A.8 Zabezpieczenia technologiczne

Zasady czytania tabeli są opisane na stronie A.5.

Uwaga terminologiczna: kilka zabezpieczeń dotyczy operational systems. Chodzi o systemy eksploatowane, czyli produkcyjne, a nie o systemy operacyjne (operating systems).

Nr	Zabezpieczenie	O co chodzi
8.1	Urządzenia końcowe użytkowników	Ochrona informacji na laptopach, telefonach i tabletach: szyfrowanie, MDM, blokada ekranu, aktualizacje.
8.2	Uprawnienia uprzywilejowane	Konta administracyjne przydzielane oszczędnie, osobne od codziennych, nadzorowane i okresowo przeglądane.
8.3	Ograniczenie dostępu do informacji	Techniczne wymuszenie polityki dostępu: każdy widzi tylko to, czego potrzebuje.
8.4	Dostęp do kodu źródłowego	Kontrola, kto może czytać i zmieniać kod, narzędzia deweloperskie i biblioteki.
8.5	Bezpieczne uwierzytelnianie	Mechanizmy logowania dopasowane do wrażliwości informacji — np. MFA dla dostępu zdalnego i kont uprzywilejowanych.
8.6	Zarządzanie pojemnością	Monitorowanie wykorzystania zasobów (dysk, CPU, łącza) i planowanie ich na przyszłość, żeby nie zabrakło.
8.7	Ochrona przed złośliwym oprogramowaniem	Narzędzia antymalware/EDR połączone ze świadomością użytkowników.
8.8	Zarządzanie podatnościami technicznymi	Pozyskiwanie informacji o podatnościach, ocena ekspozycji i terminowe łatanie lub inne działania.
8.9 ★	Zarządzanie konfiguracją	Bezpieczne konfiguracje bazowe (hardening) dla sprzętu, oprogramowania, usług i sieci — udokumentowane, wdrożone, monitorowane i przeglądane.
8.10 ★	Usuwanie informacji	Usuwanie danych z systemów, urządzeń i nośników, gdy przestają być potrzebne — wsparcie dla RODO i minimalizacji danych.
8.11 ★	Maskowanie danych	Ukrywanie danych wrażliwych (np. pseudonimizacja, anonimizacja, maskowanie numerów) zgodnie z polityką dostępu i prawem.
8.12 ★	Zapobieganie wyciekom danych	Mechanizmy DLP w systemach, sieciach i urządzeniach, które przetwarzają wrażliwe informacje.
8.13	Kopie zapasowe	Kopie informacji, oprogramowania i systemów wykonywane według polityki i regularnie testowane przez odtwarzanie.
8.14	Redundancja	Nadmiarowość systemów i infrastruktury wystarczająca do spełnienia wymagań dostępności.
8.15	Rejestrowanie zdarzeń	Logi aktywności, wyjątków, błędów i innych istotnych zdarzeń — generowane, przechowywane, chronione przed zmianą i analizowane.
8.16 ★	Monitorowanie działań	Obserwacja sieci, systemów i aplikacji pod kątem nietypowych zachowań i ocena ich jako możliwych incydentów (np. SIEM, SOC).
8.17	Synchronizacja czasu	Zegary systemów zsynchronizowane z zatwierdzonym źródłem czasu — inaczej nie da się zestawić logów.
8.18	Programy narzędziowe uprzywilejowane	Ograniczenie i kontrola narzędzi, które mogą obejść zabezpieczenia systemów i aplikacji.
8.19	Instalowanie oprogramowania w systemach eksploatowanych	Kontrolowany proces instalowania oprogramowania w systemach produkcyjnych.
8.20	Bezpieczeństwo sieci	Sieci i urządzenia sieciowe zabezpieczone, zarządzane i nadzorowane.
8.21	Bezpieczeństwo usług sieciowych	Określone i monitorowane mechanizmy bezpieczeństwa, poziomy usług i wymagania dla usług sieciowych (własnych i zewnętrznych).
8.22	Podział sieci	Segmentacja — oddzielenie grup użytkowników, usług i systemów (np. sieć gości, produkcja, biuro).
8.23 ★	Filtrowanie stron internetowych	Zarządzanie dostępem do zewnętrznych stron, żeby ograniczyć kontakt ze złośliwymi treściami.
8.24	Stosowanie kryptografii	Zasady skutecznego użycia kryptografii i zarządzania kluczami kryptograficznymi.
8.25	Bezpieczny cykl wytwarzania	Reguły bezpiecznego tworzenia oprogramowania i systemów (secure SDLC).
8.26	Wymagania bezpieczeństwa aplikacji	Wymagania bezpieczeństwa ustalane i zatwierdzane przy tworzeniu lub zakupie aplikacji.
8.27	Bezpieczna architektura i zasady inżynierii systemów	Spisane i stosowane zasady projektowania bezpiecznych systemów (np. defense in depth, zero trust).
8.28 ★	Bezpieczne programowanie	Stosowanie zasad bezpiecznego kodowania przy tworzeniu oprogramowania (np. wytyczne OWASP, przegląd kodu, SAST).
8.29	Testy bezpieczeństwa w wytwarzaniu i odbiorze	Testy bezpieczeństwa zdefiniowane i wykonywane w cyklu wytwarzania oraz przed odbiorem.
8.30	Wytwarzanie zlecone na zewnątrz	Kierowanie, monitorowanie i przegląd prac programistycznych zleconych innym firmom.
8.31	Rozdzielenie środowisk	Oddzielone i zabezpieczone środowiska: deweloperskie, testowe i produkcyjne.
8.32	Zarządzanie zmianami	Zmiany w systemach i infrastrukturze przechodzą przez proces zarządzania zmianą.
8.33	Dane testowe	Dane do testów dobrane, chronione i nadzorowane — najlepiej bez używania prawdziwych danych osobowych.
8.34	Ochrona systemów podczas testów audytowych	Testy audytowe i inne oceny systemów eksploatowanych planowane i uzgadniane między testującym a kierownictwem, żeby nie zakłócić działania.