Kockázatkezelési szabályzat

A Kockázatkezelési szabályzat (P06) szigorú, szervezetszintű keretrendszert biztosít az információbiztonsági kockázatok azonosítására, elemzésére, kockázatértékelésére és kockázatkezelésére. Célja a kockázatalapú elvek működtetése az információs vagyonelemek bizalmasságának, sértetlenségének és rendelkezésre állásának védelme érdekében, valamint az információbiztonsági kockázatkezelés beágyazása a döntéshozatal minden szintjébe. A szabályzat biztosítja, hogy mind a belső stratégiai célkitűzések, mind a külső szabályozási követelmények teljesüljenek, így az információbiztonsági irányítási rendszer alapvető eleme. Konkrétan teljesíti az ISO/IEC 27001:2022 6.1. záradék követelményeit, az ISO 31000:2018 elveit, és illeszkedik az ISO/IEC 27005 részletes módszertanához. A szabályzat hatóköre átfogó: valamennyi üzleti egységre, folyamatra, személyre, információs rendszerre (fizikai, digitális és felhőben üzemeltetett rendszerek), valamint az információs vagyonelemekkel kapcsolatban álló harmadik felekre kiterjed. Minden olyan szakasz, ahol kockázat keletkezhet — például új projektek, rendszerbevezetések, architektúraváltozások, beszállítói beléptetés, incidensreagálás és rendszeres felülvizsgálatok — e szabályzat hatálya alá tartozik. Ez az egységes megközelítés biztosítja, hogy egyetlen információbiztonsági kockázat se maradjon figyelmen kívül, függetlenül attól, hogy üzleti változásokból, technológiai frissítésekből vagy külső partnerségekből ered. A felelősségek egyértelműen meghatározottak. A felső vezetés meghatározza a kockázatvállalási hajlandóságot, és jóváhagyja a kockázatkezelést a kockázattűrés feletti maradék kockázatok esetén. Az IBIR-vezető vagy a kockázatkezelési felelős a keretrendszer gazdája: biztosítja a szabályzat-összhangot, vezeti a kockázatértékelést, és fenntartja a központi kockázati nyilvántartást és a Kockázatkezelési tervet. A kockázatgazda és az információbiztonsági csapat azonosítja, értékeli és kezeli a kockázatokat meghatározott eszközök vagy folyamatok vonatkozásában. A belső audit és a megfelelési csapatok validálják a kockázatkezelési tevékenységek eredményességét és nyomon követhetőségét, és helyesbítő intézkedéseket indítanak hiányosságok vagy szabályszegések esetén. Ez az irányítási struktúra szigorú felügyeletet és a nem elfogadható kockázatok hatékony eszkalációját biztosítja. Az irányítási követelmények előírják egy központi kockázati nyilvántartás fenntartását, amely dokumentálja az összes ismert kockázatot, azok tulajdonosait, pontszámait, a Kockázatkezelési tervét és a kontrollkapcsolatokat. A kockázatértékelésnek dokumentált módszertanokat kell követnie, beleértve az eszközosztályozást, a fenyegetés–sérülékenység leképezést és a kontrollok értékelését. Az Alkalmazhatósági nyilatkozat naprakészen tartandó a kockázatkezelési döntések és a kontrollállapot nyomon követhetősége érdekében. A kockázatkezelési lehetőségek (kockázatelkerülés, kockázatátruházás, kockázatelfogadás, kockázatcsökkentés) formálisan dokumentálandók, és az eljárások alóli kivételek szigorúan kontrolláltak: magasabb szintű jóváhagyást igényelnek indoklással és határidőkkel. A rendszeres monitorozás, a kulcskockázati mutatók és a kockázati irányítópultok támogatják a felső vezetés felé történő hatékony jelentéstételt. Az érvényesítés alapvető elem: a meg nem felelés fegyelmi intézkedések hatálya alá esik, és az IBIR-vezető az audit és megfelelés funkcióval együtt rendszeresen felülvizsgálja a kockázatkezelési tevékenységek teljességét, nyomon követhetőségét és időszerűségét. A szabályzatot legalább évente, illetve jelentős incidensek vagy szervezeti változások után felül kell vizsgálni, biztosítva, hogy naprakész maradjon a változó üzleti igényekkel és szabályozási környezettel. Ez a strukturált megközelítés közvetlenül támogatja az elszámoltathatóságot, az átláthatóságot és a folyamatos fejlesztést az információbiztonsági kockázatkezelésben, így a szervezeti ellenálló képesség szerves része.