Elfogadható használati szabályzat

Az Elfogadható használati szabályzat (AUP) meghatározza a szervezet információs rendszereinek, technológiai erőforrásainak és információs vagyonelemeinek felelős, biztonságos és jogszerű használatára vonatkozó standardokat. Átfogó célja, hogy rögzítse a vállalat számítási infrastruktúrájával való interakció során megengedett és tiltott tevékenységeket, beleértve a munkaállomásokat, mobileszközöket, kiszolgálókat, felhőszolgáltatásokat és hálózatokat. A szabályzat biztosítja, hogy valamennyi felhasználó – a munkavállalóktól és vállalkozóktól a harmadik fél beszállítókig – tisztában legyen a szervezeti információs vagyonelemek bizalmasságának, sértetlenségének és rendelkezésre állásának védelmében viselt felelősségével. A szabályzat szerint a hatókör átfogó: érinti minden olyan személyt és szervezetet, amely hozzáférést kap, valamint a technológia és a vállalati adatok minden formáját. Egyaránt alkalmazandó vállalati irodákban, távmunkában és terepi helyszíneken. Nemcsak a hagyományos IT-felhasználóknak kell megfelelniük, hanem mindenkinek, aki BYOD (saját eszköz használata) keretében vagy hibrid környezetekben dolgozik. Minden felhasználónak a rendszer- és adathozzáférés előfeltételeként tudomásul kell vennie a szabályzatot, és ezt a tudomásulvételt audit- és megfelelési célból meg kell őrizni. A szabályzat célkitűzései hangsúlyozzák a megengedett és tiltott tevékenységek egyértelmű határainak fontosságát. Előírja a jogosulatlan hozzáférés vagy adatvédelmi incidens megelőzését olyan magatartásvezérelt fenyegetések esetén, mint a gondatlan használat, nem engedélyezett szoftver telepítése vagy a biztonsági kontrollok megkerülése. A megfelelés biztosítása érdekében a szerepek és felelősségek meghatározásra kerülnek a felső vezetés (a szabályzat jóváhagyása és felügyelete), az informatikai és biztonsági csapatok (technikai kikényszerítés, monitorozás, vizsgálat), a vezetők (helyi felügyelet, kisebb szabálysértések kezelése), az emberi erőforrások és jogi ügyek (fegyelmi intézkedések, a szabályzat jogszerűsége), valamint valamennyi felhasználó (etikus használat, incidensek bejelentése, hitelesítő adatok védelme) számára. Az irányítási és érvényesítési intézkedések tudatosan kerültek kialakításra. A felhasználóknak formális tudomásulvételben és ismétlő képzésben kell részt venniük, erősítve a tudatosságot és az etikus magatartást. Az IT- és információbiztonsági csapatok web- és e-mail-szűrőrendszerek, végpontvédelem, valamint monitorozási és fenyegetésészlelési megoldások bevezetésével technikailag érvényesítik a szabályokat, míg az időszakos felülvizsgálatok biztosítják, hogy a kontrollok hatékonyak maradjanak. A tiltott tevékenységek kifejezetten felsorolásra kerülnek, beleértve a jogosulatlan hozzáférést, kártevők telepítését, személyes haszonszerzés célú felhasználást, a túlzott használatot és a biztonsági mechanizmusok megkerülésére irányuló kísérleteket. A BYOD-használat, a titkosítás és a távmunkagyakorlatok szigorú kezelése is szerepel, eszköz- és adatbiztonsági technikai és eljárási követelményekkel. Az incidensreagálás mechanizmusai megkövetelik, hogy a felhasználók a biztonsági eseményeket, a jogosulatlan hozzáférést vagy az eszközvesztést haladéktalanul jelentsék a hivatalos csatornákon. A szabálysértések arányos fegyelmi intézkedéseket vonnak maguk után – a célzott továbbképzéstől és a hozzáférés felfüggesztésétől a megszüntetésig vagy jogi eljárásig –, mindezt jogi és auditcélokra dokumentálva. Fontos, hogy a szabályzat védi a visszaélés-bejelentési mechanizmus anonimitását, és tiltja a megtorlást, elősegítve az elszámoltathatóság kultúráját. Az ISO/IEC 27001:2022 (5.10 záradék és kiválasztott A melléklet kontrollok), a NIST SP 800-53, az EU GDPR, a NIS2, az EU DORA és a COBIT 2019 elismert nemzetközi standardokkal összhangban az AUP úgy került kialakításra, hogy megfelelési, jogi és audit szempontból is ellenálljon a vizsgálatnak. Meghatározott felülvizsgálati ciklusok, verziókezelés és dokumentumtárolási követelmények irányítják, hogy a kockázatok változásával és a szabályozási környezet módosulásával is releváns maradjon. Emellett a szabályzat kifejezetten kapcsolódik a hozzáférés-vezérlési szabályzathoz, a kockázatkezelési keretrendszerhez és a távmunkaszabályzathoz jellegű kapcsolódó kulcsszabályzatokhoz, biztosítva a szervezeti kiberkockázat-irányítás holisztikus, rétegzett megközelítését.