Politika dwar l-Użu tal-Cloud

Il-Politika dwar l-Użu tal-Cloud (P27) tipprovdi standard unifikat u obbligatorju għall-adozzjoni, il-ġestjoni u l-governanza tas-servizzi tal-komputazzjoni fil-cloud, li jinkludu mudelli Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS), u Software-as-a-Service (SaaS). L-għan tagħha huwa li tiżgura li l-użu kollu tal-organizzazzjoni tal-pjattaformi tal-cloud ikun sigur, konformi mar-regolamenti rilevanti, u jappoġġa l-effiċjenza operazzjonali u l-innovazzjoni filwaqt li jipproteġi l-kunfidenzjalità, l-integrità u d-disponibbiltà tal-assi tal-informazzjoni. Il-kamp ta’ applikazzjoni tal-politika huwa komprensiv, u japplika għall-impjegati kollha, kuntratturi, fornituri terzi, u konsulenti involuti fi kwalunkwe forniment ta’ aċċess, konfigurazzjoni, amministrazzjoni, jew użu tas-servizzi tal-cloud. Dan il-kamp jestendi għal deplojments ta’ cloud pubbliku, privat, ibridu, u community cloud, ikopri l-klassifikazzjoni tad-dejta kollha, u jinkludi b’mod espliċitu kemm ambjenti interni kif ukoll dawk ospitati mill-fornitur, kif ukoll il-prevenzjoni ta’ shadow IT u l-użu ta’ cloud personali għal skopijiet tan-negozju. L-objettivi ewlenin tal-politika jinkludu: id-definizzjoni ta’ linji gwida u linji bażi ċari għall-adozzjoni tal-cloud, it-tnaqqis tar-riskji operazzjonali u regolatorji (bħal konfigurazzjonijiet ħżiena, ksur ta’ data, u aċċess mhux awtorizzat), u l-obbligu ta’ kontrolli robusti ta’ sigurtà u privatezza permezz ta’ obbligi kuntrattwali, valutazzjoni kontinwa, u drittijiet ta’ awditjar għall-fornituri kollha tal-cloud. Il-politika tinsisti fuq iż-żamma ċentrali ta’ Reġistru tas-Servizzi tal-Cloud, taħt is-sorveljanza tal-Uffiċjal Kap tas-Sigurtà tal-Informazzjoni (CISO), li jikkataloga fornituri approvati, tipi ta’ servizz, klassifikazzjonijiet tar-riskju, sidien tan-negozju, u attributi tal-kuntratt, u b’hekk jappoġġa ġestjoni taċ-ċiklu tal-ħajja tal-aċċess rigoruża u monitoraġġ kontinwu tal-konformità. Ir-rwoli u r-responsabbiltajiet huma delineati b’mod preċiż, u jassenjaw funzjonijiet ta’ ġestjoni u sorveljanza fuq Tmexxija Eżekuttiva, Uffiċjal Kap tas-Sigurtà tal-Informazzjoni (CISO), Cloud Security Architect, Operazzjonijiet tal-IT, Akkwist, Legali, Sidien tal-assi tal-informazzjoni, u utenti finali. Il-politika tinforza kontrolli tekniċi u proċedurali stretti: ġestjoni tal-identità u tal-aċċess ibbażata fuq l-identità (b’kontroll ta’ aċċess ibbażat fuq ir-rwoli (RBAC) u awtentikazzjoni b’diversi fatturi obbligatorji għall-kontijiet amministrattivi), konfigurazzjonijiet bażiċi tas-sigurtà, iċċifrar (bl-użu ta’ standards approvati min-NIST), rekwiżiti ta’ reġistrazzjoni tal-awditjar, u integrazzjoni tas-servizzi tal-cloud ma’ sistemi ta’ Security Information and Event Management (SIEM). Il-kuntratti mal-fornituri tal-cloud iridu jindirizzaw drittijiet ta’ awditjar, notifikazzjonijiet ta’ ksur, ritorn/tħassir tad-dejta, u monitoraġġ kontinwu tal-konformità. Id-dejta tista’ tiġi trasferita lejn il-cloud biss wara klassifikazzjoni tad-dejta, u trasferimenti transfruntiera jridu jikkonformaw mar-regolamenti stabbiliti bħall-GDPR. Il-ġestjoni tar-riskju hija ċentrali: kwalunkwe devjazzjoni teħtieġ eċċezzjonijiet dokumentati, pjan ta’ trattament tar-riskju dettaljat, approvazzjoni mill-Uffiċjal Kap tas-Sigurtà tal-Informazzjoni (CISO) jew Cloud Security Architect, u rieżami f’diversi livelli għal xenarji ta’ riskju għoli. Il-governanza kontinwa tiġi infurzata permezz ta’ monitoraġġ kontinwu tal-konformità regolari, integrazzjoni mar-rispons għall-inċidenti (b’escalation skont il-Politika ta’ Rispons għall-Inċidenti (P30)), rieżamijiet annwali, u aġġornamenti interim immexxija mir-riżultati tal-inċidenti, migrazzjonijiet tas-sistemi, jew bidliet regolatorji. Ksur tad-dispożizzjonijiet tal-politika, bħall-użu ta’ kontijiet tal-cloud mhux approvati jew in-negliġenza ta’ kontrolli meħtieġa, jattiva firxa ta’ konsegwenzi, minn taħriġ sa azzjoni legali jew terminazzjoni. Il-Politika dwar l-Użu tal-Cloud tinterrelata ma’ politiki relatati dwar is-sigurtà tal-informazzjoni, ġestjoni tat-tibdil, klassifikazzjoni tad-dejta, kriptografija, Politika tal-Illoggjar u l-Monitoraġġ, rispons għall-inċidenti, u awditu u konformità, u b’hekk tissaħħaħ aktar ir-rwol tagħha bħala l-pedament awtorevoli tal-governanza tal-cloud.