumări suplimentare privind reducerea riscului de încălcare înainte de producerea unui incident.

Copie șablon:

Angajații trebuie să raporteze imediat incidentele de securitate suspectate către [rol/echipă/contact]. Angajații nu trebuie să șteargă dovezi, să reseteze sistemele afectate sau să comunice în exterior despre un incident, cu excepția cazului în care primesc instrucțiuni de la proprietarul incidentului.

6. Reguli pentru lucrul la distanță și utilizarea propriului dispozitiv (BYOD)

Lucrul la distanță și dispozitivele personale din rețeaua dvs. de afaceri pot crea riscuri inutile dacă nu sunt gestionate corespunzător. Politica dvs. de securitate cibernetică ar trebui să explice dacă angajații pot folosi dispozitive personale, ce cerințe de securitate se aplică (cum ar fi securitatea BYOD) și ce se întâmplă dacă un dispozitiv este pierdut sau cineva pleacă.

Includeți:

Ghidurile Proton pentru politica de lucru la distanță și politica BYOD pot oferi asistență pentru această secțiune cu reguli mai detaliate pentru echipele distribuite și dispozitivele deținute de angajați.

Copie șablon:

Angajații pot accesa sistemele companiei numai de pe dispozitive aprobate care îndeplinesc cerințele de securitate. Dispozitivele pierdute sau furate trebuie raportate imediat. Datele companiei nu trebuie stocate în conturi cloud personale sau în aplicații negestionate.

7. Accesarea de către furnizorii terți

Micile afaceri se bazează adesea pe agenții, contractori, furnizori de software, contabili, consultanți și furnizori de servicii gestionate. Accesarea de către furnizori nu ar trebui niciodată tratată cu ușurință, deoarece poate crea o portiță de acces pe care afacerea dvs. nu o controlează pe deplin.

Un manager de parole pentru afaceri poate ajuta la transformarea acestui control într-unul mai practic, ajutând echipele să mențină acreditările furnizorilor delimitate, monitorizate și ușor de revocat atunci când o colaborare se încheie.

Politica dvs. ar trebui să definească:

  • Cine poate aproba accesarea de către furnizori
  • Ce sisteme pot accesa furnizorii
  • Dacă conturile de furnizor trebuie să fie individuale sau partajate
  • Cât timp durează accesarea
  • Cât de des este auditată accesarea de către furnizori
  • Cum sunt determinate permisiunile minime pentru fiecare furnizor
  • Ce se întâmplă când se termină un contract

Această secțiune oferă, de asemenea, asistență pentru securitatea lanțului de aprovizionare. Programul 10 pași al NCSC(fereastră nouă) o include ca o zonă cheie pentru gestionarea riscului cibernetic, ceea ce este deosebit de relevant pentru micile afaceri care externalizează părți din IT, finanțe, marketing sau operațiuni.

Copie șablon:

Accesarea de către terți trebuie să fie aprobată de [rol/echipă], limitată la sistemele necesare pentru activitate și revizuită la sfârșitul colaborării. Accesarea de către furnizori trebuie eliminată atunci când nu mai este necesară.

8. Cerințe privind instruirea angajaților

O politică de securitate cibernetică nu va funcționa dacă oamenii o văd doar în timpul procesului de onboarding. Instruirea periodică privind sensibilizarea în materie de securitate se asigură că politica dvs. este întotdeauna urmată.

Politica dvs. ar trebui să explice:

  • Când primesc angajații instruire în domeniul securității
  • Ce subiecte acoperă instruirea
  • Cât de des au loc cursurile de actualizare
  • Cine trebuie să finalizeze instruirea
  • Cum sunt comunicate noile riscuri sau modificările de politică

Subiectele de instruire pot include phishing-ul, gestionarea parolelor, A2F, partajarea sigură a fișierelor, gestionarea datelor, lucrul la distanță, securitatea dispozitivului și raportarea incidentelor.

Păstrați instruirea scurtă și practică. O politică succintă de cine pagini, cu o listă de verificare susținută de exemple scurte, este de obicei mai utilă decât un document supraîncărcat și prolix de 40 de pagini.

Copie șablon:

Angajații trebuie să finalizeze instruirea privind securitatea cibernetică în timpul integrării și cel puțin [anual/de două ori pe an]. Instruirea va acoperi securitatea parolelor, phishing-ul, gestionarea datelor, securitatea dispozitivului și raportarea incidentelor.

9. Frecvența de revizuire a politicii

O politică de securitate cibernetică ar trebui să se schimbe pe măsură ce afacerea se schimbă. Sistemele noi, modelele de lucru la distanță, furnizorii, regulile și incidentele pot face ca regulile vechi să devină incomplete.

