Omaisuudenhallintapolitiikka

Omaisuudenhallintapolitiikka (P12) määrittää organisaation vaatimukset kaikkien tietovarallisuus- ja muiden omaisuuserien tunnistamiselle, luokittelulle, hallinnalle ja suojaamiselle koko niiden elinkaaren ajan. Asiakirjan tavoitteena on tuottaa organisaatiotasoinen valvonta ja hallintotapa, kattaen laitteistot, ohjelmistot, tiedot, pilvi-, mobiili-, etä- ja kolmannen osapuolen hallinnoimat ympäristöt. Keskeinen tarkoitus on varmistaa, että organisaatiolla on täysi näkyvyys omaisuussalkkuunsa, mikä mahdollistaa tehokkaat tietoturvakontrollit, omistajuuden osoittamisen, sääntelyvaatimusten noudattamisen sekä vastuulliset käytöstäpoistomenettelyt. Tämän politiikan piiriin kuuluvat omaisuuserät kattavat laajan joukon: kannettavat tietokoneet, pöytäkoneet, mobiililaitteet, irrotettava tallennusmedia, tulostimet, verkkolaitteet, ohjelmistot, tietokannat, varmuuskopiodata, salausavaimet, rakenteinen data ja rakenteeton data, raportit, sähköposti, immateriaalioikeudet, pilviresurssit, virtuaalikoneet, käyttäjätilit, konfiguraation perustasot, lisenssit ja muut vastaavat. Politiikka koskee kaikkia työntekijöitä ja urakoitsijoita sekä kolmannen osapuolen palveluntarjoajia ja toimittajia, jotka käyttävät, hallinnoivat tai joilla on pääsy organisaation omistamiin tai hallitsemiin tietovarallisuus- tai muihin omaisuuseriin. Soveltaminen ulottuu myös etä-, hybridi- ja ulkoistettuihin ympäristöihin, jotta omaisuuserien turvallisuus ja jäljitettävyys eivät vaarannu sijainnin vuoksi. Perustavoite on keskitetyn, tarkan ja ajantasaisen omaisuusrekisteri-/omaisuusluettelo-kokonaisuuden ylläpito, jota ylläpitää IT-omaisuuspäällikkö ja joka mahdollisuuksien mukaan integroidaan konfiguraationhallintajärjestelmiin. Jokaisesta luetteloon vietävästä omaisuuserästä on oltava pakolliset metatiedot, kuten yksilöllinen tunniste, omistajuus, luokittelu, sijainti ja elinkaaritila. Jokaiselle omaisuuserälle nimetään omaisuuden omistaja, joka vastaa asianmukaisesta luokittelusta, suojauksesta ja säännöllisestä tietueiden validoinnista. Luokitteluprosessi on koko politiikan perusta: se varmistaa, että omaisuuserät merkitään ja niitä hallitaan herkkyyden, kriittisyyden ja soveltuvien sääntelyvaatimusten mukaisesti. Merkintämenettelyt koskevat sekä digitaalisia että fyysisiä omaisuuseriä, ja käsittelyvaatimusten (esim. salaus, lukittu säilytys tai rajoitettu pääsy) on vastattava luokittelutasoja. Politiikka kuvaa tietoturvakontrollit omaisuuserän elinkaaren jokaisessa vaiheessa: käyttöönotto, uudelleenkohdistus, käsittely, käyttö, turvallinen palautus poistumismenettelyn yhteydessä sekä turvallinen hävittäminen. Se edellyttää, että omaisuuserien käyttö noudattaa yrityksen omaisuuden hyväksyttävä käyttö -vaatimuksia, ja se kieltää erityisesti omaisuuserien uudelleenkäytön henkilökohtaiseen käyttöön, luvattomien ohjelmistojen asentamisen sekä kontrollien (kuten virustorjunta ja salaus) ohittamisen. Etäkäyttöä koskevat säännöt edellyttävät virtuaalinen yksityisverkko (VPN) -ratkaisujen tai suojatun tiedonsiirtotunnelin -ratkaisujen käyttöä ja voivat sisältää mobiililaitteiden ja päätelaitesuojaus-/hallintaratkaisuja. Turvallinen käytöstäpoisto ja tuhoaminen käsitellään selkeästi: vaaditaan kryptografinen pyyhintä tai fyysinen tuhoaminen sekä vahvistus ja kirjanpito. Jatkuvan vaatimustenmukaisuus- ja riskienhallinnan tueksi omaisuudenhallintapolitiikka integroidaan riskirekisteri-kokonaisuuteen ja tukee riskien arviointi-, poikkeusten hallinta- ja auditointiprosesseja. Rikkomukset, kuten rekisteröimättömät tai luvattomat omaisuuserät, virheellinen hävittäminen tai kontrollien poistaminen käytöstä, ovat peruste eskalointitoimille ja voivat johtaa kurinpitotoimiin, toimittajasanktioihin tai oikeudellisiin toimiin. Säännölliset politiikkakatselmoinnit toteutetaan useiden sidosryhmien kanssa ja ne käynnistyvät sääntelymuutoksista, auditointihavainnoista, tietoturvapoikkeamista tai merkittävistä operatiivisista muutoksista. Asiakirja päättyy viittauksiin liittyviin politiikkoihin (pääsynhallinta, tiedon luokittelu, säilytys ja hävittäminen, lokitus- ja valvontapolitiikka, tietoturvapoikkeamiin reagointi), varmistaen, että omaisuudenhallinta muodostaa keskeisen pilarin organisaation laajemmassa hallintorakenteessa. Tätä politiikkaa ei ole erikseen merkitty pk-yrityspolitiikaksi. Se on suunniteltu organisaatioille, joilla on nimetyt tiimit ja roolit, kuten tietoturvajohtaja (CISO), IT, IT-omaisuuspäällikkö sekä vaatimustenmukaisuuden ja operatiivisen toiminnan sidosryhmät, täyttäen ISO/IEC 27001:2022 -vaatimukset ja tukien viitekehyksiä.