Πολιτική Διαχείρισης Περιουσιακών Στοιχείων

Η Πολιτική Διαχείρισης Περιουσιακών Στοιχείων (P12) καθορίζει τις απαιτήσεις του οργανισμού για την αναγνώριση, την ταξινόμηση περιουσιακών στοιχείων, τη διαχείριση και την ασφάλεια όλων των περιουσιακών στοιχείων πληροφοριών σε όλο τον κύκλο ζωής τους. Το έγγραφο στοχεύει να παρέχει εποπτεία και διακυβέρνηση σε επίπεδο επιχείρησης, υποστηρίζοντας υλικό, λογισμικό, δεδομένα, υπολογιστικό νέφος, κινητά, απομακρυσμένα και περιβάλλοντα που διαχειρίζονται τρίτοι. Κεντρική πρόθεση είναι να διασφαλιστεί ότι ο οργανισμός επιτυγχάνει πλήρη ορατότητα στο χαρτοφυλάκιο περιουσιακών στοιχείων του, ώστε να επιτρέπονται αποτελεσματικοί τεχνολογικοί έλεγχοι, ανάθεση Ιδιοκτήτη περιουσιακού στοιχείου, κανονιστική συμμόρφωση και υπεύθυνες απαιτήσεις παροπλισμού. Τα περιουσιακά στοιχεία που διέπονται από αυτή την πολιτική περιλαμβάνουν ένα ευρύ φάσμα: φορητούς υπολογιστές, επιτραπέζιους υπολογιστές, κινητές συσκευές, αφαιρούμενα μέσα αποθήκευσης, εκτυπωτές, εξοπλισμό δικτύου, λογισμικό, βάσεις δεδομένων, δεδομένα αντιγράφων ασφαλείας, κλειδιά κρυπτογράφησης, δομημένα δεδομένα και μη δομημένα δεδομένα, αναφορές, ηλεκτρονικό ταχυδρομείο, πνευματική ιδιοκτησία, πόρους υπολογιστικού νέφους, εικονικές μηχανές, λογαριασμούς χρηστών, γραμμές βάσης διαμόρφωσης, άδειες και άλλα. Όλοι οι εργαζόμενοι, ανάδοχοι, τρίτοι πάροχοι υπηρεσιών και προμηθευτές τρίτων μερών που χρησιμοποιούν, διαχειρίζονται ή έχουν πρόσβαση σε περιουσιακά στοιχεία πληροφοριών που ανήκουν ή ελέγχονται από τον οργανισμό καλύπτονται από την πολιτική. Η κάλυψη αυτή επεκτείνεται και σε περιουσιακά στοιχεία σε απομακρυσμένα, υβριδικά ή περιβάλλοντα υπηρεσιών εξωτερικής ανάθεσης, διασφαλίζοντας ότι η ασφάλεια και η ιχνηλασιμότητα των περιουσιακών στοιχείων δεν υπονομεύονται από την τοποθεσία. Βασικός στόχος είναι η διατήρηση ενός κεντρικού, ακριβούς και ενημερωμένου Μητρώου περιουσιακών στοιχείων, το οποίο διαχειρίζεται ο Υπεύθυνος Διαχείρισης Περιουσιακών Στοιχείων Πληροφορικής και, όπου είναι δυνατό, ενσωματώνεται με άλλα συστήματα διαχείρισης διαμόρφωσης. Κάθε περιουσιακό στοιχείο που καταχωρίζεται σε αυτό το μητρώο πρέπει να περιλαμβάνει υποχρεωτικά μεταδεδομένα, όπως το μοναδικό αναγνωριστικό του, την ιδιοκτησία, την ταξινόμηση, την τοποθεσία και την κατάσταση κύκλου ζωής. Για κάθε περιουσιακό στοιχείο ορίζεται Ιδιοκτήτης περιουσιακού στοιχείου, με ευθύνη να διασφαλίζει την κατάλληλη ταξινόμηση, προστασία και περιοδική επικύρωση αρχείων. Η διαδικασία ταξινόμησης αποτελεί τη βάση ολόκληρης της πολιτικής, διασφαλίζοντας ότι τα περιουσιακά στοιχεία επισημαίνονται και διαχειρίζονται σύμφωνα με την ευαισθησία, την κρισιμότητα και τυχόν σχετικές ρυθμιστικές απαιτήσεις. Οι διαδικασίες