Polityka korzystania z chmury obliczeniowej

Polityka korzystania z chmury obliczeniowej (P27) zapewnia jednolity, obowiązkowy standard przyjmowania, zarządzania i nadzoru nad usługami chmury obliczeniowej, obejmując modele Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS) oraz Software-as-a-Service (SaaS). Jej celem jest zapewnienie, że całe wykorzystanie platform chmury obliczeniowej w organizacji jest bezpieczne, zgodne z odpowiednimi regulacjami oraz wspiera efektywność operacyjną i innowacje, przy jednoczesnej ochronie poufności, integralności i dostępności aktywów informacyjnych. Zakres polityki jest kompleksowy i dotyczy wszystkich pracowników, wykonawców, zewnętrznych dostawców oraz konsultantów zaangażowanych w jakiekolwiek nadawanie dostępu, konfigurację, administrację lub korzystanie z usług chmurowych. Obejmuje wdrożenia chmur publicznych, prywatnych, środowisk hybrydowych oraz społecznościowych, obejmuje wszystkie klasyfikacje danych i wprost uwzględnia zarówno środowiska wewnętrzne, jak i hostowane przez dostawcę, a także zapobieganie shadow IT oraz wykorzystywaniu osobistych usług chmurowych do celów biznesowych. Kluczowe cele polityki obejmują: zdefiniowanie jasnych wytycznych i bazowych zestawów środków kontrolnych dla adopcji chmury obliczeniowej, minimalizację ryzyk operacyjnych i regulacyjnych (takich jak błędne konfiguracje, naruszenie ochrony danych oraz nieuprawniony dostęp) oraz wymaganie solidnych zabezpieczeń bezpieczeństwa i prywatności poprzez zobowiązania umowne, ciągłą ocenę oraz prawo do audytu dla wszystkich dostawców chmury obliczeniowej. Polityka wymaga centralnego utrzymywania rejestru usług chmurowych, nadzorowanego przez dyrektora ds. bezpieczeństwa informacji (CISO), który kataloguje zatwierdzonych dostawców, typy usług, oceny ryzyka, właścicieli biznesowych oraz atrybuty umów, wspierając rygorystyczne zarządzanie cyklem życia dostępu i ciągłe monitorowanie zgodności. Role i odpowiedzialności są precyzyjnie określone, przypisując funkcje zarządzania i nadzoru w ramach kierownictwa wykonawczego, dyrektora ds. bezpieczeństwa informacji (CISO), architekta bezpieczeństwa chmury obliczeniowej, operacji IT, zakupów, prawa i zgodności, właścicieli aktywów oraz użytkowników końcowych. Polityka wymusza ścisłe zabezpieczenia techniczne i proceduralne: zarządzanie tożsamością i dostępem (z obowiązkową kontrolą dostępu opartą na rolach (RBAC) oraz uwierzytelnianiem wieloskładnikowym dla kont administracyjnych), bazowe konfiguracje bezpieczeństwa, szyfrowanie (z wykorzystaniem standardów zatwierdzonych przez NIST), wymagania dotyczące rejestrowania audytowego oraz integrację usług chmurowych z systemami Security Information and Event Management (SIEM). Umowy z dostawcami chmury obliczeniowej muszą obejmować prawo do audytu, terminy powiadamiania o naruszeniach, zwrot/usunięcie danych oraz ciągłe monitorowanie zgodności. Dane mogą być przenoszone do chmury obliczeniowej wyłącznie po klasyfikacji danych, a transfery transgraniczne muszą być zgodne z ustanowionymi regulacjami, takimi jak GDPR. Zarządzanie ryzykiem jest kluczowe: wszelkie odstępstwa wymagają udokumentowanych odstępstw, szczegółowych planów postępowania z ryzykiem, zatwierdzenia przez dyrektora ds. bezpieczeństwa informacji (CISO) lub architekta bezpieczeństwa chmury obliczeniowej oraz wielopoziomowego przeglądu dla scenariuszy wysokiego ryzyka. Bieżące zarządzanie jest egzekwowane poprzez regularne ciągłe monitorowanie zgodności, integrację reagowania na incydenty (eskalowaną zgodnie z Polityką reagowania na incydenty (P30)), coroczne przeglądy oraz aktualizacje doraźne wynikające z rezultatów incydentów, migracji systemów lub zmian regulacyjnych. Naruszenia postanowień polityki, takie jak korzystanie z niezatwierdzonych kont chmurowych lub pomijanie wymaganych środków kontrolnych, uruchamiają zakres konsekwencji — od szkoleń po działania prawne lub proces zakończenia współpracy. Polityka korzystania z chmury obliczeniowej jest powiązana z politykami dotyczącymi bezpieczeństwa informacji, zarządzania zmianami, klasyfikacji danych, kryptografii, rejestrowania audytowego i monitorowania, reagowania na incydenty oraz audytu, dodatkowo wzmacniając jej rolę jako autorytatywnej podstawy ładu chmury obliczeniowej.