Saugios komunikacijos ir kelių veiksnių autentifikavimo politika

Saugios komunikacijos ir kelių veiksnių autentifikavimo (MFA) politika nustato išsamias kontrolės priemones, skirtas apsaugoti organizacijos komunikaciją ir naudotojų prieigą, suderintas su griežtais reglamentavimo ir pramonės standartais. Pagrindinis tikslas – užtikrinti per visus komunikacijos kanalus perduodamos informacijos konfidencialumą ir vientisumą, įskaitant balsą, vaizdą, tekstą ir skubios komunikacijos sistemas, įpareigojant taikyti pažangius autentifikavimo procesus pagal NIS2 21 straipsnio 2 dalies (j) punktą. Taikoma visiems darbuotojams, rangovams ir išorinėms šalims, politika įpareigoja konfidencialiai ar operacinei informacijai naudoti tik organizacijos patvirtintas ir šifruotas komunikacijos priemones. Šie reikalavimai taikomi ir skubios komunikacijos pranešimų sistemoms, užtikrinant, kad net krizių metu komunikacija išliktų saugi, atspari ir prieinama. Skubiosios reakcijos koordinatoriams priskiriamas tiesioginis vaidmuo periodiškai testuojant šias sistemas ir mokant personalą tinkamai bei saugiai jomis naudotis. Svarbus politikos tikslas – užtikrinti kelių veiksnių autentifikavimą (MFA) visai prieigai prie tinklo ir sistemų, ypač privilegijuotoms ir nuotolinėms paskyroms. Privilegijuotų paskyrų turėtojai privalo naudoti atskirus autentifikavimo duomenis, kurie visada užtikrina kelių veiksnių autentifikavimą (MFA) arba nuolatinį autentifikavimą, o bet koks prieigos pakėlimas yra griežtai terminuotas ir stebimas. Jei techniniai apribojimai neleidžia nedelsiant įgyvendinti kelių veiksnių autentifikavimo (MFA) ar šifravimo, pvz., dėl senųjų sistemų apribojimų ar operacinių sutrikimų, privaloma taikyti kompensacines kontrolės priemones, pvz., sustiprintą sistemų stebėseną ar laikinus prieigos apribojimus; visos išimtys turi būti formaliai patvirtintos vyriausiojo informacijos saugumo pareigūno (CISO) ir peržiūrimos kas ketvirtį. Politika taip pat įpareigoja vykdyti griežtas informuotumo didinimo ir mokymų programas visiems naudotojams – įvedimo į darbą metu ir kasmet vėliau. Šios sesijos, skiriant didesnį dėmesį didelės rizikos pareigoms, pvz., administratoriams ir vadovams, užtikrina, kad personalas gebėtų atskirti saugius ir nesaugius kanalus, suprastų fišingo atakas ir socialinės inžinerijos taktiką bei tinkamai naudotų saugios komunikacijos priemones. Be įvedimo į darbą, tiksliniai mokymai teikiami naudotojams, kurių rizikos lygis padidėjęs, sutelkiant dėmesį į pažangius autentifikavimo metodus ir specifines rizikas, susijusias su skubiąja komunikacija. Siekiant užtikrinti nuolatinę atitiktį, vykdoma nuolatinė stebėsena ir kasmetinis visų autentifikavimo ir komunikacijos sistemų auditas. Bet kuris naudotojas, bandantis apeiti politiką ar naudoti neautorizuotus ar nesaugius komunikacijos metodus, susiduria su drausminėmis priemonėmis, įskaitant galimą darbo santykių nutraukimą. IT ir informacijos saugumo komandos atsako už žurnalų stebėseną ir saugių numatytųjų konfigūracijų vykdymo užtikrinimą, o audito procesai patvirtina nuolatinį suderinamumą su politikos ir reglamentavimo įpareigojimais. Taip ši politika užtikrina sluoksniuotą, išsamų požiūrį į organizacijos informacinio turto apsaugą, glaudžiai integruojant kontrolės priemones tiek saugiai komunikacijai, tiek prieigos autentifikavimui, visiškai suderintą su NIS2, ISO/IEC 27001:2022 ir susijusiomis sistemomis.