Polityka bezpiecznej komunikacji i uwierzytelniania wieloskładnikowego

Polityka bezpiecznej komunikacji i uwierzytelniania wieloskładnikowego (MFA) ustanawia kompleksowe środki kontrolne w celu ochrony komunikacji organizacyjnej oraz dostępu użytkowników, zgodnie z rygorystycznymi normami regulacyjnymi i branżowymi. Jej głównym celem jest zapewnienie poufności i integralności informacji przesyłanych wszystkimi kanałami komunikacji, w tym głosem, wideo, tekstem oraz systemami awaryjnymi, poprzez nakazanie zaawansowanych procesów uwierzytelniania zgodnie z NIS2 art. 21(2)(j). Obowiązująca wszystkich pracowników, wykonawców oraz strony zewnętrzne, polityka wymusza wyłączne korzystanie z zatwierdzonych przez organizację i szyfrowanych narzędzi komunikacyjnych dla poufnych lub operacyjnych informacji. Wymagania te obejmują również systemy powiadamiania awaryjnego, zapewniając, że nawet podczas kryzysów komunikacja pozostaje bezpieczna, odporna i dostępna. Koordynatorzy reagowania awaryjnego otrzymują bezpośrednią rolę zarówno w okresowym testowaniu tych systemów, jak i w szkoleniu personelu w zakresie ich prawidłowego i bezpiecznego użycia. Kluczowym celem polityki jest egzekwowanie uwierzytelniania wieloskładnikowego dla całego dostępu do sieci i systemów, w szczególności dla kont uprzywilejowanych oraz kont z dostępem zdalnym. Posiadacze kont uprzywilejowanych muszą korzystać z oddzielnych, unikalnych danych uwierzytelniających, które zawsze wymuszają uwierzytelnianie wieloskładnikowe lub ciągłe uwierzytelnianie, a każde podniesienie uprawnień jest ściśle ograniczone czasowo i monitorowane. Jeżeli ograniczenia techniczne uniemożliwiają natychmiastowe wdrożenie uwierzytelniania wieloskładnikowego lub szyfrowania, takie jak ograniczenia systemów przestarzałych lub przerwy operacyjne, wymagane są kontrole kompensacyjne, takie jak wzmocnione monitorowanie systemów lub tymczasowe ograniczenia dostępu, przy czym wszystkie odstępstwa są formalnie zatwierdzane przez dyrektora ds. bezpieczeństwa informacji (CISO) i podlegają kwartalnemu przeglądowi. Polityka nakazuje również rygorystyczne programy szkoleniowe i podnoszenia świadomości dla wszystkich użytkowników, zarówno podczas wdrożenia, jak i corocznie. Sesje te, ze zwiększonym naciskiem na role wysokiego ryzyka, takie jak administratorzy IT i kierownictwo, zapewniają, że personel potrafi odróżniać bezpieczne kanały od niezabezpieczonych, rozumie ataki phishingowe i inżynierię społeczną oraz prawidłowo korzysta z narzędzi bezpiecznej komunikacji. Poza wdrożeniem zapewniane jest ukierunkowane szkolenie dla użytkowników o podwyższonym poziomie ryzyka, koncentrujące się na zaawansowanych metodach uwierzytelniania oraz szczególnych ryzykach związanych z komunikacją awaryjną. Aby zapewnić stałą zgodność, prowadzone jest ciągłe monitorowanie zgodności oraz coroczne audyty wszystkich systemów uwierzytelniania i komunikacji. Każdy użytkownik próbujący omijać polityki lub korzystać z nieautoryzowanych bądź niezabezpieczonych metod komunikacji podlega środkom dyscyplinarnym, w tym możliwemu zakończeniu współpracy. Zespoły IT i bezpieczeństwa informacji utrzymują odpowiedzialność za monitorowanie rejestrów zdarzeń oraz egzekwowanie bezpiecznych domyślnych ustawień konfiguracyjnych, natomiast procesy audytu weryfikują ciągłe dostosowanie do obowiązków wynikających z polityki i obowiązków regulacyjnych. Polityka zapewnia zatem warstwowe, kompleksowe podejście do ochrony aktywów informacyjnych organizacji poprzez ścisłą integrację środków kontrolnych zarówno dla bezpiecznej komunikacji, jak i uwierzytelniania dostępu, w pełnej zgodności z dyrektywami takimi jak NIS2, ISO/IEC 27001:2022 oraz powiązanymi ramami.