Varahalduspoliitika

Varahalduspoliitika (P12) kehtestab organisatsiooni nõuded kõigi teabevarade tuvastamiseks, klassifitseerimiseks, haldamiseks ja turvamiseks kogu nende elutsükli vältel. Dokumendi eesmärk on tagada ettevõtteülene järelevalve ja juhtimine, hõlmates riistvara, tarkvara, andmeid, pilv-, mobiil-, kaug- ja kolmanda osapoole hallatavaid keskkondi. Selle põhieesmärk on tagada organisatsioonile täielik nähtavus oma varaportfelli üle, mis omakorda võimaldab tõhusaid turvakontrolle, omandi määramist, õigusnormidele vastavust ning vastutustundlikke kasutusest kõrvaldamise protseduure. Selle poliitika alusel hallatavad varad hõlmavad laia valikut: sülearvutid, lauaarvutid, mobiilseadmed, eemaldatav salvestus, printerid, võrguseadmed, tarkvara, andmebaasid, varundusandmed, krüpteerimisvõtmed, struktureeritud andmed ja struktureerimata andmed, aruanded, e-post, intellektuaalomand, pilveressursid, virtuaalmasinad, kasutajakontod, kontrollimeetmete baastase, litsentsid ja muu. Poliitika kehtib kõigile töötajatele, töövõtjatele, kolmanda osapoole teenuseosutajatele ja tarnijatele, kes kasutavad, haldavad või kellel on juurdepääs organisatsiooni omandis või kontrolli all olevatele teabevaradele. See hõlmab ka varasid kaug-, hübriid- või sisseostetud keskkondades, tagades, et varade turvalisus ja jälgitavus ei sõltu asukohast. Põhieesmärk on tsentraliseeritud, täpse ja ajakohase varade registri säilitamine, mida haldab IT varahaldur ning mis on võimaluse korral integreeritud konfiguratsioonihalduse süsteemidega. Iga varade registrisse kantud vara peab sisaldama kohustuslikke metaandmeid, nagu unikaalne identifikaator, omand, varade klassifitseerimine, asukoht ja elutsükli staatus. Iga vara jaoks määratakse varaomanik, kelle ülesanne on tagada vara asjakohane klassifitseerimine, kaitse ja perioodiline kirjete valideerimine. Klassifitseerimisprotsess on kogu poliitika alus, tagades, et varad on märgistatud ja hallatud vastavalt tundlikkusele, kriitilisusele ja asjakohastele regulatiivsetele nõuetele. Märgistamisprotseduurid on jõustatud nii digitaalsete kui ka füüsiliste varade puhul ning käitlemisnõuded (nt krüpteerimine, lukustatud hoiustamine või piiratud juurdepääs) peavad vastama klassifitseerimistasemetele. Poliitika kirjeldab turvakontrolle vara elutsükli igas etapis: sisseelamine, ümberjaotamine, andmekäitlus, kasutamine, turvaline tagastamine lahkumisprotsessis ning turvaline kõrvaldamine. See sätestab, et varade kasutamine peab vastama ettevõtte varade lubatud kasutamise standarditele ning keelab konkreetselt varade ümberotstarbestamise isiklikuks kasutuseks, autoriseerimata tarkvara paigaldamise või kontrollimeetmetest (nt viirusetõrje ja krüpteerimine) möödahiilimise. Kaugvarade kasutamise reeglid nõuavad virtuaalse privaatvõrgu (VPN) või turvalise transporditunneli kasutamist ning võivad hõlmata mobiilseadmete ja lõppseadmete halduse lahendusi. Turvaline kasutusest kõrvaldamine ja hävitamine on selgelt käsitletud, nõudes krüptograafilist pühkimist või füüsilist hävitamist koos kinnituse ja kirjete säilitamisega. Pideva vastavuse ja riskijuhtimise toetamiseks on varahalduspoliitika seotud riskiregistriga ning toetab riskihindamist, erandite haldust ja auditeerimisprotsesse. Rikkumised, nagu registreerimata või volitamata varad, ebaõige kõrvaldamine või kontrollimeetmete keelamine, on eskaleerimise aluseks ning võivad kaasa tuua distsiplinaarmeetmed, tarnijapoolsed sanktsioonid või isegi kohtumenetluse. Poliitika perioodilised ülevaatused hõlmavad mitut sidusrühma ning need käivituvad regulatiivsete muudatuste, auditi leidude, turbeintsidentide või oluliste operatiivsete muudatuste korral. Dokument lõpeb viidetega seotud poliitikatele: juurdepääsukontrolli poliitika, teabe klassifitseerimise ja käitlemise poliitika, andmete säilitamise poliitika, logimis- ja seirepoliitika, intsidentidele reageerimise poliitika (P30), tagades, et varahaldus moodustab organisatsiooni laiemas juhtimisstruktuuris keskse tugisamba. See poliitika ei ole eraldi märgistatud VKE poliitikana. See on mõeldud organisatsioonidele, kus on määratud meeskonnad ja rollid, nagu IT, infoturbejuht, IT varahaldur ning erinevad vastavuse ja operatsioonide sidusrühmad, täites ISO/IEC 27001:2022 terviklikud nõuded ja toetades raamistikke.