Politika čistog stola i čistog zaslona - SME

Politika čistog stola i čistog zaslona (P10S) ključna je operativna smjernica osmišljena za mala i srednja poduzeća (SME) koja trebaju osigurati povjerljivost podataka i održavati usklađenost s propisima, uključujući ISO/IEC 27001:2022. Budući da je riječ o SME politici, što je naznačeno slovom „S” u broju dokumenta i dodjelom glavnog izvršnog direktora kao vlasnika politike, posebno je prilagođena organizacijama koje možda nemaju namjenske timove za upravljanje IT-om ili sigurnošću. Temeljni cilj politike je jasno definirati praktična, provediva ponašanja i tehnološke kontrole koje štite osjetljive informacije, neovisno o lokaciji rada ili organizacijskim resursima. U svojoj osnovi, ova politika nalaže da svi zaposlenici, izvođači i privremeno osoblje štite fizičke i digitalne radne prostore tako da nijedna povjerljiva informacija ne ostane vidljiva, bez nadzora ili nepropisno osigurana. Opseg široko obuhvaća fizičke urede, zajedničke radne prostore, coworking okruženja te udaljena/kućna radna okruženja. Primjenjuje se na svu papirnatu i digitalnu imovinu, kao što su dokumenti, ispisi, rukom pisane bilješke, prijenosni mediji, računala i mobilni uređaji. Ovakvom širinom politika adresira suvremene obrasce rada uz zadržavanje jasnog fokusa na smanjenje rizika. Uloge i odgovornosti jasno su pojednostavljene za SME kontekst. Glavni izvršni direktor ima potpuno vlasništvo, odgovoran je za komunikaciju politike, obuku, odobravanje iznimaka i provedbu tromjesečnih provjera usklađenosti radnog prostora. Dodatne dužnosti mogu se delegirati imenovanom osoblju, kao što je postavljanje konfiguracijskih postavki zaključavanja zaslona ili distribucija pomagala za fizičku pohranu. Međutim, dizajn osigurava djelotvornost čak i bez formalnih IT ili odjela za usklađenost. Svo osoblje odgovorno je za jednostavne, ali ključne zahtjeve: zaključavanje zaslona kada su bez nadzora, osiguravanje svih povjerljivih materijala, izbjegavanje oslanjanja isključivo na digitalne kontrole te prijavljivanje potencijalnih rizika ili neusklađenosti. Ciljevi politike usko su povezani i s operativnim smanjenjem rizika i s regulatornim obvezama. Jasna, praktična pravila uspostavljaju polaznu osnovu: automatsko zaključavanje radne stanice nakon pet minuta, sigurna pohrana dokumenata na kraju dana, trenutačno preuzimanje osjetljivih ispisa te oznake koje jačaju svijest. Glavni izvršni direktor također je odgovoran za uvođenje u posao i obuku podizanja svijesti, revizijsko bilježenje aktivnosti usklađenosti te eskalaciju u slučaju incidenta ili povrede. Važno je da dizajn politike podržava kulturu budnosti i odgovornosti, fokusirajući se na ostvarive kontrole unutar mogućnosti SME-a s ograničenim resursima, uz zadržavanje usklađenosti, kao što su Annex A Control 7.7 norme ISO/IEC 27001 i članak 32 GDPR-a. Ukupna struktura omogućuje SME-ovima da pokažu dubinsku analizu tijekom revizija te učinkovito ublaže fizičke i informacijske rizike koji proizlaze iz internog nepravilnog postupanja ili vanjskih prijetnji poput posjetitelja ili izvođača. Realistični postupci iznimki, prilagođene kontrole za udaljene radnike i definirani disciplinski odgovori osiguravaju jasnoću i vjerodostojnost. Politika uključuje poveznice s drugim ključnim politikama (npr. Politika podizanja svijesti i osposobljavanja o informacijskoj sigurnosti, Politika kontrole pristupa, Politika odgovora na incidente (P30)), čineći dio sažetog, koherentnog okvira kibernetičke higijene idealnog za manje organizacije.