Politika sigurnih komunikacija i višefaktorske autentifikacije

Politika sigurnih komunikacija i višefaktorske autentifikacije (MFA) uspostavlja sveobuhvatne kontrole za zaštitu organizacijskih komunikacija i korisničkog pristupa, usklađene sa strogim regulatornim i industrijskim standardima. Njezina je primarna svrha osigurati povjerljivost i cjelovitost informacija koje se prenose svim komunikacijskim kanalima, uključujući glas, video, tekst i hitne sustave, propisivanjem naprednih procesa autentifikacije u skladu s NIS2 člankom 21(2)(j). Primjenjujući se na sve zaposlenike, izvođače i vanjske strane, politika nalaže isključivo korištenje komunikacijskih alata koje je organizacija odobrila i koji su šifrirani za osjetljive ili operativne informacije. Ovi se zahtjevi proširuju i na sustave hitnog obavještavanja, osiguravajući da i tijekom kriza komunikacija ostane sigurna, otporna i dostupna. Koordinatori odgovora na hitne situacije imaju izravnu ulogu u periodičnom testiranju tih sustava i u osposobljavanju osoblja za njihovu pravilnu i sigurnu uporabu. Ključni cilj politike je provedba višefaktorske autentifikacije (MFA) za sav pristup mreži i sustavima, osobito za povlaštene i udaljene račune. Nositelji povlaštenih računa moraju koristiti odvojene vjerodajnice koje uvijek provode višefaktorsku autentifikaciju (MFA) ili kontinuiranu autentifikaciju, a svaka eskalacija pristupa strogo je vremenski ograničena i nadzirana. Ako tehnička ograničenja sprječavaju trenutačnu implementaciju višefaktorske autentifikacije (MFA) ili šifriranja, primjerice zbog ograničenja naslijeđenih sustava ili operativnih prekida, zahtijevaju se kompenzacijske kontrole, kao što su pojačano praćenje sustava ili privremena ograničenja pristupa, pri čemu sve iznimke formalno odobrava glavni službenik za informacijsku sigurnost (CISO) i podliježu tromjesečnom pregledu. Politika također propisuje stroge programe obuke i podizanja svijesti za sve korisnike, pri uvođenju u posao i potom godišnje. Ove sesije, s pojačanim fokusom za visokorizične uloge poput administratora i izvršnih rukovoditelja, osiguravaju da osoblje može razlikovati sigurne od nesigurnih kanala, razumjeti phishing i socijalni inženjering te pravilno koristiti alate sigurnih komunikacija. Osim uvođenja, ciljano osposobljavanje pruža se korisnicima s povišenim razinama rizika, s naglaskom na napredne metode autentifikacije i posebne rizike povezane s hitnim komunikacijama. Kako bi se osigurala trajna usklađenost, provode se kontinuirano praćenje usklađenosti i godišnje revizije svih sustava autentifikacije i komunikacija. Svaki korisnik koji pokušava zaobići politike ili koristiti neodobrene alate ili neovlaštene ili nezaštićene komunikacijske metode podliježe disciplinskim mjerama, uključujući mogući prestanak radnog odnosa. Tim za informacijsku sigurnost zadržava odgovornost za praćenje log-zapisa i provedbu sigurnih zadanih konfiguracija, dok revizijski postupci provjeravaju kontinuirano usklađivanje s obvezama usklađenosti. Ova politika tako pruža slojevit, sveobuhvatan pristup zaštiti informacijske imovine organizacije, čvrsto integrirajući kontrole za sigurne komunikacije i autentifikaciju pristupa, u potpunom skladu s direktivama kao što su NIS2, ISO/IEC 27001:2022 i povezani okviri.