Що робити першого дня впровадження

Мінімальний набір

• Власник процесу — конкретна посадова особа, яка відповідає за впровадження.
• Перелік активів — системи, дані та сервіси, без яких організація не працює.
• Реєстр ризиків — навіть у вигляді таблиці з десяти рядків.
• Канал повідомлення про інциденти — куди й кому писати, з якими строками.

Чого не варто робити першого дня

• Не купувати інструменти до інвентаризації активів.
• Не писати повний комплект політик — почніть з однієї, яку виконуватимуть.
• Не планувати сертифікацію, поки не пройдено базовий чекліст.

Перший тиждень

• Пройдіть чекліст базової гігієни (рівень CIS IG1).
• Увімкніть багатофакторну аутентифікацію для адміністративних доступів.
• Перевірте, що резервні копії відновлюються, а не лише створюються.
• Зафіксуйте, які вимоги ви свідомо не виконуєте, і чому.

Що вважати результатом

Не набір документів, а здатність відповісти на три питання: що ми захищаємо, хто за це відповідає і що робимо, коли станеться інцидент.