Rizikos valdymo politika

Rizikos valdymo politika (P06) pateikia griežtą, visoje organizacijoje taikomą informacijos saugos rizikų identifikavimo, analizės, įvertinimo ir rizikos tvarkymo sistemą. Jos tikslas – operacionalizuoti rizika pagrįsto sprendimų priėmimo principus, siekiant apsaugoti konfidencialumą, vientisumą, prieinamumą, informacinį turtą ir integruoti informacijos saugos rizikos valdymą į visus sprendimų priėmimo lygius. Politika užtikrina, kad būtų įgyvendinti tiek vidiniai strateginiai tikslai, tiek išoriniai reglamentavimo reikalavimai, todėl ji yra esminė informacijos saugumo valdymo sistemos (ISVS) dalis. Konkrečiai, politika įgyvendina ISO/IEC 27001:2022 6.1 punkto reikalavimus, ISO 31000:2018 principus ir atitinka išsamias ISO/IEC 27005 metodikas. Politikos taikymo sritis yra išsami: ji taikoma visiems verslo padaliniams, procesams, visam personalui, informacinėms sistemoms (fizinėms, skaitmeninėms ir debesyje talpinamoms sistemoms) ir trečiosioms šalims, susijusioms su informaciniu turtu. Kiekvienas etapas, kuriame gali atsirasti rizika, pavyzdžiui, nauji projektai, sistemų įgyvendinimai, architektūros pakeitimai, tiekėjų įtraukimas, reagavimas į incidentus ir reguliarios peržiūros, patenka į šios politikos taikymo sritį. Šis vieningas požiūris užtikrina, kad nebūtų praleista jokia informacijos saugos rizika, nepriklausomai nuo to, ar ji kyla dėl verslo pokyčių, technologijų atnaujinimų ar išorinių partnerysčių. Atsakomybės aiškiai apibrėžtos. Aukščiausioji vadovybė nustato rizikos apetitą ir tvirtina rizikos tvarkymo sprendimus dėl likutinės rizikos, viršijančios rizikos priėmimo slenksčius. ISVS vadovas arba rizikos pareigūnas valdo sistemą, užtikrina politikos suderinamumą, vadovauja rizikos vertinimui ir palaiko centralizuotą rizikų registrą ir rizikos tvarkymo planą. Rizikos savininkas ir informacijos saugos komanda identifikuoja, vertina ir tvarko rizikas konkrečiam turtui ar procesams. Vidaus audito komanda ir atitikties komandos validuoja rizikos valdymo veiklų veiksmingumą ir atsekamumą, inicijuodamos koreguojamuosius veiksmus dėl spragų ar pažeidimų. Ši aiški valdysenos struktūra užtikrina griežtą priežiūrą ir veiksmingą nepriimtinų rizikų eskalavimą. Valdysenos reikalavimai numato centralizuoto rizikų registro palaikymą, dokumentuojant visas žinomas rizikas, jų savininkus, balus, rizikos tvarkymo planus ir sąsajas su kontrolės priemonėmis. Rizikos vertinimas turi būti atliekamas pagal dokumentuotas metodikas, įskaitant turto klasifikavimą, grėsmių ir pažeidžiamumų susiejimą ir kontrolės priemonių įvertinimą. Taikomumo pareiškimas (SoA) palaikomas aktualus, kad būtų užtikrintas tvarkymo sprendimų ir kontrolės būsenos atsekamumas. Rizikos tvarkymo pasirinkimai (rizikos vengimas, rizikos perdavimas, rizikos priėmimas, rizikos mažinimas) dokumentuojami formaliai, o procedūrų išimtys yra griežtai kontroliuojamos, reikalaujant aukštesnio lygio patvirtinimų su pagrindimu ir terminais. Reguliari stebėsena, pagrindiniai rizikos rodikliai ir rizikos suvestinė užtikrina veiksmingą ataskaitų teikimą aukščiausiajai vadovybei. Vykdymo užtikrinimas yra esminė dalis: neatitiktis yra drausminių priemonių objektas, o ISVS vadovas kartu su auditu reguliariai peržiūri rizikos valdymo veiklų išsamumą, atsekamumą ir savalaikiškumą. Politika peržiūrima bent kartą per metus arba po reikšmingų incidentų ar organizacinių pokyčių, užtikrinant jos aktualumą kintantiems verslo poreikiams ir reglamentavimo aplinkai. Šis struktūruotas požiūris tiesiogiai palaiko atskaitomybę, skaidrumą ir nuolatinį tobulinimą informacijos saugos rizikos valdyme, todėl jis yra neatsiejamas nuo bendro organizacijos atsparumo.