Polityka pracy zdalnej

Polityka pracy zdalnej (P09) zapewnia kompleksowe ramy zarządzania bezpiecznym dostępem zdalnym oraz ograniczania unikalnych ryzyk związanych z rozproszonymi środowiskami pracy. Jest przeznaczona dla całego personelu, w tym pracowników pełnoetatowych, niepełnoetatowych, pracowników kontraktowych, dostawców usług stron trzecich, konsultantów, zewnętrznych dostawców oraz personelu projektowego, którzy są upoważnieni do wykonywania obowiązków służbowych poza siedzibą firmy. Polityka obowiązuje we wszystkich lokalizacjach geograficznych i strefach czasowych, w których działa organizacja, zapewniając jednolity bazowy zestaw środków kontrolnych niezależnie od tego, gdzie i kiedy odbywa się praca zdalna. Jej głównym celem jest utrzymanie poufności, integralności i dostępności aktywów informacyjnych organizacji, do których uzyskuje się dostęp lub które są przetwarzane poza siedzibą. Polityka realizuje to poprzez wdrożenie solidnych zabezpieczeń technicznych i proceduralnych, takich jak obowiązkowe szyfrowanie, silne uwierzytelnianie (w tym uwierzytelnianie wieloskładnikowe), ochrona punktów końcowych oraz bezpieczne kanały dostępu, takie jak korporacyjny VPN lub zdalne pulpity. Jest ściśle zgodna z wymaganiami ISO/IEC 27001:2022, w tym z Załącznikiem A, środkiem kontrolnym 6.7, który koncentruje się na bezpiecznych warunkach pracy zdalnej, zapewniając uwzględnienie zarówno zabezpieczeń fizycznych, jak i logicznych. Środki kontrolne odpowiadają również na wymagania regulacyjne branżowe, takie jak NIST SP 800-53 (dla kontroli dostępu i zabezpieczeń kryptograficznych), GDPR i NIS2 (dla bezpieczeństwa danych i prywatności danych) oraz DORA (dla odporności ICT w sektorze finansowym). Poszczególne sekcje polityki określają role i odpowiedzialności wśród kierownictwa wykonawczego, kierownictwa ds. bezpieczeństwa informacji (Dyrektora ds. bezpieczeństwa informacji (CISO)/menedżera systemu zarządzania bezpieczeństwem informacji), operacji IT, zasobów ludzkich (HR), bezpośrednich przełożonych, działu Prawa i zgodności oraz samego personelu pracującego zdalnie. Przykładowo IT odpowiada za wdrażanie i wspieranie bezpiecznej infrastruktury, śledzenie zgodności urządzeń oraz utrzymywanie rejestrów zdarzeń. Pracownicy i kontraktowi pracownicy zdalni muszą przestrzegać zasad bezpiecznego korzystania z urządzeń, zatwierdzonych metod dostępu, reguł postępowania z danymi oraz niezwłocznie zgłaszać wszelkie incydenty bezpieczeństwa lub utratę urządzenia. Polityka ściśle zabrania dostępu zdalnego poza autoryzowanymi konfiguracjami i wymaga, aby wszystkie urządzenia — zarówno firmowe, jak i prywatne (BYOD) — spełniały wymagania bazowego zestawu środków kontrolnych (konfiguracja, wdrażanie poprawek, szyfrowanie, ochrona przed złośliwym oprogramowaniem) oraz wymagania rejestracji. Mechanizmy zarządcze w ramach polityki obejmują postępowanie z ryzykiem, zarządzanie wyjątkami oraz egzekwowanie. Kategorie ryzyka, takie jak kradzież poświadczeń, eksfiltracja danych, zagrożenia wewnętrzne, naruszenia regulacyjne oraz kompromitacja złośliwym oprogramowaniem, są bezpośrednio adresowane poprzez warstwowe środki kontrolne: kontrolę dostępu opartą na rolach (RBAC), alertowanie SIEM, bezpieczeństwo punktów końcowych, reguły postępowania z danymi oraz szkolenie z zakresu świadomości bezpieczeństwa. Ponadto wszystkie wyjątki muszą być zatwierdzone przez Dyrektora ds. bezpieczeństwa informacji (CISO), udokumentowane i okresowo przeglądane. Ciągły nadzór jest utrzymywany poprzez monitorowanie, scentralizowane rejestrowanie audytowe oraz zdefiniowane procesy audytu. Naruszenia polityki podlegają cofnięciu uprawnień dostępu, środkom dyscyplinarnym, rozwiązaniu umowy lub działaniom prawnym. Polityka jest również ściśle zintegrowana z politykami powiązanymi, w tym Polityką bezpieczeństwa informacji, Polityką dopuszczalnego użytkowania, Polityką kontroli dostępu, Ramami zarządzania ryzykiem, zarządzaniem aktywami, Polityką retencji danych oraz Polityką rejestrowania i monitorowania, tworząc kompleksowy model zarządzania pracą zdalną. Jej coroczny lub zdarzeniowy cykl przeglądu zapewnia reagowanie na zmieniające się zagrożenia, zmiany regulacyjne lub postęp technologiczny, a wszystkie aktualizacje są formalnie komunikowane i potwierdzane. Zapewnia to spójne egzekwowanie bezpiecznych, zgodnych i niezawodnych operacji we wszystkich scenariuszach pracy zdalnej.