Mini rinkinys: ISVS paleidimo paketas – ENT

Mini rinkinys: ISVS paleidimo paketas – ENT suteikia bazinį politikų rinkinį bet kuriai organizacijai, kuri kuria arba brandina savo informacijos saugumo valdymo sistemą (ISVS) pagal ISO/IEC 27001:2022 ir susijusį reglamentavimą. Šį rinkinį sudaro šešios esminės politikos: P01 Informacijos saugumo politika, Valdysenos vaidmenų ir atsakomybių politika, Prieigos kontrolės politika, P05 Pakeitimų valdymo politika, Rizikos valdymo politika ir Atsarginių kopijų ir atkūrimo politika; kiekviena jų tiesiogiai susieta su naujausiais tarptautiniais standartais, įskaitant ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53, COBIT 2019, ES GDPR, NIS2 direktyvą ir DORA. P01 Informacijos saugumo politika apibrėžia organizacijos bendrą strategiją, kaip valdyti visus informacijos konfidencialumo, vientisumo ir prieinamumo aspektus. Ji suteikia strateginę kryptį, išreiškia vadovybės įsipareigojimą saugumui, palaiko išmatuojamus tikslus, nustato saugumo valdysenos modelį ir veikia kaip autoritetingas atskaitos taškas visai pavaldžiai dokumentacijai. Taikymo sritis yra plati – apima visus žmones, technologijas, procesus ir visą informacijos gyvavimo ciklą. Griežti reikalavimai užtikrina, kad vaidmenys būtų aiškūs, būtų vykdomi nuolatiniai rizika pagrįsti veiksmai, būtų valdomi politikos atnaujinimai ir būtų išlaikomas audituojamumas. Valdysenos vaidmenų ir atsakomybių politika papildomai patikslina atskaitomybę ISVS, užtikrindama, kad kiekvienas dalyvis – nuo aukščiausiosios vadovybės ir ISVS vadovo iki trečiųjų šalių paslaugų teikėjų – suprastų savo funkciją ir tarpusavio priklausomybes bei eskalavimo kelius. Palaikant vaidmenų ir atsakomybių registrą ir užtikrinant pareigų atskyrimą, ši politika garantuoja, kad visos ISVS veiklos yra formaliai priskirtos, visiškai atsekamos ir periodiškai peržiūrimos audito tikslais. Aiškiai reikalaujama tarpdalykinės integracijos su IT, teise ir atitiktimi bei žmogiškaisiais ištekliais, o politika apibrėžia tiek vidines, tiek išorinių paslaugų valdysenos struktūras. Prieigos kontrolės politika pateikia privalomus principus naudotojų ir sistemų prieigai visose aplinkose, akcentuodama vaidmenimis grindžiamą prieigos kontrolę, prieigos gyvavimo ciklo valdymą, patvirtinimo darbo eigas, privilegijuotų paskyrų apsaugą ir naudotojo autentifikavimą, visa tai palaikoma ketvirtinėmis prieigos peržiūromis. Ši politika glaudžiai integruota su žmogiškųjų išteklių procesais ir tiekėjų įtraukimu / darbo santykių nutraukimo procesu, tvirtomis patvirtinimo grandinėmis ir, kur įmanoma, automatizuotomis kontrolėmis. Ji atitinka ne tik ISO/IEC 27001 ir NIST reikalavimus, bet ir išsamius teisinius įsipareigojimus pagal GDPR ir sektorinius pagrindus. Įdiegtas griežtas vykdymo užtikrinimas, auditui orientuotas įrašų tvarkymas ir pranešimų apie pažeidimus teikimo mechanizmas pažeidimams. Įmonės atsparumą užtikrina P05 Pakeitimų valdymo politika. Ji taiko disciplinuotas, rizika grindžiamas kontrolės priemones visiems technologijų ir procesų pakeitimams: standartiniams pakeitimams, įprastiems pakeitimams arba skubiems pakeitimams. Procesas reikalauja išsamios pakeitimo prašymo dokumentacijos, privalomos pakeitimų patariamosios tarybos peržiūros įprastiems ir dideliems pakeitimams, testavimo prieš įgyvendinimą, dokumentuotų grįžimo į ankstesnę būseną planų ir po įgyvendinimo peržiūros. Griežtos kontrolės priemonės užkerta kelią nesankcionuotiems / nesuplanuotiems pakeitimams, užtikrina versijų valdymą ir reikalauja, kad visi žingsniai – inicijavimas, patvirtinimas, vykdymas – būtų atskirti. Šis sisteminis požiūris mažina neplanuotų sutrikimų, nesankcionuotų modifikacijų ar atitikties pažeidimų riziką, kartu palaikydamas audito pėdsaką. Rizikos valdymas įgyvendinamas pasikartojančiu, metodišku procesu: rizikų identifikavimu, rizikos analize, rizikos tvarkymu ir rizikos stebėsena pagal ISO/IEC 27001 6.1 nuostatą, ISO/IEC 27005 ir ISO 31000. Visos rizikos valdymo veiklos dokumentuojamos centralizuotame rizikų registre ir susiejamos su taikomumo pareiškimu (SoA), kad būtų aiškus atsekamumas iki kontrolės priemonių ir tvarkymo veiksmų. Šis požiūris užtikrina, kad rizikos apetitas būtų nustatytas vykdomuoju lygmeniu ir kad visos reikšmingos rizikos būtų tinkamai eskaluojamos, tvarkomos arba priimamos su pilna dokumentacija ir periodine peržiūra. Politika taip pat nurodo integraciją su audito išvadomis, reagavimu į incidentus ir strateginiais organizacijos sprendimais. Galiausiai, Atsarginių kopijų ir atkūrimo politika užtikrina tęstinumą ir duomenų atsparumą, nustatydama grafiku pagrįstas šifruotas atsargines kopijas, atkūrimo testavimą, atsargą už organizacijos ribų / debesijoje ir saugų laikmenų tvarkymą pagal reglamentavimo ir verslo poveikio reikalavimus. Kiekvienai sistemai dokumentuojami atkūrimo laiko ir atkūrimo taško tikslai (RTO/RPO). Atkūrimo testavimas atliekamas reguliariai, atsarginių kopijų gedimai registruojami žurnaluose ir eskaluojami, o išimtys vertinamos pagal riziką ir griežtai kontroliuojamos. Politika taip pat taikoma trečiųjų šalių atsarginių kopijų teikėjams, reikalaujant sutartinių, techninių ir atitikties apsaugos priemonių. Reikalaujamas įrodymų saugojimas auditui ir tyrimui, o ryšys su reagavimo į incidentus planais aiškiai aprašytas. Kartu šios politikos sudaro išsamų, įmonėms parengtą „ISVS pradinį rinkinį“, tinkamą organizacijoms, siekiančioms sertifikavimo, atitikties reglamentavimo reikalavimams ir veiklos atsparumo. Kiekvienas dokumentas yra valdomas versijomis, peržiūrimas cikliškai ir apima vykdymo užtikrinimo bei eskalavimo nuostatas trečiųjų šalių ir vidinei neatitikčiai, kartu palaikant integruotą pasirengimą auditui per visą ISVS gyvavimo ciklą.