Kontrol 1
Politikker for risikoanalyse og informationssikkerhed
A. Juridisk krav
“Member States shall ensure that essential and important entities take appropriate and proportionate technical, operational and organisational measures to manage the risks posed to the security of network and information systems... including (a) policies on risk analysis and information system security.”
Dansk oversættelse: Medlemsstaterne sikrer, at væsentlige og vigtige enheder træffer passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at håndtere risici for sikkerheden af netværks- og informationssystemer... herunder (a) politikker for risikoanalyse og informationssystemsikkerhed.
B. Hvad det betyder i praksis
I skal have skriftlige politikker der dokumenterer hvordan I identificerer, vurderer og håndterer cyberrisici. Det er ikke nok at "vi tager sikkerhed alvorligt", der skal være konkrete dokumenter, der bliver opdateret regelmæssigt, og som ledelsen har godkendt.
C. Microsoft 365-features
- Microsoft Purview Compliance Manager(primær)
- Microsoft Secure Score(primær)
- Purview Risk Management(supplerende)
D. Licens-krav
Minimum-licens: Business Prem
E. Konfiguration
- •Gå til Microsoft 365 Defender → Secure Score og baseline jeres nuværende score
- •Åbn Purview Compliance Manager og start en NIS2-assessment (eller IT-grundbeskyttelse som proxy)
- •Eksportér Compliance Manager-rapport månedligt som dokumentation
- •Dokumentér jeres egne politikker (kan skrives i SharePoint eller eksternt værktøj)
F. Audit-bevis
- •Eksporteret Secure Score-historik (mindst 12 mdr)
- •Compliance Manager assessment-rapport, dateret seneste 3 mdr
- •Skriftlig informationssikkerhedspolitik godkendt af ledelsen, version-stemplet
- •Mødeprotokoller fra ledelsesreviews af politikken (kvartalsvis anbefalet)