Távmunkaszabályzat

A Távmunkaszabályzat (P09) átfogó keretrendszert biztosít a távoli hozzáférés biztonságos kezeléséhez és az elosztott munkakörnyezetekhez kapcsolódó egyedi kockázatok mérsékléséhez. Valamennyi munkatárs számára készült, beleértve a teljes munkaidős, részmunkaidős, szerződéses munkavállalókat, harmadik fél szolgáltatókat, tanácsadókat, harmadik fél beszállítókat és projektalapú munkatársakat, akik jogosultak a munkaköri feladataikat a vállalati telephelyen kívülről ellátni. A szabályzat a szervezet működési területén belül valamennyi földrajzi régióban és időzónában hatályos, egységes biztonsági alapvonalat biztosítva függetlenül attól, hogy hol és mikor történik a távoli munkavégzés. Alapvető célja a szervezeti információs vagyonelemek bizalmasságának, sértetlenségének és rendelkezésre állásának fenntartása, amikor azokat telephelyen kívülről érik el vagy kezelik. Ezt robusztus technikai és eljárási védelmi intézkedések bevezetésével éri el, mint például a kötelező titkosítás, az erős hitelesítés (beleértve a többtényezős hitelesítést), a végpontvédelem, valamint a biztonságos hozzáférési csatornák, például a virtuális magánhálózat (VPN) vagy a távoli asztalok. Szorosan igazodik az ISO/IEC 27001:2022 követelményeihez, beleértve az Annex A 6. kontroll 6.7 pontját, amely a biztonságos távoli munkavégzési feltételekre összpontosít, biztosítva, hogy mind a fizikai, mind a logikai védelmek kezelve legyenek. A kontrollok emellett reagálnak iparági szabályozásokra is, mint például a NIST SP 800-53 (a hozzáférés és kriptográfiai védelmek tekintetében), a GDPR és a NIS2 (az adatbiztonság és adatvédelem tekintetében), valamint a DORA (a pénzügyi ICT-ellenállóképesség tekintetében). A szabályzat konkrét fejezetei meghatározzák a szerepköröket és felelősségeket a felső vezetés, az információbiztonsági vezető (CISO/IBIR-vezető), az informatikai üzemeltetés, az emberi erőforrások, a közvetlen felettesek, a jogi és megfelelési funkció, valamint maguk a távoli munkát végző munkatársak között. Például az IT feladata a biztonságos infrastruktúra telepítése és támogatása, az eszközmegfelelőség nyomon követése, valamint az eseménynaplók fenntartása. A munkavállalóknak és a szerződéses távmunkásoknak be kell tartaniuk a biztonságos eszközhasználatra, a jóváhagyott hozzáférési módszerekre, az adatkezelés szabályaira vonatkozó előírásokat, és haladéktalanul jelenteniük kell bármely információbiztonsági incidenst vagy eszközvesztést. A szabályzat szigorúan tiltja a távoli hozzáférést az engedélyezett konfigurációkon kívül, és előírja, hogy minden eszköznek – legyen az vállalati tulajdonú vagy BYOD (saját eszköz használata) – meg kell felelnie az alapvonal-biztonsági követelményeknek (konfigurációkezelés, javítások telepítése, titkosítás, kártevők elleni védelem) és az eszközregisztráció követelményeinek. A szabályzat irányítási mechanizmusai szigorúan kezelik a kockázatkezelést, a kivételkezelést és az érvényesítés és megfelelés kérdéseit. Olyan kockázati kategóriák, mint a hitelesítő adatok ellopása, adat-exfiltráció, belső fenyegetések, szabályozási kötelezettségek megsértése és kártékony kód miatti kompromittálódás, közvetlenül kezelve vannak rétegzett kontrollokkal: szerepköralapú hozzáférés-szabályozás, SIEM-riasztások, végpontbiztonság, adatkezelési szabályok és felhasználói képzés. Továbbá minden kivételt a CISO-nak jóvá kell hagynia, dokumentálni kell, és időszakosan felül kell vizsgálni. A folyamatos felügyelet monitorozás, központosított naplózás és meghatározott auditfolyamatok révén valósul meg. A szabályzat megsértése a hozzáférés visszavonásának, fegyelmi intézkedéseknek, a szerződés megszüntetésének vagy jogi eljárásnak lehet alávetve. A szabályzat szorosan integrálódik a kapcsolódó szabályzatokhoz, beleértve az információbiztonsági politika, az elfogadható használati szabályzat, a hozzáférés-vezérlési szabályzat, a kockázatkezelési keretrendszer, az eszközgazdálkodás, az adatmegőrzési szabályzat, valamint a Naplózási és monitorozási szabályzat területeit, hogy egy végponttól végpontig terjedő távmunkairányítási modellt alkosson. Éves vagy eseményvezérelt felülvizsgálati ciklusa biztosítja a reagálóképességet a változó fenyegetésekre, szabályozási változásokra vagy technológiai fejlődésre, és minden frissítést formálisan kommunikálnak, és a szabályzat tudomásulvétele útján visszaigazoltatnak. Ez következetesen kikényszeríti a biztonságos, megfelelő és megbízható működést valamennyi távmunkaforgatókönyvben.