Mobileszköz- és BYOD-szabályzat

A Mobileszköz- és BYOD-szabályzat (P34) robusztus irányítási keretrendszert biztosít a mobileszközök és a személyes tulajdonú eszközök szervezeten belüli biztonságos használatához. Elsődleges célja a szervezeti adatok bizalmasságának, sértetlenségének és rendelkezésre állásának védelme, amelyek végpontokon – például okostelefonokon, táblagépeken, laptopokon és más hordozható eszközökön – keresztül érhetők el vagy kerülnek feldolgozásra, beleértve a vállalati tulajdonú és a BYOD (saját eszköz használata) forgatókönyveket is. A szabályzat hatóköre átfogó: valamennyi munkatársra, vállalkozóra, gyakornokra és harmadik fél szolgáltatóra vonatkozik, akik mobil végpontokon keresztül férnek hozzá vállalati erőforrásokhoz. Széles eszközkört fed le az okostelefonoktól, táblagépektől és laptopoktól a hibrid okoseszközökig és viselhető eszközökig, és rögzíti, hogy a megfelelés a tulajdonlási modelltől függetlenül kötelező. A lefedett hozzáférések közé tartoznak a VPN-ek, távoli asztalok, felhőben üzemeltetett rendszerek, e-mail, együttműködési eszközök és fájlszinkronizációs platformok, így kezeli a modern vállalat változatos, hibrid és távoli munkavégzési realitásait. A fő célkitűzések közé tartozik az adatvesztés-megelőzés (DLP) szempontjából releváns adatvesztés és adatkiáramlás minimalizálása, a biztonsági kontrollok szabványosított kikényszerítése, valamint a jogszabályi megfelelés támogatása (például ISO/IEC 27001, GDPR és DORA). Ennek érdekében a szabályzat technikai és eljárási követelményeket ír elő, mint például a kötelező mobileszköz-kezelés (MDM) regisztráció, eszköztitkosítás, hitelesítési kontrollok (beleértve a kötelező többtényezős hitelesítést), alkalmazás-engedélyezési lista kikényszerítése, valamint folyamatos megfelelés-monitorozás. Emellett korlátozza a kockázatot növelő gyakorlatokat, például a jailbreakelt/rootolt eszközök vagy az oldalról telepített alkalmazások használatát. A dokumentum egyértelmű szerepköröket és felelősségeket határoz meg az érdekelt felek számára, beleértve az információbiztonsági vezető (CISO)/biztonsági vezető szerepét a szabályzatgazdaság és az incidenskezelés terén; az IT/MDM adminisztrátorokat a hozzáférés-kiosztás, a kikényszerítés és a monitorozás feladataival; az emberi erőforrások és jogi ügyek területét az adatvédelem, a hozzájárulás és a fegyelmi felügyelet kapcsán; a közvetlen feletteseket a helyi megfelelés biztosítására; valamint a végfelhasználókat a napi betartásra és bejelentésre. A BYOD-hozzáférés feltétele a felhasználói hozzájárulás a technikai kontrollokhoz és a szervezet munkapartíciók monitorozásához, erős garanciákkal a személyes adatvédelem védelmére. Az irányítási követelmények szigorú eszközregisztrációt, folyamatos monitorozást, biztonságos konténereket a vállalati adatokhoz, auditnaplózást, valamint strukturált folyamatot írnak elő a jóváhagyások, kivételek és kockázatcsökkentések kezelésére. A szabályzat kivételkezelési mechanizmusokat biztosít, amelyek formális dokumentációt, kockázati felülvizsgálatot és szükség esetén kompenzáló kontrollok alkalmazását követelik meg. A kikényszerítést meghatározott szankciók támogatják a meg nem felelés esetére, incidensnaplózás, valamint a távoli törlés és a hozzáférés felfüggesztésének hatásköre. A szabályzat naprakészségét és eredményességét éves felülvizsgálatok és a szabályozási, technológiai vagy operatív tényezők által kiváltott időközi frissítések biztosítják. Végül a P34 szorosan integrált a kapcsolódó szervezeti szabályzatokkal (pl. P01 Információbiztonsági szabályzat, távmunkaszabályzat, információosztályozási és -kezelési szabályzat, naplózási és monitorozási szabályzat, incidenskezelési szabályzat), biztosítva, hogy a mobileszköz- és BYOD-biztonság minden aspektusa egy szélesebb információbiztonsági irányítási rendszer részeként kerüljön kezelésre. Ez a holisztikus megközelítés biztosítja az operatív produktivitást, miközben megfelel a vezető szabványoknak és szabályozásoknak.