Aja sünkroniseerimise poliitika – VKE

See aja sünkroniseerimise poliitika (P23S) kehtestab selged, kohustuslikud nõuded täpse aja sünkroniseerimise seadistamiseks ja säilitamiseks kõigis organisatsiooni süsteemides, mis on seotud äriliselt asjakohaste andmete talletamise, edastamise või töötlemisega. VKE poliitikana on P23S loodud spetsiaalselt organisatsioonidele, kus IT-rollid on lihtsustatud (nt tegevjuht ja IT-tugi), kuid see saavutab vastavuse ISO/IEC 27001:2022, GDPR-i, NIS2, DORA ja teiste raamistikega. Selle poliitika eesmärk on tagada süsteemilogide terviklus, hõlbustada täpset intsidentide uurimist ning tagada auditites kaitstavus, jõustades rangelt automatiseeritud aja sünkroniseerimise kontrollimeetmeid. See nõuab, et kõik ettevõtte IT-varad, kaugjuurdepääsuga ja pilves majutatud süsteemid, sh kasutajate lõppseadmed, serverid, tulemüürid ja SaaS-platvormid, tugineksid usaldusväärsetele, krüptograafiliselt kaitstud ajaallikatele (nt autentitud NTP-serverid või pilveteenusepakkuja tööriistad). Seadmed peavad sünkroniseerima vähemalt kaks korda päevas ja püsima määratletud lävendite piires (±5 sekundit tööjaamadele; ±1 sekund serveritele ja turvaseadmetele). Lävenditest väljapoole jäävad ajahälbed käivitavad automaatsed teavitused ning need tuleb viivitamata korrigeerida, et vältida ohte andmete jälgitavusele või regulatiivsele positsioonile. Poliitika määrab vastutused tegevjuhile, IT-toele ning andmekaitsekoordinaatorile või õigus- ja vastavusametnikule. Tegevjuht teostab järelevalvet ja kiidab heaks poliitika või mis tahes erandid, samal ajal kui IT-tugi seadistab, teostab seiret ja dokumenteerib aja sünkroniseerimise oleku. Töötajatel ja töövõtjatel on rangelt keelatud muuta seadme ajaseadeid; kõik sünkroniseerimisprobleemid tuleb viivitamata eskaleerida. Regulaarsed süsteemi tervisekontrollid ja perioodilised ülevaatused aitavad tagada jätkuva vastavuse, samal ajal kui erandite käsitlemine ja kompenseerivad kontrollimeetmed on hoolikalt juhitud ja dokumenteeritud. Aja sünkroniseerimine on otseselt seotud teiste VKE põhipoliitikatega, sh logimis- ja seirepoliitika, intsidentidele reageerimine, andmekaitse ja andmete minimeerimine, varade haldus ning kolmandate osapoolte turbepoliitika. Koos tagavad need poliitikad sidusa katvuse, et vastavuse, turvaseire või rikkumistele reageerimise jaoks kasutatavad logid oleksid täpsed nii sisu kui ka ajatemplite osas. Dokument rõhutab ranget läbivaatamise ja ajakohastamise protsessi, nõudes iga-aastast kordushindamist tegevjuhi, IT ja andmekaitse rollide poolt, kusjuures ajakohastused käivituvad tehnoloogiamuudatuste või uute regulatiivsete kohustuste tõttu. See terviklik lähenemine annab VKE-dele võime järgida ettevõtte taseme turvastandardeid ilma keerukate ja ressursimahukate järelevalvestruktuurideta.