Definiți:

  • Cât de des este revizuită politica
  • Un proprietar pentru revizuirea politicii de securitate cibernetică
  • Cum sunt aprobate modificările
  • Cum sunt comunicate actualizările
  • Ce declanșează o revizuire în afara ciclului regular

Copie șablon:

Această politică va fi revizuită la fiecare [șase sau 12 luni] de către [proprietar]. De asemenea, trebuie revizuită după un incident major de securitate, o schimbare semnificativă a sistemului, o actualizare a reglementărilor sau o modificare substanțială în operațiunile comerciale

De ce eșuează politicile de securitate IT pentru afaceri?

Majoritatea politicilor de securitate cibernetică eșuează din motive practice:

Politica este prea lungă: o politică de securitate cibernetică pentru întreprinderile mici nu ar trebui să încerce să acopere toate scenariile posibile. Dacă devine prea lungă, angajații nu o mai folosesc. Păstrați-o concisă și puneți un link către proceduri mai detaliate acolo unde este necesar.

Limbajul este prea tehnic: angajații nu ar trebui să aibă nevoie de cunoștințe de securitate pentru a urma ghidurile de securitate cibernetică ale afacerii. Folosiți un limbaj simplu și înlocuiți termenii tehnici cu explicații de zi cu zi, acolo unde este posibil.

Politica este prezentată doar în timpul procesului de onboarding: dacă politica este menționată o singură dată în timpul procesului de onboarding, aceasta nu va modela comportamentul zilnic. Consolidați-o prin instruire, memento-uri, ghiduri de referință rapidă și actualizări atunci când procesele se schimbă.

Politica nu este niciodată revizuită: o politică scrisă acum doi ani s-ar putea să nu reflecte sistemele actuale, practicile de lucru la distanță, accesarea de către furnizori sau așteptările de reglementare. Revizuiți-o în mod regulat.

Politica nu este aplicată: acesta este cel mai frecvent motiv de eșec. O politică poate spune că parolele trebuie stocate în siguranță, A2F trebuie să fie activată sau accesarea de către furnizori trebuie eliminată, dar acele reguli nu contează dacă nimeni nu le urmărește. Aplicarea înseamnă atribuirea de proprietari, utilizarea controalelor de administrator acolo unde sunt disponibile, revizuirea excepțiilor și transformarea comportamentului sigur în ceva mai simplu decât o scurtătură.

Pentru gestionarea parolelor și a accesării, Proton Pass for Business poate ajuta să ofere asistență pentru aplicarea politicii în mod operațional. Oferă echipelor seifuri criptate, partajare sigură, generare de parole și vizibilitate pentru administrator, astfel încât afacerea dvs. să nu se bazeze doar pe teorie. Administratorii pot, de asemenea, să monitorizeze starea parolei, reutilizarea acreditărilor și expunerea la încălcări pe dark web în întreaga organizație, în siguranță, fără a cunoaște parolele angajaților.

Cum oferă asistență Proton Pass for Business pentru aplicarea politicii

O politică de securitate cibernetică este utilă doar dacă afacerea o poate pune în practică. Regulile de parole și de accesare sunt un bun exemplu. Puteți scrie că parolele trebuie să fie unice, partajate în siguranță și eliminate atunci când oamenii pleacă. Dar dacă angajații folosesc în continuare browsere, foi de calcul, mesaje de chat sau note personale, politica este ușor de ignorat.

Proton Pass for Business oferă angajaților o modalitate sigură de a genera, stoca, folosi completarea automată și partaja acreditările, oferind în același timp administratorilor o mai bună vizibilitate asupra modului în care este gestionată accesarea. Acest lucru face ca secțiunea de gestionare a parolelor și a accesării din politica dvs. să fie mai ușor de urmat.

Pentru afacerile mici, beneficiul este practic. Nu aveți nevoie de o echipă mare de securitate pentru a începe să îmbunătățiți igiena acreditărilor. Un manager de parole pentru afaceri oferă echipei dvs. un loc central pentru acreditările de lucru, oferă asistență pentru o colaborare mai sigură și ajută la reducerea riscului de reutilizare a parolelor sau de partajare necontrolată.

Controlul accesării este unul dintre cele mai practice locuri pentru a transforma politica în acțiune. Atunci când acreditările sunt mai ușor de generat, stocat, partajat și revocat în siguranță, angajații sunt mai puțin predispuși să se bazeze pe soluții nesigure de ocolire. De asemenea, managerii obțin o modalitate mai clară de a oferi asistență pentru cerințele de parole și de accesare în operațiunile zilnice.

Aplicați politica dvs. de securitate cibernetică cu un manager de parole pentru afaceri securizat, precum Proton Pass for Business.