Aktīvu pārvaldības politika

Aktīvu pārvaldības politika (P12) nosaka organizācijas prasības visu informācijas aktīvu identificēšanai, klasificēšanai, pārvaldībai un nodrošināšanai visā to dzīves ciklā. Dokumenta mērķis ir nodrošināt uzņēmuma mēroga uzraudzību un pārvaldību, aptverot aparatūru, programmatūru, datus, mākoņa, mobilās, attālinātās un trešo pušu pārvaldītās vides. Tās pamatnodoms ir nodrošināt organizācijai pilnīgu redzamību pār aktīvu portfeli, kas savukārt ļauj ieviest efektīvus drošības kontroles pasākumus, piešķirt īpašumtiesības, nodrošināt regulatīvo atbilstību un atbildīgas ekspluatācijas izbeigšanas procedūras. Saskaņā ar šo politiku pārvaldītie aktīvi ietver plašu klāstu: klēpjdatorus, galddatorus, mobilās ierīces, noņemamus datu nesējus, printerus, tīkla aprīkojumu, programmatūru, datubāzes, rezerves kopiju datus, šifrēšanas atslēgas, strukturētus un nestrukturētus datus, pārskatus, e-pastu, intelektuālo īpašumu, mākoņa resursus, virtuālās mašīnas, lietotāju kontus, konfigurācijas bāzlīnijas, licences un citus. Politika attiecas uz visiem darbiniekiem, līgumslēdzējiem, trešo pušu pakalpojumu sniedzējiem un piegādātājiem, kuri izmanto, pārvalda vai piekļūst organizācijai piederošiem vai tās kontrolētiem informācijas aktīviem. Šis tvērums attiecas arī uz aktīviem attālinātās, hibrīdvides vai ārpakalpojumu vidēs, nodrošinot, ka aktīvu drošība un izsekojamība netiek apdraudēta atrašanās vietas dēļ. Būtisks mērķis ir centralizēta, precīza un aktuāla aktīvu reģistra uzturēšana, ko pārvalda IT aktīvu pārvaldnieks un, kur iespējams, integrē ar citām konfigurācijas pārvaldības sistēmām. Katram aktīvam, kas tiek ievadīts šajā uzskaitē, jāietver obligāti metadati, piemēram, unikāls identifikators, īpašumtiesības, klasifikācija, atrašanās vieta un dzīves cikla statuss. Katram aktīvam tiek noteikts aktīva īpašnieks, kurš ir atbildīgs par atbilstošu klasifikāciju, aizsardzību un periodisku ierakstu validāciju. Klasifikācijas process ir visas politikas pamats, nodrošinot, ka aktīvi tiek marķēti un pārvaldīti atbilstoši sensitivitātei, kritiskumam un attiecīgajām regulatīvajām prasībām. Marķēšanas procedūras tiek piemērotas gan digitālajiem, gan fiziskajiem aktīviem, un apstrādes prasībām, piemēram, šifrēšanai, slēgtai glabāšanai vai piekļuves kontrolei, jāatbilst klasifikācijas līmeņiem. Politika detalizē drošības kontroles pasākumus katrā aktīva dzīves cikla posmā: ievadīšana, pārdale, apstrāde, izmantošana, droša atgriešana darbinieka atiešanas procesa laikā un droša likvidēšana. Tā nosaka, ka aktīvu izmantošanai jāatbilst pieļaujamās uzņēmuma aktīvu izmantošanas standartiem, un tā īpaši aizliedz aktīvu pārprofilēšanu personīgai lietošanai, neatļautas programmatūras instalēšanu vai kontroles pasākumu apiešanu, piemēram, antivīrusu programmatūru un šifrēšanu. Noteikumi attālinātai aktīvu izmantošanai paredz virtuālā privātā tīkla (VPN) vai droša pārvades tuneļa izmantošanu un var ietvert mobilo ierīču un galapunktu pārvaldības risinājumus. Droša ekspluatācijas izbeigšana un iznīcināšanas prakses ir skaidri noteiktas, pieprasot kriptogrāfisku dzēšanu vai fizisku iznīcināšanu ar apstiprinājumu un ierakstu uzturēšanu. Lai atbalstītu nepārtrauktu atbilstību un risku pārvaldību, aktīvu pārvaldības politika tiek integrēta ar organizācijas risku reģistru un atbalsta riska novērtēšanu, izņēmumu pārvaldību un audita procesus. Pārkāpumi, piemēram, nereģistrēti vai neautorizēti aktīvi, neatbilstoša likvidēšana vai kontroles pasākumu atspējošana, ir pamats eskalācijai un var izraisīt disciplināros pasākumus, piegādātāju sankcijas vai pat tiesvedību. Periodiski politikas pārskati ietver vairākas ieinteresēto pušu grupas un tiek ierosināti, ja notiek regulatīvas izmaiņas, audita konstatējumi, drošības incidenti vai būtiskas operatīvās izmaiņas. Dokumenta noslēgumā ir atsauces uz saistītajām politikām: Piekļuves kontrole, Datu klasifikācija, uzglabāšana un likvidēšana, Žurnālfiksēšanas un uzraudzības politika, Reaģēšana uz incidentiem, nodrošinot, ka aktīvu pārvaldība veido centrālu balstu organizācijas plašākā pārvaldības struktūrā. Šī politika nav īpaši marķēta kā MVU politika. Tā ir paredzēta organizācijām ar noteiktām komandām, piemēram, IT, galveno informācijas drošības vadītāju (CISO), aktīvu pārvaldnieku un dažādām atbilstības un operatīvajām ieinteresētajām pusēm, izpildot ISO/IEC 27001:2022 visaptverošās prasības un atbalstot ietvarus.