Politika rada na daljinu

Politika rada na daljinu (P09) pruža sveobuhvatan okvir za upravljanje sigurnim udaljenim pristupom i ublažavanje jedinstvenih rizika povezanih s distribuiranim radnim okruženjima. Namijenjena je za svo osoblje, uključujući zaposlenike s punim radnim vremenom, zaposlenike s nepunim radnim vremenom, ugovorne zaposlenike, pružatelje usluga treće strane, konzultante, dobavljače i osoblje angažirano na projektima, koji su ovlašteni obavljati radne zadatke izvan korporativnih prostora. Politika je učinkovita u svim geografskim područjima i vremenskim zonama u kojima organizacija posluje, osiguravajući jedinstvenu polaznu osnovu sigurnosti bez obzira na to gdje ili kada se rad na daljinu odvija. Njezina je temeljna svrha održati povjerljivost, cjelovitost i dostupnost organizacijske informacijske imovine kojoj se pristupa ili s kojom se postupa izvan lokacije. Politika to postiže uvođenjem snažnih tehnoloških i proceduralnih zaštitnih mjera, kao što su obvezno šifriranje, snažna autentifikacija (uključujući višefaktorsku autentifikaciju), zaštita krajnjih točaka i sigurni kanali pristupa kao što su virtualna privatna mreža (VPN) ili udaljene radne površine. Usko je usklađena sa zahtjevima ISO/IEC 27001:2022, uključujući Prilog A, kontrolu 6.7, koji se fokusira na sigurne uvjete rada na daljinu, osiguravajući da su obuhvaćene i fizičke i logičke zaštite. Kontrole također odgovaraju na industrijske propise kao što su NIST SP 800-53 (za kontrolu pristupa i kriptografske zaštite), GDPR i NIS2 (za sigurnost podataka i privatnost podataka) te DORA (za financijsku otpornost ICT-a). Posebni odjeljci politike razgraničavaju uloge i odgovornosti u okviru izvršnog menadžmenta, vodstva informacijske sigurnosti (glavni službenik za informacijsku sigurnost (CISO)/voditelj ISMS-a), IT operacija, ljudskih resursa (HR), neposrednog rukovoditelja, pravnih poslova i usklađenosti te samog osoblja koje radi na daljinu. Na primjer, IT je zadužen za uvođenje i podršku sigurne infrastrukture, praćenje usklađenosti uređaja i održavanje zapisa događaja. Zaposlenici i ugovorni radnici na daljinu moraju se pridržavati sigurne uporabe uređaja, odobrenih metoda pristupa, pravila postupanja s podacima te pravodobno prijaviti sve sigurnosne incidente ili gubitak uređaja. Politika strogo zabranjuje udaljeni pristup osim putem ovlaštenih konfiguracija i zahtijeva da svi uređaji, u vlasništvu organizacije ili korišteni kao vlastiti uređaji (BYOD), zadovolje osnovnu sigurnost (konfiguracija, zakrpavanje, šifriranje, zaštita od zlonamjernog softvera) i zahtjeve registracije imovine. Mehanizmi upravljanja unutar politike rigorozno obrađuju obradu rizika, upravljanje iznimkama te provedbu i usklađenost. Kategorije rizika kao što su krađa vjerodajnica, eksfiltracija podataka, insajderske prijetnje, regulatorna kršenja i kompromitacija zlonamjernim softverom izravno su adresirane slojevitim kontrolama: kontrola pristupa na temelju uloga (RBAC), SIEM upozoravanje, sigurnost krajnjih točaka, pravila postupanja s podacima i obuka korisnika. Nadalje, sve iznimke moraju biti odobrene od strane glavnog službenika za informacijsku sigurnost (CISO), dokumentirane i periodično pregledane. Kontinuirani nadzor održava se putem praćenja, centraliziranog revizijskog bilježenja i definiranih procesa revizije. Povrede politike podliježu opozivu pristupa, disciplinskim mjerama, raskidu ugovora ili pravnim radnjama. Politika se također usko integrira s povezanim politikama, uključujući politiku informacijske sigurnosti, Politiku prihvatljivog korištenja (AUP), Politiku kontrole pristupa, Proces upravljanja rizicima, Upravljanje imovinom, Politiku zadržavanja podataka te revizijsko bilježenje i praćenje, kako bi se oblikovao end-to-end model upravljanja radom na daljinu. Njezin godišnji ili događajem potaknut ciklus pregleda osigurava prilagodljivost promjenjivim prijetnjama, regulatornim promjenama ili tehnološkim napretcima, pri čemu se sve izmjene formalno komuniciraju i potvrđuju. Time se dosljedno provode sigurne, usklađene i pouzdane operacije u svim scenarijima rada na daljinu.