Poniższe pytania pozwolą nam wstępnie zapoznać się z środowiskiem informatycznym w Państwa firmie.
Czy stosowane jest uwierzytelnianie wieloskładnikowe dla krytycznych systemów?
Uwierzytelnianie wieloskładnikowe wymaga od użytkownika podania dwóch lub więcej dowodów tożsamości przed uzyskaniem dostępu do systemu.
Przykład: Logowanie do systemu bankowego wymaga podania hasła oraz kodu SMS.
Czy w firmie praktykuje się korzystanie z menedżera haseł?
Menedżer haseł to narzędzie do bezpiecznego przechowywania i generowania silnych, unikalnych haseł dla różnych kont i systemów.
Przykład: Firma używa oprogramowania Bitwarden, wymagając od wszystkich pracowników korzystania z niego do zarządzania hasłami do systemów firmowych.
Czy przeprowadzane są regularne audyty bezpieczeństwa i aktualizacje systemów?
Regularne audyty i aktualizacje pomagają wykryć i naprawić luki w zabezpieczeniach.
Przykład: Firma przeprowadza kwartalne audyty bezpieczeństwa i instaluje aktualizacje systemów co tydzień.
Czy istnieje plan reagowania na incydenty bezpieczeństwa?
Plan reagowania określa kroki, które należy podjąć w przypadku naruszenia bezpieczeństwa.
Przykład: Plan zawiera procedury izolacji zainfekowanych systemów, powiadamiania odpowiednich osób i odzyskiwania danych.
Czy istnieje formalny framework zarządzania IT?
Framework zarządzania IT to zestaw najlepszych praktyk dla efektywnego zarządzania usługami IT.
Przykład: Firma stosuje ITIL (Information Technology Infrastructure Library) do zarządzania usługami IT.
Czy są udokumentowane polityki i procedury IT?
Polityki i procedury IT definiują standardy i procesy dla wszystkich aspektów zarządzania IT.
Przykład: Istnieje dokument opisujący procedury tworzenia i zarządzania kontami użytkowników.
Czy infrastruktura serwerowa i stacje robocze są regularnie oceniane?
Regularna ocena infrastruktury pomaga identyfikować przestarzały sprzęt i oprogramowanie.
Przykład: Co kwartał przeprowadzany jest przegląd wydajności serwerów i stacji roboczych.
Czy wszystkie licencje oprogramowania są aktualne?
Aktualne licencje zapewniają legalność oprogramowania i dostęp do najnowszych funkcji i poprawek.
Przykład: Firma prowadzi rejestr licencji i odnawia je przed wygaśnięciem.
Czy wykonywane są regularne kopie zapasowe danych?
Regularne kopie zapasowe chronią przed utratą danych w przypadku awarii lub cyberataku.
Przykład: Codzienne przyrostowe kopie zapasowe i pełne kopie co tydzień, z testami odzyskiwania co miesiąc.
Czy dane wrażliwe są szyfrowane(zarówno w spoczynku, jak i podczas transmisji)?
Szyfrowanie chroni poufność danych, nawet jeśli zostaną przechwycone przez nieuprawnione osoby.
Przykład: Wszystkie dane osobowe są szyfrowane w bazie danych i podczas przesyłania przez internet.
Czy stosowane są zapory sieciowe?
Zapory sieciowe kontrolują ruch sieciowy i chronią przed nieautoryzowanym dostępem.
Przykład: Firma używa zapór nowej generacji z funkcjami IPS i kontroli aplikacji.
Czy istnieją zabezpieczenia dostępu zdalnego do systemów?
Zabezpieczenia dostępu zdalnego chronią przed nieautoryzowanym dostępem spoza sieci firmowej.
Przykład: Dostęp zdalny jest możliwy tylko przez VPN z uwierzytelnianiem dwuskładnikowym.