Hyväksyttävän käytön politiikka

Hyväksyttävän käytön politiikka (AUP) määrittää standardit organisaation tietojärjestelmien, teknologiaresurssien ja tietovarallisuuden vastuulliselle, turvalliselle ja lainmukaiselle käytölle. Yleistavoitteena on määritellä sekä hyväksyttävät että kielletyt toiminnot, kun käytetään yrityksen laskentaresursseja, mukaan lukien työasemat, mobiililaitteet, palvelimet, pilvipalvelut ja verkot. Tämä politiikka varmistaa, että kaikki käyttäjät – työntekijät ja urakoitsijat sekä kolmannen osapuolen toimittajat – ovat tietoisia vastuistaan organisaation tietovarallisuuden luottamuksellisuuden, eheyden ja saatavuuden suojaamisessa. Politiikan mukaan soveltamisala on kattava ja koskee jokaista henkilöä ja tahoa, jolle on myönnetty pääsy, sekä kaikkia teknologian ja yrityksen datan muotoja. Se koskee yhtä lailla yritystoimistoja, etätyöjärjestelyjä ja kenttäsijainteja. Perinteisten IT-käyttäjien lisäksi myös omien laitteiden käyttö (BYOD) -järjestelyissä tai hybridiympäristöjen kautta toimivien on noudatettava sitä. Jokaisen käyttäjän on annettava politiikan hyväksyntä järjestelmä- ja datapääsyn ennakkoehtona, ja tämä hyväksyntä säilytetään auditointi- ja vaatimustenmukaisuustarkoituksiin. Politiikan tavoitteet korostavat selkeiden rajojen asettamista sallittujen ja kiellettyjen toimien välille. Se edellyttää luvattoman pääsyn tai tietovuotojen ehkäisyä käyttäytymislähtöisten uhkien osalta, kuten huolimattoman käytön, luvattomien ohjelmistojen asennuksen tai turvakontrollien kiertämisen. Vaatimustenmukaisuuden varmistamiseksi roolit ja vastuut määritellään: ylin johto (politiikan hyväksyntä ja valvonta), IT- ja tietoturvatiimit (tekninen täytäntöönpano, seuranta, tutkinta), esihenkilöt (paikallinen valvonta, vähäisten rikkomusten käsittely), henkilöstö- ja lakiasiat (kurinpitotoimet, politiikan lainmukaisuus) sekä kaikki käyttäjät (eettinen käyttö, poikkeamien raportointi, todennustietojen suojaaminen). Hallintotapa ja täytäntöönpanotoimet on suunniteltu huolellisesti. Käyttäjien on osallistuttava muodolliseen kuittaukseen ja toistuviin koulutuksiin, mikä vahvistaa tietoisuutta ja eettistä käyttäytymistä. IT- ja tietoturvatiimit toteuttavat verkkosuodatuksen sekä verkko- ja sähköpostisuodatusjärjestelmät, päätelaitesuojaus- ja seurantajärjestelmät sääntöjen tekniseksi toimeenpanoksi, ja säännölliset katselmoinnit varmistavat kontrollien tehokkuuden. Kielletyt toiminnot on lueteltu eksplisiittisesti, mukaan lukien luvaton pääsy, haittaohjelmien käyttöönotto, henkilökohtaiseen taloudelliseen hyötyyn käyttö, liiallinen käyttö sekä yritykset ohittaa todennusmekanismit tai muut turvallisuusmekanismit. Lisäksi omien laitteiden käyttöä (BYOD), salaus- ja etätyökäytäntöjä käsitellään tiukasti, ja laite- ja tietoturvalle asetetaan tekniset ja menettelylliset vaatimukset. Tietoturvapoikkeamiin reagointimekanismit edellyttävät, että käyttäjät raportoivat tietoturvatapahtumat, luvattoman pääsyn tai laitteen katoamisen viipymättä virallisten kanavien kautta. Rikkomuksiin vastataan suhteutetuilla kurinpitotoimilla – kohdennetusta uudelleenkoulutuksesta ja käyttöoikeuksien keskeyttämisestä työsuhteen päättämiseen tai laki- ja sääntelyasioiden eskalointitoimiin – ja kaikki dokumentoidaan oikeudellisia ja auditointitarkoituksia varten. Politiikka suojaa myös väärinkäytösten ilmoitusmekanismin kautta ilmoittavien anonymiteettiä ja kieltää vastatoimet, mikä tukee vastuuvelvollisuuden kulttuuria. ISO/IEC 27001:2022:n (lauseke 5.10 ja valitut liitteen A hallintakeinot), NIST SP 800-53:n, EU GDPR:n, NIS2:n, EU DORA:n ja COBIT 2019:n kaltaisten tunnustettujen kansainvälisten standardien mukaisesti AUP on rakennettu kestämään vaatimustenmukaisuuden, oikeudellisten ja auditoinnin tarkastelun. Sitä ohjaavat määritellyt katselmointijaksot, versiointi ja dokumentaatiovaatimukset, jotta se pysyy relevanttina riskien kehittyessä ja sääntely-ympäristön muuttuessa. Lisäksi politiikka linkittyy nimenomaisesti keskeisiin liittyviin politiikkoihin, kuten pääsynhallintaan, riskienhallintaan ja etätyöhön, varmistaen kokonaisvaltaisen ja kerroksellisen lähestymistavan organisaation kyberriskien hallintotapaan.