Politika upravljanja imovinom

Politika upravljanja imovinom (P12) uspostavlja organizacijske zahtjeve za identifikaciju, klasifikaciju, upravljanje i osiguravanje sve informacijske imovine kroz njezin životni ciklus. Dokument ima za cilj osigurati nadzor i upravljanje na razini cijelog poduzeća, uz podršku za hardver, softver, podatke, oblak, mobilna i udaljena okruženja te okruženja kojima upravljaju treće strane. Temeljna namjera je osigurati da organizacija postigne potpunu vidljivost nad svojim portfeljem imovine, što omogućuje učinkovite sigurnosne kontrole, dodjelu vlasništva, usklađenost s propisima i odgovorne postupke stavljanja izvan pogona. Imovina obuhvaćena ovom politikom uključuje širok raspon: prijenosna računala, stolna računala, mobilne uređaje, prijenosne medije za pohranu, pisače, mrežnu opremu, softver, baze podataka, podatke sigurnosnih kopija, ključeve za šifriranje, strukturirane podatke i nestrukturirane podatke, izvješća, e-poštu, intelektualno vlasništvo, resurse u oblaku, virtualne strojeve, korisničke račune, polazne osnove konfiguracije, licence i drugo. Politika se primjenjuje na sve zaposlenike, izvođače, pružatelje usluga trećih strana i dobavljače koji koriste, upravljaju ili pristupaju informacijskoj imovini u vlasništvu ili pod kontrolom organizacije. Ovo obuhvaća i imovinu u udaljenim i hibridnim okruženjima ili vanjski ugovorene usluge, čime se osigurava da sigurnost i sljedivost imovine nisu ugrožene lokacijom. Temeljni cilj je održavanje centraliziranog, točnog i ažurnog registra imovine, kojim upravlja Voditelj IT imovine te je, gdje je moguće, integriran s drugim sustavima upravljanja konfiguracijom. Svaka imovina unesena u ovaj popis mora sadržavati obvezne metapodatke kao što su jedinstveni identifikator, vlasništvo, klasifikacija, lokacija i status životnog ciklusa. Za svaku imovinu određuje se vlasnik imovine, zadužen za osiguravanje odgovarajuće klasifikacije, zaštite i periodične validacije pristupa zapisima. Proces klasifikacije podupire cijelu politiku, osiguravajući da se imovina označava i upravlja prema osjetljivosti, kritičnosti i svim relevantnim regulatornim zahtjevima. Postupci označavanja provode se i za digitalnu i za fizičku imovinu, a zahtjevi postupanja, primjerice šifriranje, zaključana pohrana ili ograničenja mrežnih dijeljenih resursa, moraju odgovarati razinama klasifikacije. Politika detaljno opisuje sigurnosne kontrole u svakoj fazi životnog ciklusa imovine: uvođenje u posao, preraspodjela, postupanje, uporaba, siguran povrat tijekom izlaznog procesa te sigurno zbrinjavanje. Propisuje da uporaba imovine mora biti u skladu s prihvatljivom uporabom imovine organizacije te izričito zabranjuje prenamjenu imovine za osobnu uporabu, instaliranje neovlaštenog softvera ili zaobilaženje kontrola kao što su antivirusni softver i šifriranje. Pravila za uporabu udaljene imovine zahtijevaju korištenje virtualne privatne mreže (VPN) ili sigurnog transportnog tunela te mogu uključivati rješenja za upravljanje mobilnim uređajima i zaštitu krajnjih točaka. Sigurno stavljanje izvan pogona i prakse uništavanja jasno su obrađene, uz zahtjev za kriptografskim brisanjem ili fizičkim uništavanjem uz potvrdu i vođenje evidencije. Radi podrške kontinuiranoj usklađenosti i upravljanju rizicima, Politika upravljanja imovinom integrira se s registrom rizika organizacije te podržava procjenu rizika, upravljanje iznimkama i revizijske procese. Kršenja, kao što su neregistrirana ili neovlaštena imovina, nepravilno zbrinjavanje ili onemogućavanje kontrola, osnova su za eskalaciju i mogu rezultirati disciplinskim mjerama, ugovornim kaznama za dobavljače ili čak sudskim postupcima. Periodični pregledi politike uključuju više skupina dionika i pokreću se regulatornim promjenama, nalazima revizije, incidentima informacijske sigurnosti ili značajnim operativnim promjenama. Dokument završava upućivanjem na povezane politike: Politika kontrole pristupa, Politika klasifikacije i rukovanja informacijama, Politika zadržavanja podataka, Politika bilježenja i praćenja i Politika odgovora na incidente (P30), čime se osigurava da upravljanje imovinom čini središnji stup šire strukture upravljanja organizacije. Ova politika nije posebno označena kao politika za mala i srednja poduzeća. Namijenjena je organizacijama s određenim timovima kao što su IT, glavni službenik za informacijsku sigurnost (CISO), Voditelj IT imovine i različiti dionici usklađenosti i operacija, ispunjavajući sveobuhvatne zahtjeve ISO/IEC 27001:2022 i podržavajući okvire.