Felhőhasználati szabályzat

A Felhőhasználati szabályzat (P27) egységes, kötelező szabványt biztosít a felhőalapú számítási szolgáltatások bevezetéséhez, kezeléséhez és irányításához, lefedve az Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS) és Software-as-a-Service (SaaS) modelleket. Célja annak biztosítása, hogy a felhőplatformok szervezeti használata biztonságos legyen, megfeleljen a vonatkozó szabályozásoknak, és támogassa a működési hatékonyságot és innovációt, miközben védi az információs vagyonelemek bizalmasságát, sértetlenségét és rendelkezésre állását. A szabályzat alkalmazási területe átfogó: valamennyi munkatársra, vállalkozóra, harmadik fél beszállítóra és tanácsadóra vonatkozik, akik bármilyen felhőszolgáltatás-kiosztási, konfigurációs, adminisztrációs vagy használati tevékenységet végeznek. Ez a hatókör kiterjed a nyilvános, privát, hibrid és közösségi felhőbevezetésekre, lefedi az összes adatosztályozást, és kifejezetten magában foglalja a belső és a beszállító által üzemeltetett környezeteket, továbbá a shadow IT és a személyes felhő üzleti célú használatának megelőzését. A szabályzat fő célkitűzései: egyértelmű iránymutatások és alapvonalak meghatározása a felhőbevezetéshez; a működési és szabályozási kockázatok minimalizálása (például hibás konfigurációk, adatvédelmi incidensek és jogosulatlan hozzáférés); valamint erős biztonsági és adatvédelmi kontrollok előírása szerződéses kötelezettségek, folyamatos értékelés és auditálási jog révén valamennyi felhőszolgáltató esetén. A szabályzat előírja egy felhőszolgáltatások nyilvántartása központi fenntartását, amelyet az információbiztonsági vezető (CISO) felügyel, és amely nyilvántartja a jóváhagyott szolgáltatókat, szolgáltatástípusokat, kockázati minősítéseket, üzleti tulajdonosokat és szerződéses jellemzőket, támogatva a szigorú életciklus-kezelést és a folyamatos megfelelés-monitorozást. A szerepkörök és felelősségek pontosan meghatározottak, a vezetési és felügyeleti funkciók hozzárendelésével a felső vezetés, a CISO, a felhőbiztonsági architekt, az informatikai üzemeltetés, a beszerzés, a jogi és megfelelőség, az adattulajdonosok és a végfelhasználók között. A szabályzat szigorú technikai és eljárási kontrollokat érvényesít: identitás- és hozzáférés-kezelést (kötelező szerepköralapú hozzáférés-szabályozás és többtényezős hitelesítés az adminisztratív fiókokhoz), alapvető biztonsági konfigurációkat, titkosítást (NIST által jóváhagyott szabványok használatával), naplózási követelményeket, valamint a felhőszolgáltatások integrációját a SIEM rendszerekkel. A felhőszolgáltatókkal kötött szerződéseknek kezelniük kell az auditálási jogot, az incidensbejelentést, az adatok visszaadását/törlését és a megfelelés-monitorozást. Adat csak adatosztályozás után vihető felhőbe, és a határokon átnyúló adattovábbításoknak meg kell felelniük a kialakított szabályozásoknak, például a GDPR-nak. A kockázatkezelés központi elem: bármely eltéréshez dokumentált kivételek, részletes kockázatkezelési tervek, a CISO vagy a felhőbiztonsági architekt jóváhagyása, valamint többszintű felülvizsgálat szükséges magas kockázatú forgatókönyvek esetén. A folyamatos irányítás rendszeres megfelelés-monitorozáson, az incidensreagálás integrációján (az Incidenskezelési szabályzat szerinti eszkalációval), éves felülvizsgálatokon és az incidensek kimenetelei, migrációk vagy szabályozási változások által vezérelt időközi frissítéseken keresztül érvényesül. A szabályzat rendelkezéseinek megsértése — például nem engedélyezett felhőfiókok használata vagy a kötelező kontrollok elmulasztása — következményeket vált ki, a képzéstől a jogi eljáráson át a munkaviszony megszüntetéséig. A Felhőhasználati szabályzat kapcsolódó szabályzatokkal is összekapcsolódik az információbiztonság, változáskezelés, adatosztályozás, kriptográfiai kontrollok, naplózási és monitorozási szabályzat, incidensreagálás és audit területén, tovább erősítve szerepét mint a felhőirányítás hiteles alapja.