Taikomųjų programų saugumo reikalavimų politika – SVV

Taikomųjų programų saugumo reikalavimų politika (P25S) nustato privalomą sistemą, skirtą visų organizacijos taikomųjų programų ir sistemų apsaugai, nepriklausomai nuo to, ar jos kuriamos viduje, ar gaunamos iš tiekėjų ir trečiųjų šalių paslaugų teikėjų. Ši politika suderinta su tarptautiniu mastu pripažintais standartais ir reguliacinėmis sistemomis, tokiomis kaip ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, ES GDPR, ES NIS2, ES DORA ir COBIT 2019, užtikrinant išsamų atitikties ir veiklos atsparumo aprėptį. Kaip dedikuota SVV politika, aiškiai pažymėta raide „S“ dokumento numeryje (P25S), ji specialiai pritaikyta organizacijoms, neturinčioms didelių, specializuotų IT saugumo komandų, tokių kaip SOC analitikai ar CISO. Vietoje to atsakomybė centralizuojama vyriausiajam vykdomajam pareigūnui (GM), kuris privalo patvirtinti politiką, prižiūrėti atitiktį, peržiūrėti išimtis ir užtikrinti, kad visa programinė įranga, tiek vidinė, tiek išorinė, atitiktų bazinių saugumo reikalavimų rinkinį. Šis požiūris leidžia SVV pasiekti tvirtą rizikos laikyseną be plataus techninių komandų poreikio, remiantis aiškiais kontroliniais sąrašais ir atitikties patvirtinimais. Politikos taikymo sritis apima visas taikomąsias programas, kurios tvarko, saugo arba perduoda jautrius verslo ar asmens duomenis, nepriklausomai nuo jų kūrimo kilmės ar platformos. Vaidmenys ir atsakomybės supaprastinti: GM yra atskaitingas už politikos vykdymo užtikrinimą; taikomųjų programų savininkai (jei paskirti) patikrina būtinas kontrolės priemones ir dalyvauja peržiūrose; kūrėjai ir IT paslaugų teikėjai įgyvendina kontrolės priemones ir atlieka testavimą ir validavimą; o tiekėjai privalo sutartinai laikytis organizacijos standartų. Tai užtikrina išsamų aprėptį neperkraunant mažų komandų. Pagrindiniai tikslai apima patikrinamų saugumo kontrolės priemonių įdiegimą į kiekvieną taikomąją programą, konfidencialumo, vientisumo, prieinamumo (KVP) apsaugą ir taikomųjų programų testavimo, prieigos kontrolės, audito žurnalų vedimo ir šifravimo formalizavimą kaip bazinius reikalavimus. Tiekėjų ir debesijos taikomosios programos nėra išimtys: visos turi turėti saugų prisijungimą, įvesties validavimą, šifravimą perdavimo metu ir saugojimo metu, veiklos registravimą ir operatyvų pataisų diegimo valdymą. Prieš diegimą kiekviena taikomoji programa privalo praeiti saugumo patikrą, kurią mažiems projektams atlieka vidinė IT pagalba, o sudėtingoms sistemoms – nepriklausomi vertintojai, o visi įrašai saugomi pasirengimo auditui tikslais. Politika taip pat apibrėžia formalų rizikos tvarkymo ir išimčių valdymo procesą, leidžiantį lankstumą verslo poreikiams, kartu prioritetą teikiant atitikčiai teisinėms ir sutartinėms prievolėms, tokioms kaip GDPR, NIS2 ar DORA. Kiekviena su taikomosiomis programomis susijusi išimtis turi būti pagrįsta, atliktas rizikos vertinimas, patvirtinta GM ir peržiūrima bent kas pusmetį. Griežtos vykdymo priemonės apima neatitinkančių taikomųjų programų sustabdymą, tiekėjų sutarčių nutraukimą ir detalų registravimą bei ataskaitų teikimą, siekiant paremti tiek vidines kontrolės priemones, tiek išorinius auditus. Politikos peržiūros procesas užtikrina, kad ji išliktų aktuali naujoms grėsmėms, platformų pokyčiams ir reguliaciniams pokyčiams, padėdamas SVV neatsilikti dinamiškoje taikomųjų programų saugumo aplinkoje.