Sovellusten tietoturvavaatimusten politiikka - SME

Sovellusten tietoturvavaatimusten politiikka (P25S) määrittää pakollisen viitekehyksen kaikkien organisaation ohjelmistosovellusten ja järjestelmien suojaamiseksi riippumatta siitä, kehitetäänkö ne sisäisesti vai hankitaanko ne toimittajilta ja pilvipalveluntarjoajilta. Tämä politiikka on linjassa kansainvälisesti tunnustettujen standardien ja sääntelykehysten kanssa, kuten ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, EU GDPR, EU NIS2, EU DORA ja COBIT 2019, ja varmistaa kattavan tuen vaatimustenmukaisuudelle ja toiminnan resilienssille. Pk-yrityksille tarkoitettuna politiikkana, joka on selkeästi merkitty dokumenttinumeron (P25S) 'S'-kirjaimella, politiikka on mukautettu organisaatioille, joilla ei ole suuria, erikoistuneita tietoturvatiimejä, kuten SOC-analyytikkoja tai tietoturvajohtajaa (CISO). Sen sijaan vastuu keskitetään toimitusjohtajalle (GM), jonka on hyväksyttävä politiikka, valvottava vaatimustenmukaisuutta, katselmoitava poikkeukset ja varmistettava, että kaikki ohjelmistot, olivatpa ne omia tai ulkoisesti toimitettuja, täyttävät perustason tietoturvavaatimukset. Tämä lähestymistapa mahdollistaa pk-yrityksille vahvan riskiaseman ilman laajoja teknisiä tiimejä hyödyntämällä selkeitä tarkistuslistoja ja toimittajien vaatimustenmukaisuusvakuutuksia. Politiikan soveltamisala ulottuu kaikkiin sovelluksiin, jotka käsittelevät, tallentavat tai siirtävät arkaluonteisia liiketoimintatietoja tai henkilötietoja riippumatta kehityksen alkuperästä tai alustasta. Roolit ja vastuut on yksinkertaistettu: toimitusjohtaja vastaa politiikan täytäntöönpanosta; sovellusomistajat (jos nimetty) varmistavat tarvittavat hallintakeinot ja osallistuvat katselmointeihin; kehittäjät ja IT-palveluntarjoajat toteuttavat hallintakeinot ja suorittavat testauksen; ja toimittajien on noudatettava organisaation standardeja sopimuksellisesti. Tämä varmistaa kattavuuden kuormittamatta pieniä tiimejä. Keskeisiä tavoitteita ovat todennettavien tietoturvakontrollien sisällyttäminen jokaiseen sovellukseen, tietojen luottamuksellisuuden, eheyden ja saatavuuden suojaaminen sekä sovellusten testauksen, pääsynhallinnan, lokituksen ja salauksen muodollistaminen perustason vaatimuksiksi. Toimittaja- ja pilvisovellukset eivät ole poikkeus: kaikissa on oltava turvallinen kirjautuminen, syötteen validointi, salaus siirrossa ja levossa, toimintalokit sekä nopea korjauspäivitysten ja laiteohjelmistojen hallinta. Ennen käyttöönottoa jokaisen sovelluksen on läpäistävä tietoturvan varmennus, jonka suorittaa pienissä projekteissa organisaation IT-tuki tai monimutkaisissa järjestelmissä riippumattomat arvioijat, ja kaikki tallenteet ylläpidetään auditointivalmiuden varmistamiseksi. Politiikka määrittää myös muodollisen riskien käsittelyn ja poikkeusprosessin, joka mahdollistaa joustavuuden liiketoiminnan tarpeisiin samalla kun etusijalla pidetään lakisääteisten velvoitteiden ja sopimusvaatimusten, kuten GDPR:n, NIS2:n tai DORA:n, noudattamista. Jokainen sovelluksiin liittyvä poikkeus on perusteltava, riskien arviointi on tehtävä, toimitusjohtajan on hyväksyttävä se ja se on katselmoitava vähintään puolivuosittain. Tiukat täytäntöönpanotoimet sisältävät vaatimustenvastaisten sovellusten keskeyttämisen, toimittajasopimusten päättämisen sekä yksityiskohtaisen lokituksen ja raportoinnin, jotka tukevat sekä sisäisiä hallintakeinoja että ulkoisia auditointeja. Politiikan katselmointiprosessi varmistaa, että se pysyy ajan tasalla uusista uhista, alustamuutoksista ja sääntelykehityksestä, ja auttaa pk-yrityksiä pysymään mukana muuttuvassa sovellustietoturvaympäristössä.