.png)
Virksomheder skal gennemføre en risiko- og sårbarhedsvurdering af kendte og mulige risici, der kan forstyrre eller forhindre leveringen af virksomhedens tjenester.
Stk. 2. Risiko- og sårbarhedsvurderingen efter stk. 1 skal indeholde:
Stk. 3. Virksomheder skal som led i deres identifikation og analyse af risici og sårbarheder:
Stk. 4. Risiko- og sårbarhedsvurderingen efter stk. 1 skal gennemføres med inddragelse af relevante medarbejdere og leverandører med teknisk og organisatorisk kendskab til virksomhedens processer, anlæg, net- og informationssystemer, netværksinfrastruktur og leverandørforhold.
Stk. 5. Risiko- og sårbarhedsvurderingen efter stk. 1 skal opdateres ved væsentlige ændringer og integreres i virksomhedens samlede risikobillede.
Stk. 6. Foranstaltninger efter stk. 2, nr. 3, skal implementeres under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostninger og risicienes alvor.
Organisaatio pyrkii ennakoivasti listaamaan ja arvioimaan erilaisten tietoturvariskien todennäköisyyttä ja vakavuutta. Dokumentaatio sisältää seuraavat asiat:
Organisaatio on määritellyt menettelyt tietoturvariskien arvioimiseksi ja käsittelemiseksi. Menettelyihin sisältyy ainakin:
Tehtävän omistaja tarkistaa säännöllisesti, että menettely on selkeä ja tuottaa johdonmukaisia tuloksia.
Organisaatio on määritelly prosessin, jonka perusteella tunnistetut tekniset haavoittuvuudet käsitellään.
Osa haavoittuvuuksista voidaan korjata suoraan, mutta merkittäviä vaikutuksia omaavat haavoittuvuudet tulisi dokumentoida myös tietoturvahäiriöinä. Merkittäviä vaikutuksia omaavan haavoituvuuden tunnistamisen jälkeen:
Organisaation olisi sisällytettävä ulkoisia riskejä ja haavoittuvuuksia koskevat tiedot arviointiprosessiinsa. Tähän sisältyy:
Tarkoituksena on varmistaa, että organisaation riskikuva perustuu arvovaltaisiin alakohtaisiin skenaarioihin, ajankohtaiseen uhkatiedusteluun ja realistiseen näkemykseen jäännösriskistä.
Yrityksen johtoelin tai valtuutettu henkilö on vastuussa organisaation riski- ja varautumisnäkökulman määrittämisestä ja valvonnasta. Tähän kuuluu kaikkien organisaation strategista suuntaa ja operatiivista häiriönsietokykyä ohjaavien keskeisten asiakirjojen, kuten riski- ja haavoittuvuusarviointien sekä varautumis- ja toiminnan jatkuvuussuunnitelmien, virallinen tarkastelu ja hyväksyminen. Nämä hyväksynnät on kirjattava virallisesti, jotta varmistetaan selkeä vastuuvelvollisuus.
Hyväksymisen jälkeen johtoelin on vastuussa siitä, että dokumentoidut menettelyt pannaan tehokkaasti täytäntöön ja niitä ylläpidetään.
Organisaation olisi laadittava ja ylläpidettävä häiriötilannereagointisuunnitelmia. Reagointisuunnitelmien tulisi sisältää ainakin seuraavat seikat
Häiriötilannereagointisuunnitelmissa olisi määriteltävä aktivointi- ja deaktivointiolosuhteet. Asiakirjojen saatavuus hätätilanteissa on otettava huomioon siten, että niistä on olemassa paikalliset ja fyysiset kopiot.
Riskikäsittelyn toteuttamisen jälkeen organisaatio arvioi jäljelle jäävän jäännösriskin tason riskikohtaisesti.
Jäännösriskin suhteen tehdään selkeä päätökset riskin omistajan toimesta joko riskin sulkemiseksi tai riskin palauttamiseksi käsittelyjonoon.
Digiturvamallissa kaikki vaatimuskehikkojen vaatimukset kohdistetaan universaaleihin tietoturvatehtäviin, jotta voitte muodostaa yksittäisen suunnitelman, joka täyttää ison kasan vaatimuksia.
.png)
Aloita ilmaiseksi tutussa Microsoft Teams -ympäristössä.
Jos sinulla on kysymyksiä, varaa palaveri sinulle sopivaan ajankohtaan.
.svg)
.svg)