επισήμανσης επιβάλλονται τόσο για ψηφιακά όσο και για φυσικά περιουσιακά στοιχεία, και οι απαιτήσεις χειρισμού, για παράδειγμα, κρυπτογράφηση, κλειδωμένη αποθήκευση ή περιορισμοί κοινόχρηστων πόρων δικτύου, πρέπει να αντιστοιχούν στα επίπεδα ταξινόμησης. Η πολιτική περιγράφει ελέγχους ασφάλειας σε κάθε στάδιο του κύκλου ζωής των περιουσιακών στοιχείων: διαδικασία ένταξης, ανακατανομή, χειρισμός, χρήση, ασφαλής επιστροφή κατά τη διαδικασία αποχώρησης και ασφαλής διάθεση. Ορίζει ότι η χρήση περιουσιακών στοιχείων πρέπει να συμμορφώνεται με την αποδεκτή χρήση εταιρικών περιουσιακών στοιχείων και απαγορεύει ρητά την επαναχρησιμοποίηση περιουσιακών στοιχείων για προσωπική χρήση, την εγκατάσταση μη εξουσιοδοτημένου λογισμικού ή την παράκαμψη ελέγχων όπως αντιιικό λογισμικό και κρυπτογράφηση. Οι κανόνες για τη χρήση απομακρυσμένων περιουσιακών στοιχείων απαιτούν τη χρήση εικονικού ιδιωτικού δικτύου (VPN) ή ασφαλούς σήραγγας μεταφοράς και μπορεί να περιλαμβάνουν λύσεις διαχείρισης φορητών συσκευών και προστασία τερματικών σημείων. Ο ασφαλής παροπλισμός και οι πρακτικές καταστροφής καλύπτονται σαφώς, απαιτώντας κρυπτογραφικές εκκαθαρίσεις ή φυσική καταστροφή με επιβεβαίωση και τήρηση αρχείων. Για την υποστήριξη της συνεχούς συμμόρφωσης και της Διαχείρισης Κινδύνων Ασφάλειας Πληροφοριών, η Πολιτική Διαχείρισης Περιουσιακών Στοιχείων ενσωματώνεται με το Μητρώο Κινδύνων του οργανισμού και υποστηρίζει εκτίμηση κινδύνου, διαχείριση εξαιρέσεων και διαδικασίες ελέγχου. Παραβιάσεις, όπως μη καταχωρισμένα ή μη εξουσιοδοτημένα περιουσιακά στοιχεία, ακατάλληλη διάθεση ή απενεργοποίηση ελέγχων, αποτελούν λόγους για κλιμάκωση και μπορεί να οδηγήσουν σε πειθαρχικά μέτρα, κυρώσεις προμηθευτών ή ακόμη και δικαστική διαδικασία. Οι περιοδικές ανασκοπήσεις της πολιτικής περιλαμβάνουν πολλαπλές ομάδες ενδιαφερόμενων μερών και ενεργοποιούνται από κανονιστικές αλλαγές, ευρήματα ελέγχου, περιστατικά ασφαλείας ή ουσιαστικές επιχειρησιακές αλλαγές. Το έγγραφο ολοκληρώνεται με αναφορά σε σχετικές πολιτικές, Πολιτική Ελέγχου Πρόσβασης, Πολιτική Ταξινόμησης και Χειρισμού Πληροφοριών, Πολιτική Διατήρησης Δεδομένων, Πολιτική Καταγραφής και Παρακολούθησης, Πολιτική Αντιμετώπισης Περιστατικών (P30), διασφαλίζοντας ότι η διαχείριση περιουσιακών στοιχείων αποτελεί κεντρικό πυλώνα της ευρύτερης δομής διακυβέρνησης του οργανισμού. Η πολιτική αυτή δεν επισημαίνεται ειδικά ως πολιτική για ΜΜΕ. Έχει σχεδιαστεί για οργανισμούς με καθορισμένες ομάδες όπως Λειτουργίες Πληροφορικής, Επικεφαλής Ασφάλειας Πληροφοριών (CISO), Υπεύθυνος Διαχείρισης Περιουσιακών Στοιχείων και διάφορους ενδιαφερόμενους συμμόρφωσης και λειτουργιών, καλύπτοντας τις ολοκληρωμένες απαιτήσεις του ISO/IEC 27001:2022 και υποστηρικτικών πλαισίων.