Visas įmonės paketas (P01–P37)

Visas įmonės paketas (P01–P37) yra griežtai struktūruotas, versijomis valdomas 37 informacijos saugumo ir rizikos valdymo politikų rinkinys, apimantis kiekvieną pagrindinę, palaikomąją ir specializuotą funkciją, reikalingą ISO/IEC 27001:2022 sertifikavimui ir nuolatinei atitikčiai su pagrindiniais tarptautiniais standartais ir reglamentavimo reikalavimais (GDPR, ES NIS2, DORA, NIST, COBIT ir kt.). Kiekviena politika laikosi vienodo formato: apibrėžia paskirtį, informacijos saugumo valdymo sistemos taikymo srities aprašą (pagal departamentą, sistemą ar procesą), tikslus, detalius vaidmenis ir atsakomybes, valdyseną, įgyvendinimo ir technologinių kontrolės priemonių reikalavimus, rizikos tvarkymą ir išimčių procesus, vykdymo užtikrinimą ir drausminius mechanizmus, peržiūros ir atnaujinimo ciklus bei aiškias sąsajas su standartais ir reglamentavimo nuostatomis. Pateikiamos nuorodos į palaikančias politikas ir procesų dokumentaciją, užtikrinant atsekamumą ir vientisą informacijos saugumo valdymo sistemos (ISVS) struktūrą. Politikos apima visas įmonės saugumui reikalingas dimensijas: nuo strateginės ISVS valdysenos (P1–P2), elgsenos ir prieigos kontrolės priemonių (P3–P7), turto valdymo, duomenų privatumo ir klasifikavimo iki pažangių techninių temų, įskaitant kriptografiją, pažeidžiamumų valdymą, saugų kūrimą, tiekėjų / trečiųjų šalių riziką, debesiją, OT/IoT, reagavimą į incidentus, įrodymų valdymą ir veiklos tęstinumą / atkūrimą po katastrofos (BCP/DR). Specializuota aprėptis apima socialinę mediją / išorinę komunikaciją, mobilumą / nuosavų įrenginių naudojimą (BYOD), kriminalistiką, auditą ir teisinę / reglamentavimo atitiktį. Struktūra reikalauja nuolatinės peržiūros (mažiausiai kasmet arba reaguojant į incidentus, audito išvadas, reglamentavimo pokyčius), priskiria politikų savininkus (vyriausiasis informacijos saugumo pareigūnas (CISO), teisė ir atitiktis, vykdomoji vadovybė, procesų savininkai) ir integruoja nuolatinio tobulinimo bei CAPA procedūras. Kiekviena politika numato rizika pagrįstas išimtis ir reikalauja, kad jos būtų formaliai dokumentuotos, pagrįstos, įvertintos pagal rizikos vertinimą, patvirtintos, užregistruotos žurnaluose ir pakartotinai patvirtintos nustatytais intervalais (ketvirtiniais, pusmetiniais arba pagal paleidiklio įvykius). Neatitiktis gali lemti koreguojamuosius mokymus, prieigos teisių atšaukimą, drausmines nuobaudas, darbo santykių nutraukimą, teisinį ir reguliacinį eskalavimą arba sutarties sustabdymą (trečiosioms šalims). Auditas, atitikties stebėsena, įrodymų valdymas ir kriminalistikos procesai yra aiškiai kodifikuoti, palaikant tiek vidaus, tiek išorinius sertifikavimus, reguliuotojų auditus ir tyrimus. Visos techninės politikos nurodo reikalavimus audito žurnalams, saugumo priemonių integracijoms (pvz., SIEM, MDM/CD, pažeidžiamumų skenavimas, CSPM), incidentų / įspėjimų teikimui ir dokumentų saugojimui. Visame rinkinyje pasikartojančios temos pabrėžia nuolatinį tobulinimą, ginamumą ir visų kontrolės veiklų atsekamumą, visiškai suderintą su ISO/IEC 27001:2022 dėmesiu operacinei integracijai, lyderystės atskaitomybei ir struktūruotai rizikos valdysenai. Sąsajos su verslo, teisiniais ir privatumo įpareigojimais (pvz., GDPR, DORA) bei organizaciniais vienetais užtikrina, kad nebūtų nei silosų, nei spragų. Politikos nurodo ir operacionalizuoja pagrindines sąvokas, tokias kaip mažiausių privilegijų principas, politikų ir procedūrų gyvavimo ciklo valdymas, pareigų atskyrimas ir saugumo sąmoningas elgesys. Visas įmonės paketas sukurtas maksimaliai padidinti pasirengimą sertifikavimui, užtikrinti tvarią atitiktį ir atsparumą dinamiškoje rizikos ir reglamentavimo aplinkoje, o kiekviena politika susieta su taikomomis sistemomis ir parengta diegimui visoje organizacijoje.