Turto valdymo politika

Turto valdymo politika (P12) nustato organizacijos reikalavimus viso informacinio turto identifikavimui, klasifikavimui, valdymui ir apsaugai per visą informacinio turto gyvavimo ciklą. Dokumento tikslas – užtikrinti įmonės masto priežiūrą ir valdyseną, apimant aparatinę įrangą, programinę įrangą, duomenis, debesiją, mobiliąsias, nuotolines ir trečiųjų šalių valdomas aplinkas. Pagrindinis siekis – užtikrinti visišką matomumą visame turto portfelyje, kad būtų galima taikyti veiksmingas saugumo kontrolės priemones, priskirti savininkystę, užtikrinti atitiktį reglamentavimo reikalavimams ir atsakingas išėmimo iš eksploatacijos procedūras. Pagal šią politiką valdomas turtas apima platų spektrą: nešiojamuosius kompiuterius, stalinius kompiuterius, mobiliuosius įrenginius, keičiamąsias laikmenas, spausdintuvus, tinklo įrangą, programinę įrangą, duomenų bazes, atsarginių kopijų duomenis, šifravimo raktus, struktūrizuotus duomenis ir nestruktūruotus duomenis, ataskaitas, el. paštą, intelektinę nuosavybę, debesijos išteklius, virtualiąsias mašinas, naudotojų paskyras, konfigūracijos bazines linijas, licencijas ir kt. Politika taikoma visiems darbuotojams ir rangovams, trečiųjų šalių paslaugų teikėjams ir trečiųjų šalių tiekėjams, kurie naudoja, valdo ar pasiekia organizacijai priklausantį arba jos kontroliuojamą informacinį turtą. Taikymo sritis apima ir turtą nuotolinės prieigos, hibridinėse aplinkose ar išorinių paslaugų aplinkose, užtikrinant, kad turto saugumas ir atsekamumas nebūtų pažeisti dėl vietos. Pagrindinis tikslas – palaikyti centralizuotą, tikslų ir nuolat atnaujinamą turto inventorių, kurį valdo IT turto valdytojas ir, kai įmanoma, integruoja su konfigūracijų valdymo sistemomis. Kiekvienas į inventorių įtrauktas turtas turi turėti privalomus metaduomenis, pvz., unikalų identifikatorių, savininkystę, klasifikavimą, vietą ir gyvavimo ciklo būseną. Kiekvienam turtui paskiriamas turto savininkas, atsakingas už tinkamą turto klasifikavimą, apsaugą ir periodinį įrašų validavimą. Klasifikavimo procesas yra visos politikos pagrindas – jis užtikrina, kad turtas būtų ženklinamas ir valdomas pagal jautrumą, kritiškumą ir taikomus reglamentavimo reikalavimus. Ženklinimo procedūros taikomos tiek skaitmeniniam, tiek fiziniam turtui, o tvarkymo reikalavimai (pvz., šifravimas, užrakintas saugojimas ar ribota prieiga) turi atitikti klasifikavimo lygius. Politika aprašo saugumo kontrolės priemones kiekviename turto gyvavimo ciklo etape: įrenginio įtraukimas, perskirstymas, tvarkymas, naudojimas, saugus grąžinimas darbo santykių nutraukimo proceso metu ir saugus šalinimas. Nustatoma, kad turto naudojimas turi atitikti organizacijos turto priimtino naudojimo standartus, ir aiškiai draudžiama turtą pernaudoti asmeniniams tikslams, diegti neautorizuotą programinę įrangą arba apeiti kontrolės priemones, tokias kaip antivirusinė programinė įranga ir šifravimas. Nuotolinio turto naudojimo taisyklės reikalauja naudoti virtualųjį privatųjį tinklą (VPN) arba saugius tunelius ir gali apimti mobiliųjų įrenginių bei galinių įrenginių valdymo sprendimus. Saugus išėmimas iš eksploatacijos ir sunaikinimo praktikos apibrėžtos aiškiai – reikalaujama kriptografinio ištrynimo arba fizinio sunaikinimo su patvirtinimu ir įrašų tvarkymu. Siekiant palaikyti nuolatinę atitiktį ir rizikos valdymą, turto valdymo politika integruojama su rizikų registru ir palaiko rizikos vertinimo, išimčių valdymo ir audito procesus. Pažeidimai, tokie kaip neregistruotas ar neautorizuotas turtas, netinkamas šalinimas ar kontrolės priemonių išjungimas, yra eskalavimo pagrindas ir gali lemti drausmines priemones, tiekėjų sankcijas ar net teisinius procesus. Periodinės politikos peržiūros apima kelias suinteresuotųjų šalių grupes ir inicijuojamos dėl reglamentavimo pokyčių, audito išvadų, saugumo incidentų arba reikšmingų operacinių pokyčių. Dokumentas baigiamas nuorodomis į susijusias politikas: Prieigos kontrolės politika, Informacijos klasifikavimo ir tvarkymo politika, Duomenų saugojimo politika, Žurnalinimo ir stebėsenos politika, reagavimo į incidentus politika – užtikrinant, kad turto valdymas būtų centrinis organizacijos valdysenos struktūros ramstis. Ši politika nėra specialiai pažymėta kaip SVV politika. Ji skirta organizacijoms, turinčioms paskirtas komandas, tokias kaip IT, Vyriausiasis informacijos saugumo pareigūnas (CISO), IT turto valdytojas ir įvairius atitikties bei operacinius suinteresuotuosius asmenis, įgyvendinant išsamius ISO/IEC 27001:2022 reikalavimus ir palaikant sistemas.