Nuotolinio darbo politika

Nuotolinio darbo politika (P09) pateikia išsamią sistemą, skirtą valdyti saugią nuotolinę prieigą ir mažinti unikalią riziką, susijusią su paskirstytomis darbo aplinkomis. Ji skirta visam personalui, įskaitant visą darbo laiką dirbančius, ne visą darbo laiką dirbančius, sutartinius darbuotojus, trečiųjų šalių paslaugų teikėjus, konsultantus, tiekėjus ir projektų komandas, kuriems suteikta teisė vykdyti darbo pareigas už įmonės patalpų ribų. Politika galioja visose geografinėse vietovėse ir laiko juostose, kuriose veikia organizacija, užtikrindama vienodą bazinį saugumo lygį nepriklausomai nuo to, kur ir kada vyksta nuotolinis darbas. Pagrindinis jos tikslas – išlaikyti organizacijos informacinio turto konfidencialumą, vientisumą ir prieinamumą, kai jis pasiekiamas ar tvarkomas ne vietoje. Politika tai pasiekia įdiegdama patikimas technologines ir procedūrines apsaugos priemones, tokias kaip privalomas šifravimas, stiprus autentifikavimas (įskaitant kelių veiksnių autentifikavimą (MFA)), galinių įrenginių apsauga ir saugūs prieigos kanalai, pvz., virtualusis privatusis tinklas (VPN) arba nuotoliniai darbalaukiai. Ji glaudžiai suderinta su ISO/IEC 27001:2022 reikalavimais, įskaitant A priedo kontrolę 6.7, kuri orientuota į saugias nuotolinio darbo sąlygas, užtikrinant, kad būtų sprendžiamos tiek fizinės, tiek loginės prieigos apsaugos. Kontrolės priemonės taip pat atliepia pramonės reglamentus, tokius kaip NIST SP 800-53 (prieigos ir kriptografinėms apsaugoms), BDAR ir NIS2 (duomenų saugumui ir duomenų privatumui) bei DORA (finansų IRT atsparumui). Konkrečiuose politikos skyriuose apibrėžiami vaidmenys ir atsakomybės tarp aukščiausiosios vadovybės, informacijos saugumo vadovybės (vyriausiojo informacijos saugumo pareigūno (CISO) / ISVS vadovo), IT operacijų, Personalo skyriaus, tiesioginių vadovų, Teisės ir atitikties bei pačių nuotolinių darbuotojų. Pavyzdžiui, IT atsakinga už saugios infrastruktūros diegimą ir palaikymą, įrenginių atitikties sekimą ir įvykių žurnalų palaikymą. Darbuotojai ir sutartiniai nuotoliniai darbuotojai privalo laikytis saugaus įrenginių naudojimo, patvirtintų prieigos metodų, duomenų tvarkymo taisyklių ir nedelsdami pranešti apie bet kokius saugumo incidentus ar įrenginio praradimą. Politika griežtai draudžia nuotolinę prieigą, išskyrus autorizuotas konfigūracijas, ir reikalauja, kad visi įrenginiai – tiek įmonės, tiek nuosavų įrenginių naudojimo (BYOD) atveju – atitiktų bazinį saugumą (konfigūraciją, pataisų diegimą, šifravimą, apsaugą nuo kenkėjiškos programinės įrangos) ir turto registravimo reikalavimus. Politikoje numatyti valdysenos mechanizmai griežtai apima rizikos tvarkymą, išimčių valdymą ir vykdymo užtikrinimą. Rizikos kategorijos, tokios kaip kredencialų vagystė, duomenų eksfiltracija, vidinės grėsmės, reglamentavimo pažeidimai ir kenkėjiškos programinės įrangos kompromitavimas, tiesiogiai sprendžiamos taikant sluoksniuotas kontrolės priemones: vaidmenimis grindžiamą prieigos kontrolę, SIEM įspėjimus, galinių įrenginių saugumą, duomenų tvarkymo taisykles ir naudotojų mokymus. Be to, visos išimtys turi būti patvirtintos CISO, dokumentuotos ir periodiškai peržiūrimos. Nuolatinė priežiūra užtikrinama per stebėseną, centralizuotą žurnalinimą ir apibrėžtus audito procesus. Politikos pažeidimams taikomas prieigos teisių atšaukimas, drausminės priemonės, sutarties nutraukimas arba teisiniai veiksmai. Politika taip pat glaudžiai integruojama su susijusiomis politikomis, įskaitant Informacijos saugumo politiką, Priimtino naudojimo politiką, Prieigos kontrolės politiką, rizikos valdymo politiką, turto valdymo politiką, Duomenų saugojimo politiką ir Žurnalinimo ir stebėsenos politiką, kad sudarytų visapusišką nuotolinio darbo valdysenos modelį. Metinis arba įvykiais grindžiamas peržiūros ciklas užtikrina reagavimą į kintančias grėsmes, reglamentavimo pokyčius ar technologinę pažangą, o visi atnaujinimai formaliai komunikuojami ir patvirtinami. Taip nuosekliai užtikrinamos saugios, atitinkančios ir patikimos operacijos visais nuotolinio darbo scenarijais.