Polityka bezpieczeństwa informacji

Polityka bezpieczeństwa informacji (P01) ustanawia fundamentalne zobowiązanie organizacji do ochrony poufności, integralności i dostępności (CIA) jej aktywów informacyjnych. Poprzez wymaganie wdrożenia formalnego Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) polityka wyznacza strategiczny kierunek niezbędny do utrzymania ogólnofirmowego profilu bezpieczeństwa, który jest oparty na ryzyku, mierzalny i podlega ciągłemu doskonaleniu. Zakres tej polityki jest kompleksowy i wiążący dla wszystkich pracowników, wykonawców, dostawców usług stron trzecich oraz wszystkich środowisk fizycznych i cyfrowych zaangażowanych w przetwarzanie danych firmy. Obejmuje cały cykl życia informacji, z rygorystycznymi wymaganiami, aby wszelkie wyłączenia z tego zakresu były w pełni udokumentowane i zatwierdzone przez najwyższe kierownictwo. Takie wiążące zastosowanie zapewnia jednolitość standardów ochrony w całej działalności, niezależnie od lokalizacji lub funkcji aktywów. Określone cele mają na celu nie tylko spełnienie wymagań zgodności z normami międzynarodowymi, takimi jak ISO/IEC 27001:2022, NIST SP 800-53 i COBIT 2019, ale także wspieranie kultury, w której bezpieczeństwo jest wbudowane w codzienne działania, partnerstwa i systemy biznesowe. W tym celu przypisane role i odpowiedzialności doprecyzowują oczekiwania wobec kierownictwa wykonawczego, oficerów bezpieczeństwa, właścicieli aktywów, personelu IT i technicznego oraz całego personelu. Zapewnia to, że każdy — od najwyższego kierownictwa po zewnętrznych wykonawców — rozumie swoje obowiązki w utrzymaniu bezpieczeństwa organizacji oraz wspieraniu reagowania na incydenty, szkoleń i działań audytowych. Zarządzanie w ramach SZBI jest kluczowym filarem polityki, wymagającym sformalizowanych struktur, takich jak komitety sterujące i macierz rozliczalności, do nadzorowania ciągłej oceny wydajności SZBI oraz umożliwiania terminowych przeglądów zarządzania. Polityka określa wymagania dotyczące koordynacji międzyfunkcyjnej, zapewniając, że bezpieczeństwo informacji nie jest izolowane, lecz wplecione w zarządzanie projektami, zakupy, zasoby ludzkie (HR) oraz funkcje prawne. Procedury przeglądu i aktualizacji są ściśle regulowane, z kontrolą wersji i jednoznacznym zatwierdzeniem przez kierownictwo wykonawcze, co dodatkowo wspiera rozliczalność i obronę regulacyjną. Aby spełnić wymagania regulacyjne, klientów i audytów, polityka wymaga, aby wszystkie środki kontroli i dokumentacja wspierająca były zarówno audytowalne, jak i weryfikowalne. Opisano jasne ścieżki dla doboru środków kontroli opartego na ryzyku, obsługi wyjątków oraz akceptacji ryzyka rezydualnego. Egzekwowanie jest wspierane przez konkretne konsekwencje za niezgodność, mechanizm zgłaszania naruszeń oraz obowiązkowe szkolenia. Powiązania z innymi kluczowymi politykami organizacyjnymi — Rejestrem ról i odpowiedzialności, Polityką dopuszczalnego użytkowania, Polityką kontroli dostępu, Ramami zarządzania ryzykiem oraz Audytem i zgodnością — gwarantują pełne dostosowanie w ramach SZBI dla ujednoliconego zarządzania ryzykiem i zgodnością.