Debesijos naudojimo politika

Debesijos naudojimo politika (P27) nustato vieningą, privalomą standartą debesijos kompiuterijos paslaugų diegimui, valdymui ir valdysenai, apimant Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS) ir Software-as-a-Service (SaaS) modelius. Jos tikslas – užtikrinti, kad visas organizacijos debesijos platformų naudojimas būtų saugus, atitiktų taikomus reglamentavimo reikalavimus ir palaikytų operacinį efektyvumą bei inovacijas, kartu apsaugant informacinio turto konfidencialumą, vientisumą, prieinamumą. Politikos taikymo sritis yra plati: ji taikoma visiems darbuotojams, rangovams, trečiųjų šalių tiekėjams ir konsultantams, kurie vykdo bet kokį debesijos paslaugų suteikimą, konfigūravimą, administravimą ar naudojimą. Ji apima viešosios, privačiosios, hibridinės ir bendruomeninės debesijos diegimus, apima visus duomenų klasifikavimo lygius ir aiškiai įtraukia tiek vidines, tiek tiekėjų talpinamas aplinkas, taip pat šešėlinės IT ir asmeninės debesijos naudojimo verslo tikslais prevenciją. Pagrindiniai politikos tikslai: apibrėžti aiškias gaires ir bazinius lygius debesijos diegimui, mažinti operacines ir reglamentavimo rizikas (pvz., neteisingas konfigūracijas, duomenų saugumo pažeidimus ir nesankcionuotą prieigą) ir nustatyti tvirtas saugumo bei privatumo kontrolės priemones per sutartinius įsipareigojimus, nuolatinį vertinimą ir teises atlikti auditą visiems debesijos paslaugų teikėjams. Politika reikalauja centralizuotai palaikyti Debesijos paslaugų registrą, kurį prižiūri Vyriausiasis informacijos saugumo pareigūnas (CISO), ir kuriame registruojami patvirtinti paslaugų teikėjai, paslaugų tipai, rizikos įvertinimai, verslo savininkai ir sutarčių atributai, taip užtikrinant griežtą gyvavimo ciklo valdymą ir nuolatinę atitikties stebėseną. Vaidmenys ir atsakomybės apibrėžiami tiksliai, paskirstant valdymo ir priežiūros funkcijas tarp aukščiausiosios vadovybės, Vyriausiojo informacijos saugumo pareigūno (CISO), debesijos saugumo architekto, IT operacijų, pirkimų, teisės ir atitikties, duomenų savininkų ir galutinių naudotojų. Politika nustato griežtas technologines ir procedūrines kontrolės priemones: tapatybės ir prieigos valdymą (su privaloma vaidmenimis pagrįsta prieigos kontrole (RBAC) ir kelių veiksnių autentifikavimu (MFA) administracinėms paskyroms), bazines saugumo konfigūracijas, šifravimą (naudojant NIST patvirtintus standartus), žurnalinimo reikalavimus ir debesijos paslaugų integraciją su SIEM sistemomis. Sutartyse su debesijos paslaugų teikėjais turi būti numatytos teisės atlikti auditą, pranešimų apie pažeidimus teikimas, duomenų grąžinimas / ištrynimas ir atitikties stebėsena. Duomenys į debesiją gali būti perduodami tik po duomenų klasifikavimo, o tarpvalstybiniai perdavimai turi atitikti nustatytus reglamentus, pvz., GDPR. Rizikos valdymas yra esminis: bet kokiems nukrypimams reikalingos dokumentuotos išimtys, detalūs rizikos tvarkymo planai, patvirtinimas iš Vyriausiojo informacijos saugumo pareigūno (CISO) arba debesijos saugumo architekto ir kelių lygių peržiūra didelės rizikos scenarijams. Nuolatinė valdysena užtikrinama reguliaria nuolatine atitikties stebėsena, integracija su reagavimu į incidentus (eskaluojama pagal reagavimo į incidentus politiką), metinėmis peržiūromis ir tarpiniais atnaujinimais, kuriuos lemia incidentų rezultatai, migracijos ar reglamentavimo pokyčiai. Politikos nuostatų pažeidimai, pvz., nesankcionuotų debesijos paslaugų naudojimas arba privalomų kontrolės priemonių netaikymas, sukelia pasekmes nuo mokymų iki teisinių veiksmų ar darbo santykių nutraukimo. Debesijos naudojimo politika susiejama su susijusiomis politikomis dėl informacijos saugumo, pokyčių valdymo, duomenų klasifikavimo, kriptografinių kontrolės priemonių, žurnalinimo ir stebėsenos politikos, reagavimo į incidentus ir audito, taip dar labiau sustiprindama jos vaidmenį kaip autoritetingą debesijos valdysenos pagrindą.