Laiko sinchronizavimo politika – SVV

Ši Laiko sinchronizavimo politika (P23S) nustato aiškius, privalomus reikalavimus tiksliam laiko sinchronizavimui sukonfigūruoti ir palaikyti visose organizacijos sistemose, kurios dalyvauja saugant, perduodant ar tvarkant verslui svarbius duomenis. Kaip SVV politika, P23S sukurta organizacijoms su supaprastintais IT vaidmenimis, tokiais kaip Generalinis vadovas ir IT palaikymo paslaugų teikėjas, tačiau užtikrina atitiktį ISO/IEC 27001:2022, BDAR, NIS2, DORA ir kitiems pagrindams. Šios politikos tikslas – užtikrinti sistemų žurnalų vientisumą, sudaryti sąlygas tiksliam incidentų tyrimui ir užtikrinti audituose pagrįstumą, griežtai taikant automatizuotas laiko sinchronizavimo kontrolės priemones. Reikalaujama, kad visos įmonei priklausančios, nuotolinės ir debesyje talpinamos sistemos, įskaitant naudotojų galinius įrenginius, serverius, ugniasienes ir SaaS platformas, naudotų patikimus, kriptografiškai apsaugotus laiko šaltinius (pvz., autentifikuotus NTP serverius arba debesijos paslaugų teikėjo įrankius). Įrenginiai turi sinchronizuotis bent du kartus per dieną ir išlikti nustatytose ribose (±5 sekundės darbo stotims; ±1 sekundė serveriams ir saugumo įrenginiams). Laiko neatitikimai už ribų sukelia įspėjimus ir turi būti nedelsiant ištaisyti, kad būtų išvengta grėsmių duomenų atsekamumui ar atitikties reglamentavimo reikalavimams būklei. Politikoje atsakomybės priskiriamos Generaliniam vadovui, IT palaikymo paslaugų teikėjui ir Privatumo koordinatoriui arba Teisės ir atitikties pareigūnui. Generalinis vadovas prižiūri ir tvirtina politiką arba bet kokias išimtis, o IT palaikymas konfigūruoja, vykdo stebėseną ir dokumentuoja laiko sinchronizavimo būseną. Darbuotojams ir rangovams griežtai draudžiama keisti įrenginių laiko nustatymus; bet kokios sinchronizavimo problemos turi būti eskaluojamos nedelsiant. Reguliarūs sistemų būklės patikrinimai ir periodinės peržiūros padeda užtikrinti nuolatinę atitiktį, o išimčių tvarkymas ir kompensacinės kontrolės priemonės yra kruopščiai valdomos ir dokumentuojamos. Laiko sinchronizavimas aiškiai susiejamas su kitomis pagrindinėmis SVV politikomis, įskaitant Žurnalinimo ir stebėsenos politiką, reagavimo į incidentus politiką, Duomenų apsaugos politiką, Turto valdymo ir Trečiųjų šalių saugumo politiką. Kartu šios politikos užtikrina nuoseklią aprėptį, kad žurnalai, naudojami atitikties, stebėsenos ir grėsmių aptikimo ar reagavimo į pažeidimus tikslais, būtų tikslūs tiek turiniu, tiek laiko žymomis. Dokumente pabrėžiamas griežtas peržiūros ir atnaujinimo procesas, reikalaujantis kasmetinio pakartotinio patvirtinimo, kurį atlieka Generalinis vadovas, IT ir Privatumo vaidmenys, o atnaujinimai inicijuojami dėl technologinių pokyčių ar naujų reglamentavimo įpareigojimų. Šis holistinis požiūris suteikia SVV galimybę laikytis įmonės lygio saugumo standartų be sudėtingų, daug išteklių reikalaujančių priežiūros struktūrų.