Politika bezpečnosti informací

Politika bezpečnosti informací (P01) stanovuje základní závazek organizace chránit důvěrnost, integritu a dostupnost svých informačních aktiv. Tím, že vyžaduje zavedení formálního systému řízení bezpečnosti informací (ISMS), určuje strategický směr nezbytný pro udržování celopodnikového postoje k riziku, který je založený na rizicích, měřitelný a podléhá neustálému zlepšování. Rozsah této politiky je komplexní a zavazuje všechny zaměstnance, dodavatele, poskytovatele služeb třetích stran a všechna fyzická i digitální prostředí zapojená do zpracování firemních dat. Pokrývá celý životní cyklus informací a stanovuje přísné požadavky, že jakékoli vyloučení z tohoto rozsahu musí být plně zdokumentováno a schváleno vrcholovým vedením. Takto závazná aplikace zajišťuje jednotnost standardů ochrany napříč podnikem bez ohledu na umístění nebo funkci aktiva. Stanovené cíle nesměřují pouze k dosažení souladu s mezinárodními normami, jako jsou ISO/IEC 27001:2022, NIST SP 800-53 a COBIT 2019, ale také k podpoře kultury, ve které je bezpečnost již od návrhu součástí každodenních činností, partnerství a podnikových systémů. K tomu účelu přiřazené role a odpovědnosti vyjasňují očekávání pro vrcholové vedení, bezpečnostní pracovníky, vlastníky aktiv, pracovníky IT a technického provozu a veškerý personál. Tím je zajištěno, že každý – od vrcholového vedení po externí dodavatele – rozumí svým povinnostem při udržování bezpečnosti organizace a podpoře reakce na incidenty, školení a auditních činností. Správa v rámci ISMS je kritickým pilířem této politiky a vyžaduje formalizované struktury, jako jsou řídicí výbory a matice rolí a odpovědností, pro dohled nad průběžným posuzováním výkonnosti ISMS a umožnění včasného přezkoumání vedením. Politika stanovuje požadavky na mezifunkční koordinaci a zajišťuje, že bezpečnost informací není izolovaná, ale je začleněna do projektového řízení, pořizování, procesů lidských zdrojů a právních funkcí. Postupy přezkoumávání a aktualizace jsou přísně regulovány, včetně systémů správy verzí a výslovného schválení vrcholovým vedením, což dále podporuje odpovědnost a regulační obhajitelnost. Pro splnění regulačních, klientských a auditních požadavků politika vyžaduje, aby všechna opatření a podpůrná dokumentace byly auditovatelné a ověřitelné. Jsou popsány jasné postupy pro výběr bezpečnostních opatření na základě rizika, ošetření výjimek a přijetí zbytkového rizika. Vynucování je podpořeno konkrétními důsledky pro nedodržení, ochranou oznamovatelů a povinným školením. Propojení s dalšími klíčovými organizačními politikami, jako jsou matice rolí a odpovědností, zásady přípustného užívání, politika řízení přístupu, rámec pro řízení rizik a interní audit, zajišťují plné sladění napříč ISMS pro jednotné řízení rizik a souladu.