Politika informacijske sigurnosti

Politika informacijske sigurnosti (P01) uspostavlja temeljnu opredijeljenost organizacije za zaštitu povjerljivosti, cjelovitosti i dostupnosti svoje informacijske imovine. Nalažući implementaciju formalnog sustava upravljanja informacijskom sigurnošću (ISMS), politika postavlja strateški smjer nužan za održavanje profila sigurnosti na razini cijelog poduzeća koji je temeljen na riziku, mjerljiv i podložan kontinuiranom poboljšanju. Opseg ove politike je sveobuhvatan te obvezuje sve zaposlenike, izvođače, pružatelje usluga treće strane i sva fizička i digitalna okruženja uključena u obradu podataka tvrtke. Obuhvaća cijeli životni ciklus informacija, uz stroge zahtjeve da sva izuzeća iz ovog opsega moraju biti u potpunosti dokumentirana i odobrena od najvišeg rukovodstva. Takva obvezujuća primjena osigurava ujednačenost standarda zaštite u cijelom poslovanju, neovisno o lokaciji ili funkciji imovine. Postavljeni ciljevi ne nastoje samo zadovoljiti usklađenost s međunarodnim standardima kao što su ISO/IEC 27001:2022, NIST SP 800-53 i COBIT 2019, već i poticati kulturu u kojoj je sigurnost ugrađena u svakodnevne aktivnosti, partnerstva i informacijske sustave. U tu svrhu, dodijeljene uloge i odgovornosti pojašnjavaju očekivanja za izvršno rukovodstvo, sigurnosne službenike, vlasnike imovine, IT i tehničko osoblje te svo osoblje. Time se osigurava da svi, od najvišeg rukovodstva do vanjskih izvođača, razumiju svoje dužnosti u održavanju sigurnosti organizacije i podršci odgovoru na incidente, obuci i aktivnostima revizije. Upravljanje unutar ISMS-a ključni je stup politike te zahtijeva formalizirane strukture, kao što su upravljački odbori i matrica uloga i odgovornosti, radi nadzora kontinuirane procjene učinkovitosti ISMS-a i omogućavanja pravovremenog preispitivanja od strane uprave. Politika navodi zahtjeve za međufunkcionalnu koordinaciju, osiguravajući da informacijska sigurnost nije izolirana, već integrirana u upravljanje projektima, nabavu, ljudske resurse (HR) i pravne funkcije. Postupci pregleda i ažuriranja strogo su regulirani, uz sustave za upravljanje verzijama i izričitu potvrdu izvršnog rukovodstva, čime se dodatno podupiru odgovornost i regulatorna obrana. Kako bi se zadovoljili regulatorni, klijentski i revizijski zahtjevi, politika zahtijeva da sve kontrole i prateća dokumentacija budu revizibilne i provjerljive. Detaljno su opisani jasni putovi za odabir kontrola temeljen na riziku, postupanje s iznimkama i prihvaćanje preostalog rizika. Provedba je podržana konkretnim posljedicama za nepridržavanje, mehanizmom prijave nepravilnosti i obveznim programima osposobljavanja. Poveznice s drugim ključnim organizacijskim politikama, matricom uloga i odgovornosti, Politikom prihvatljive uporabe, Politikom kontrole pristupa, okvirom za upravljanje rizicima te revizijom i usklađenošću jamče potpuno usklađivanje kroz ISMS radi jedinstvenog upravljanja rizikom i usklađenošću.