Etätyöpolitiikka

Etätyöpolitiikka (P09) tarjoaa kattavan viitekehyksen turvallisen etäkäytön hallintaan ja hajautettuihin työympäristöihin liittyvien erityisriskien lieventämiseen. Se on suunniteltu koko henkilöstölle, mukaan lukien kokoaikaiset, osa-aikaiset, sopimussuhteiset työntekijät, kolmannen osapuolen palveluntarjoajat, konsultit, kolmannen osapuolen toimittajat ja projektiryhmät, joilla on valtuutus hoitaa työtehtäviä yrityksen toimitilojen ulkopuolelta. Politiikka on voimassa kaikilla maantieteellisillä alueilla ja aikavyöhykkeillä, joilla organisaatio toimii, ja varmistaa yhtenäisen tietoturvan perustason riippumatta siitä, missä tai milloin etätyötä tehdään. Sen keskeinen tarkoitus on ylläpitää organisaation tietovarallisuuden luottamuksellisuutta, eheyttä ja saatavuutta, kun sitä käytetään tai käsitellään toimipaikan ulkopuolella. Politiikka toteuttaa tämän ottamalla käyttöön vahvat tekniset ja menettelylliset suojatoimet, kuten pakollisen salauksen, vahvan todennuksen (mukaan lukien monivaiheinen todennus), päätelaitesuojaus sekä suojatut pääsykanavat, kuten VPN tai etätyöpöydät. Se yhdenmukaistuu tiiviisti ISO/IEC 27001:2022 -vaatimusten kanssa, mukaan lukien Annex A -hallintakeino 6.7, joka keskittyy turvallisiin etätyöskentelyolosuhteisiin ja varmistaa, että sekä fyysiset että loogiset suojaukset huomioidaan. Kontrollit vastaavat myös alan sääntelyihin, kuten NIST SP 800-53:een (pääsynhallinta ja kryptografiset suojaukset), GDPR:ään ja NIS2:een (tietoturva ja tietosuoja) sekä DORA:an (talouden ICT-toimintavarmuus). Politiikan osiot määrittelevät roolit ja vastuut ylimmän johdon, tietoturvajohtajan (CISO)/ISMS-päällikön, IT-toimintojen, henkilöstöhallinnon, lähiesihenkilöiden, laki- ja vaatimustenmukaisuus -toiminnon sekä etätyötä tekevien henkilöiden kesken. Esimerkiksi IT vastaa turvallisen infrastruktuurin käyttöönotosta ja tuesta, laitteiden vaatimustenmukaisuuden seurannasta sekä tapahtumalokien ylläpidosta. Työntekijöiden ja sopimussuhteisten etätyöntekijöiden on noudatettava turvallista laitteiden käyttöä, hyväksyttyjä pääsymenetelmiä, tietojen käsittelykäytäntöjä sekä raportoitava viipymättä tietoturvapoikkeamat tai laitteen katoaminen. Politiikka kieltää etäkäytön muilla kuin valtuutetuilla kokoonpanoilla ja edellyttää, että kaikki laitteet, olivatpa ne yrityksen omistamia tai omien laitteiden käyttö (BYOD) -mallin mukaisia, täyttävät perustason tietoturvan (kokoonpanoasetukset, paikkaus, salaus, haittaohjelmien torjunta) sekä rekisteröintivaatimukset. Politiikan hallintotapamekanismit käsittelevät riskien käsittelyä, poikkeusten hallintaa ja täytäntöönpanoa tiukasti. Riskiluokat, kuten tunnistetietojen varkaus, tietojen eksfiltraatio, sisäpiiriuhat, sääntelyrikkomukset ja haittaohjelmakompromissit, käsitellään kerroksellisilla kontrolleilla: roolipohjainen käyttöoikeus, SIEM-hälytykset, päätelaiteturvallisuus, tietojen käsittelykäytännöt ja käyttäjäkoulutus. Lisäksi kaikki poikkeukset on hyväksytettävä tietoturvajohtajalla (CISO), dokumentoitava ja katselmoitava säännöllisesti. Jatkuva valvonta varmistetaan seurannalla, keskistetyllä lokituksella ja määritellyillä auditointiprosesseilla. Politiikan rikkomuksiin sovelletaan käyttöoikeuksien perumista, kurinpitotoimenpiteitä, sopimuksen päättämistä tai oikeudellisia toimia. Politiikka integroituu tiiviisti siihen liittyviin politiikkoihin, mukaan lukien P01 Tietoturvapolitiikka, Hyväksyttävän käytön politiikka (AUP), pääsynhallintapolitiikka, riskienhallintapolitiikka, omaisuudenhallintapolitiikka, tietojen säilytyspolitiikka sekä lokitus- ja valvontapolitiikka, muodostaen päästä päähän -mallin etätyön hallintotavalle. Sen vuosittainen tai tapahtumaperusteinen katselmointisykli varmistaa reagointikyvyn kehittyviin uhkiin, sääntelymuutoksiin tai teknologian kehitykseen, ja kaikki päivitykset viestitään ja kuitataan muodollisesti. Tämä varmistaa johdonmukaisesti turvalliset, vaatimustenmukaiset ja luotettavat toiminnot kaikissa etätyötilanteissa.