Pilnais uzņēmuma komplekts (P01–P37)

Pilnais uzņēmuma komplekts (P01–P37) ir stingri strukturēts, ar versiju pārvaldību nodrošināts 37 informācijas drošības un risku pārvaldības politiku kopums, kas aptver katru pamatfunkciju, atbalsta funkciju un specializēto funkciju, kas nepieciešama ISO/IEC 27001:2022 sertifikācijai un pastāvīgai atbilstībai vadošajiem starptautiskajiem standartiem un normatīvajiem aktiem (GDPR, ES NIS2, DORA, NIST, COBIT un citi). Katra politika seko vienotam formātam: definē mērķi, ISMS darbības jomu un piemērojamību (pēc struktūrvienības, sistēmas vai procesa), mērķus, detalizētas lomas un pienākumus, pārvaldību, ieviešanas un tehnoloģisko kontrolpasākumu prasības, riska apstrādi un izņēmumu procesus, izpildi un atbilstību, kā arī disciplināros mehānismus, pārskatīšanas un atjaunināšanas ciklus, kā arī skaidras kartēšanas uz standartiem un regulatīvajām klauzulām. Ir detalizētas savstarpējās atsauces uz atbalsta politikām un procesu dokumentāciju, nodrošinot izsekojamību un vienotu informācijas drošības pārvaldības sistēmas struktūru. Politikas aptver visas uzņēmuma drošībai nepieciešamās dimensijas: no stratēģiskas informācijas drošības pārvaldības sistēmas pārvaldības (P1–P2), uzvedības un piekļuves kontroles, aktīvu pārvaldības, datu privātuma un klasifikācijas līdz padziļinātām tehniskām tēmām, tostarp kriptogrāfijai, ievainojamību pārvaldībai, drošai izstrādei, piegādātāju/trešo pušu riskam, mākonim, OT/IoT, reaģēšanai uz incidentiem, pierādījumu pārvaldībai un darbības nepārtrauktībai/avārijas atjaunošanai (BCP/DR). Specializētais pārklājums ietver sociālos medijus/ārējo komunikāciju, mobilo/BYOD, kriminālistiku, auditu un juridisko/regulatīvo atbilstību. Struktūra paredz nepārtrauktu pārskatīšanu (vismaz reizi gadā vai reaģējot uz incidentiem, audita konstatējumiem, normatīvo prasību izmaiņām), piešķir politiku īpašniekus (galvenais informācijas drošības vadītājs (CISO), juridiskās lietas, augstākā vadība, procesu līmeņa īpašnieki) un integrē uzlabošanas un CAPA procedūras. Katra politika paredz uz risku balstītus izņēmumus un prasa, lai tie būtu formāli dokumentēti, pamatoti, veikts riska novērtējums, apstiprināti, reģistrēti un atkārtoti validēti noteiktos intervālos (reizi ceturksnī, pusgadā vai pēc trigeru notikumiem). Neatbilstība var izraisīt koriģējošās darbības, apmācību, piekļuves tiesību atsaukšanu, disciplināros pasākumus, izbeigšanu, juridisko/regulatīvo eskalāciju vai līguma apturēšanu (trešajām pusēm). Audits, nepārtraukta atbilstības uzraudzība, pierādījumu pārvaldība un kriminālistikas procesi ir skaidri kodificēti, atbalstot gan iekšējās, gan ārējās sertifikācijas, regulatoru auditus un izmeklēšanas. Visas tehniskās politikas atsaucas uz prasībām attiecībā uz audita žurnālu veidošanu, drošības rīku integrācijām (piem., SIEM, MDM/CD, ievainojamību skenēšanu, CSPM), incidentu/brīdināšanas mehānismiem un dokumentu glabāšanu. Visā kopumā atkārtoti uzsvērtas tēmas ir nepārtraukta uzlabošana, aizstāvamība un visu kontroles darbību izsekojamība, pilnībā saskaņā ar ISO/IEC 27001:2022 fokusu uz operacionālo integrāciju, vadības pārskatatbildību un strukturētu risku pārvaldību. Saites ar biznesa, juridiskajām un privātuma prasībām (piemēram, GDPR, DORA) un operacionālajām struktūrvienībām nodrošina, ka nepastāv ne silosi, ne nepilnības. Politikas atsaucas uz un operacionalizē galvenos jēdzienus, piemēram, minimālo privilēģiju principu, politikas dzīvescikla pārvaldību, pienākumu nodalīšanu un drošības apzinīgu uzvedību. Pilnais uzņēmuma komplekts ir izstrādāts, lai maksimāli palielinātu gatavību sertifikācijai, noturīgu atbilstību un noturību dinamiskā risku un regulatīvo prasību vidē, un katra politika ir kartēta uz piemērojamiem ietvariem un gatava ieviešanai visā uzņēmumā.