Polityka synchronizacji czasu – MŚP

Niniejsza Polityka synchronizacji czasu (P23S) ustanawia jasne, obowiązkowe wymagania dotyczące konfiguracji i utrzymania dokładnej synchronizacji czasu we wszystkich systemach organizacji uczestniczących w przechowywaniu, przesyłaniu lub przetwarzaniu danych istotnych dla działalności. Jako polityka dla MŚP, P23S została zaprojektowana specjalnie dla organizacji o uproszczonych rolach IT, takich jak dyrektor generalny i dostawca wsparcia IT, a jednocześnie zapewnia zgodność z ISO/IEC 27001:2022, GDPR, NIS2, DORA oraz innymi ramami. Celem tej polityki jest utrzymanie integralności rejestrów zdarzeń systemowych, ułatwienie dokładnego dochodzenia incydentów oraz zapewnienie możliwości obrony w audytach poprzez ścisłe egzekwowanie zautomatyzowanych środków kontroli synchronizacji czasu. Wymaga ona, aby wszystkie systemy firmowe, zdalne oraz systemy hostowane w chmurze, w tym punkty końcowe użytkowników, serwery, zapory sieciowe oraz platformy SaaS, korzystały z zaufanych, zabezpieczonych kryptograficznie źródeł czasu (np. uwierzytelnione serwery NTP lub narzędzia dostawcy chmury). Urządzenia muszą synchronizować się co najmniej dwa razy dziennie i pozostawać w określonych progach (±5 sekund dla stacji roboczych; ±1 sekunda dla serwerów i urządzeń bezpieczeństwa). Rozbieżności czasu poza progami uruchamiają automatyczne alerty i muszą zostać niezwłocznie skorygowane, aby zapobiec zagrożeniom dla identyfikowalności danych lub pozycji regulacyjnej. Polityka przypisuje odpowiedzialności dyrektorowi generalnemu, dostawcy wsparcia IT oraz koordynatorowi ds. prywatności lub oficerowi ds. prawnych i zgodności. Dyrektor generalny nadzoruje i zatwierdza politykę lub wszelkie odstępstwa, natomiast wsparcie IT konfiguruje, monitoruje oraz dokumentuje status synchronizacji czasu. Pracownikom i kontraktorom surowo zabrania się zmiany ustawień czasu urządzeń; wszelkie problemy z synchronizacją muszą być eskalowane natychmiast. Regularne kontrole stanu systemów oraz okresowe przeglądy pomagają zapewnić ciągłą zgodność, natomiast obsługa wyjątków i kontrole kompensacyjne są starannie zarządzane i dokumentowane. Synchronizacja czasu jest wprost powiązana z innymi kluczowymi politykami dla MŚP, w tym Polityką rejestrowania i monitorowania, Polityką reagowania na incydenty (P30), ochroną danych i minimalizacją danych, zarządzaniem obiektami i aktywami oraz Polityką bezpieczeństwa dostawców. Łącznie polityki te zapewniają spójne pokrycie, gwarantując, że rejestry zdarzeń wykorzystywane do zgodności, monitorowania bezpieczeństwa lub reakcji na naruszenia są dokładne zarówno pod względem treści, jak i znacznika czasu. Dokument podkreśla rygorystyczny proces przeglądu i aktualizacji, nakazując coroczną ponowną ocenę przez dyrektora generalnego, IT oraz role ds. prywatności, a także aktualizacje wyzwalane przez zmiany technologiczne lub nowe obowiązki regulacyjne. To holistyczne podejście daje MŚP możliwość spełniania standardów bezpieczeństwa klasy enterprise bez potrzeby złożonych, zasobochłonnych struktur nadzoru.