P01 Informacijos saugumo politika

Informacijos saugumo politika (P01) nustato esminį organizacijos įsipareigojimą saugoti konfidencialumą, vientisumą, prieinamumą (KVP) savo informacinį turtą. Įpareigodama įgyvendinti formalią Informacijos saugumo valdymo sistemą (ISVS), politika nustato strateginę kryptį, būtiną palaikyti visos įmonės rizika grindžiamą, išmatuojamą ir nuolatinio tobulinimo principu valdomą saugumo laikyseną. Šios politikos taikymo sritis yra išsami ir privaloma visiems darbuotojams, rangovams, trečiųjų šalių paslaugų teikėjams, taip pat visoms fizinėms ir skaitmeninėms aplinkoms, dalyvaujančioms tvarkant įmonės duomenis. Ji apima visą informacijos gyvavimo ciklą, o griežti reikalavimai numato, kad bet kokios išimtys iš šios taikymo srities turi būti visiškai dokumentuotos ir patvirtintos aukščiausiosios vadovybės. Toks privalomas taikymas užtikrina vienodus apsaugos standartus visame versle, nepriklausomai nuo turto vietos ar funkcijos. Nustatyti tikslai siekia ne tik atitikties tarptautiniams standartams, tokiems kaip ISO/IEC 27001:2022, NIST SP 800-53 ir COBIT 2019, bet ir skatinti kultūrą, kurioje saugumas integruotas į kasdienę veiklą, partnerystes ir verslo sistemas. Tam priskirti vaidmenys ir atsakomybės aiškiai apibrėžia lūkesčius aukščiausiajai vadovybei, saugumo pareigūnams, turto savininkui, IT ir techniniam personalui bei visam personalui. Tai užtikrina, kad visi – nuo aukščiausiosios vadovybės iki išorinių rangovų – suprastų savo pareigas palaikant organizacijos saugumą ir remiant reagavimą į incidentus, mokymų ir audito veiklas. Valdysena ISVS sistemoje yra kritinis politikos ramstis, reikalaujantis formalizuotų struktūrų, tokių kaip valdymo komitetai ir vaidmenų ir atsakomybių matrica, kad būtų prižiūrimas nuolatinis ISVS veiksmingumo vertinimas ir užtikrinamos savalaikės vadovybės peržiūros. Politika apibrėžia tarpfunkcinę integraciją, užtikrindama, kad informacijos saugumas nebūtų izoliuotas, o būtų integruotas į projektų valdymą, pirkimus, žmogiškuosius išteklius ir teisės ir atitikties funkcijas. Peržiūros ir atnaujinimo procedūros yra griežtai reglamentuotos, taikant versijų valdymą ir aiškų vykdomosios vadovybės patvirtinimą, taip papildomai stiprinant atskaitomybę ir reguliacinį pagrįstumą. Siekiant atitikti reglamentavimo, klientų ir audito reikalavimus, politika reikalauja, kad visos kontrolės priemonės ir jas pagrindžianti dokumentacija būtų audituojama ir patikrinama. Aiškiai aprašyti rizika grindžiamas kontrolės priemonių parinkimas, išimčių tvarkymas ir likutinės rizikos priėmimo keliai. Vykdymo užtikrinimas remiamas konkrečiomis pasekmėmis už politikos laikymosi nesilaikymą, pranešimų apie pažeidimus teikimo mechanizmo apsaugomis ir privalomųjų mokymų programomis. Sąsajos su kitomis pagrindinėmis organizacijos politikomis – vaidmenų ir atsakomybių registru, priimtino naudojimo politika, prieigos kontrolės politika, rizikos valdymo procesu ir auditu bei atitiktimi – užtikrina pilną suderinimą visoje ISVS, siekiant vieningo rizikos ir atitikties valdymo.