Cílem této povinnosti je, aby osoby v rozhodujících pozicích chápaly důsledky svých rozhodnutí a jejich dopad nejen do kybernetické bezpečnosti společnosti, ale jejího celkového fungování. Manažeři se tak budou muset seznamovat s klíčovými dokumenty, anebo absolvovat pravidelná školení.

Za opakované porušení povinností může být výkon řídící funkce člena vrcholového vedení pozastaveno.

V oblasti kybernetické bezpečnosti je potřeba zaměstnance hlavně vzdělávat. A zaznamenávat to, že jste je vzdělávali. Sebelepší (a drahé) technické řešení kybernetické bezpečnosti může selhat v případě, že vaši zaměstnanci nebudou řádně vyškoleni a otevřou phishingový e-mail.

Plány vzdělávání, školení samotná a jejich evidence jsou hlavními povinnostmi v této oblasti.

K důležitým informacím vaší společnosti by se měly dostat pouze pečlivě vybrané osoby. K tomuto účelu slouží zakládání a evidence uživatelských účtů a řízení jejich přístupů. Zaměstnanec na HR by neměl mít přístup k obchodním datům společnosti, na rozdíl od ekonoma. A zase naopak – ekonom by neměl mít přístup k údajům o zaměstnancích.

Kontinuita činností vaší společnosti pomůže domyslet důsledky kybernetických útoků a jiných pohrom. Jaká by byla reakce v případě výpadku životně důležitého informačního systému? Jak rychle může být obnoven? Kolik mě bude stát, pokud budu chtít, aby to bylo rychleji?

Znát odpovědi na tyto a navazující otázky je lepší dřív, než se incident stane. V tom okamžiku je zásadní mít všechny postupy předem promyšlené a sepsané – k tomu slouží řízení kontinuity činností.

Bezpečnost komunikační sítě zajistíte například oddělením jednotlivých částí sítě pomocí logických celků. Neplecha pak zůstaneme jenom v dílčí části a bude tím ukončena.

S bezpečností komunikační sítě souvisí také vzdálené přístupy a zavedení VPN. S jeho implementací souvisí možnost ověřit totožnost přistupujících pomocí MFA a vést jejich evidenci.

Cílem užívání kryptografických algoritmů je zabezpečit komunikaci, technická aktiva a ostatní nástroje. Důležité je například vhodné zvolení komunikačních protokolů a stanovení pravidel pro nakládání s kryptografickými algoritmy.
NÚKIB tuto oblast aktivně sleduje a informuje o ní. Na jeho úřední desce je umístěn dokument „Minimální požadavky na kryptografické algoritmy“. Když se jej budete držet, neuděláte chybu.

U každého užívaného software je důležité, zda jej výrobce či dodavatel podporuje. U těch nepodporovaných totiž není možné zajistit jejich bezpečnost. V rámci aplikační bezpečnosti je například požadováno vedení seznamu nepodporovaného SW a dalších aktiv a skenování zranitelností interní sítě.

Aktivum je vše, co má pro Vaši společnost hodnotu. Jedná se zpravidla o informace, systémy nebo procesy.

Když aktiva ohodnotíte, budete vědět, která jsou pro Vás nejdůležitější, na čem závisí jejich fungování a kdo je za ně odpovědný.

Řízení rizik se táhne jako červená stuha celou kybernetickou bezpečností – jedná se o aktivitu, kterou je pravidelně nutné opakovat. Společnost musí stanovit metodiku, ve které popíše, jak hodnotí rizika, identifikuje hrozby a zranitelnosti. Cílem je, aby bylo jasné, jak rizika řídit do budoucna.