Политика за дистанционна работа

Политиката за дистанционна работа (P09) предоставя цялостна рамка за управление на сигурен отдалечен достъп и смекчаване на уникалните рискове, свързани с разпределени работни среди. Тя е предназначена за целия персонал, включително служители на пълен и непълен работен ден, служители по договор, доставчици на услуги на трети страни, консултанти, доставчици от трети страни и персонал по проекти, които са упълномощени да изпълняват служебни задължения извън корпоративните помещения. Политиката е валидна за всички географии и часови зони, в които организацията оперира, като осигурява единен базов набор от контроли независимо от това къде или кога се извършва дистанционната работа. Основната ѝ цел е да поддържа поверителност, цялостност и наличност на информационните активи на организацията, до които се осъществява достъп или които се обработват извън обекта. Политиката постига това чрез въвеждане на надеждни технологични и процедурни предпазни мерки, като задължително шифроване, силна автентикация (включително многофакторно удостоверяване), защита на крайните точки и защитени канали за достъп като виртуална частна мрежа (VPN) или отдалечени работни плотове. Тя е тясно съгласувана с изискванията на ISO/IEC 27001:2022, включително Annex A Control 6.7, който се фокусира върху сигурни условия за дистанционна работа, като гарантира, че са адресирани както физическите, така и логическите защити. Контролите отговарят и на индустриални регулации като NIST SP 800-53 (за контрол на достъпа и криптографски протоколи), GDPR и NIS2 (за сигурност на данните и защита на личните данни) и DORA (за устойчивост на финансовите ИКТ). Конкретни раздели на политиката определят правомощия, отчетност и отговорности във висшето ръководство, ръководството по информационна сигурност (директор по информационна сигурност (CISO)/мениджър на СУИС), ИТ операции, човешки ресурси (ЧР), пряк ръководител, правни въпроси и съответствие и самия дистанционен персонал. Например ИТ отговаря за внедряване и поддръжка на сигурна инфраструктура, проследяване на съответствието на устройствата и поддържане на логове. Служителите и външните изпълнители, работещи дистанционно, трябва да спазват правила за сигурно използване на устройства, одобрени методи за достъп, правила за боравене с данни и да докладват инциденти своевременно при инциденти по сигурността или загуба на устройство. Политиката строго забранява отдалечен достъп извън упълномощени конфигурации и изисква всички устройства — корпоративни или лични (BYOD) — да отговарят на базови изисквания за сигурност (конфигурация, прилагане на корекции, шифроване, защита от зловреден софтуер) и изисквания за регистрация на активи. Механизмите за управление в политиката адресират третиране на риска, управление на изключенията и прилагане и съответствие по строг начин. Рискови категории като кражба на удостоверителни данни, ексфилтрация на данни, вътрешни заплахи, регулаторни нарушения и компрометиране със зловреден софтуер се адресират директно чрез слоести контроли: контроли за достъп, базирани на роли, SIEM предупреждения, сигурност на крайните точки, правила за боравене с данни и обучение за повишаване на осведомеността по информационна сигурност. Освен това всички изключения трябва да бъдат одобрени от директора по информационна сигурност (CISO), документирани и периодично преглеждани. Непрекъснатият надзор се поддържа чрез мониторинг, централизирано регистриране и дефинирани процеси за одит. Нарушенията на политиката подлежат на отнемане на достъп, дисциплинарни мерки, прекратяване на договор или правни действия. Политиката се интегрира тясно и със свързани политики, включително Политика за информационна сигурност, Политика за допустимо използване, Политика за контрол на достъпа, Рамка за управление на риска, Управление на жизнения цикъл на информационните активи, Политика за съхранение на данни и Политика за регистриране и мониторинг, за да формира цялостен модел за управление на дистанционната работа. Годишният или обусловен от събития цикъл за преглед гарантира реакция спрямо развиващи се заплахи, регулаторни промени или технологичен напредък, като всички актуализации се комуникират формално и се изисква потвърждение за запознаване с политиката. Това последователно прилага сигурни, съвместими и надеждни операции във всички сценарии на дистанционна работа.