Politica de utilizare a serviciilor cloud

Politica de utilizare a serviciilor cloud (P27) oferă un standard unificat și obligatoriu pentru adoptarea, administrarea și guvernanța serviciilor de cloud computing, incluzând modelele Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS) și Software-as-a-Service (SaaS). Scopul său este să asigure că întreaga utilizare organizațională a platformelor cloud este sigură, conformă cu reglementările relevante și sprijină eficiența operațională și inovarea, protejând confidențialitatea, integritatea și disponibilitatea activelor informaționale. Domeniul de aplicare al politicii este cuprinzător, aplicându-se tuturor angajaților, contractanților, furnizorilor terți și consultanților implicați în orice alocare, configurare, administrare sau utilizare a serviciilor cloud. Această acoperire se extinde la implementări de cloud public, privat, hibrid și comunitar, acoperă toate nivelurile de clasificare a datelor și include explicit atât medii interne, cât și medii găzduite de furnizori, precum și prevenirea shadow IT și utilizarea cloud-ului personal în scopuri de afaceri. Obiectivele-cheie ale politicii includ: definirea de linii directoare și baze de referință clare pentru adoptarea cloud-ului, minimizarea riscurilor operaționale și de reglementare (precum configurări greșite, încălcarea securității datelor și acces neautorizat) și impunerea unor controale robuste de securitate și confidențialitate a datelor prin obligații contractuale, evaluare continuă și drepturi de audit pentru toți furnizorii de cloud. Politica insistă asupra menținerii centrale a unui registru al serviciilor cloud, supravegheat de Ofițerul-șef pentru securitatea informațiilor (CISO), care cataloghează furnizorii aprobați, tipurile de servicii, evaluările de risc, proprietarii de afaceri și atributele contractuale, sprijinind gestionarea ciclului de viață al accesului și monitorizarea continuă a conformității. Rolurile și responsabilitățile sunt delimitate precis, atribuind funcții de management și supraveghere în conducerea executivă, Ofițerul-șef pentru securitatea informațiilor (CISO), arhitectul de securitate cloud, operațiunile IT, achiziții, juridic, proprietarii de date și utilizatorii finali. Politica aplică controale tehnice și procedurale stricte: managementul identității și al accesului bazat pe identitate (cu controlul accesului bazat pe roluri (RBAC) și autentificare multifactor obligatorii pentru conturile administrative), configurații de securitate de bază, criptare (utilizând standarde aprobate NIST), cerințe de jurnalizare de audit și integrarea serviciilor cloud cu sisteme Security Information and Event Management (SIEM). Contractele cu furnizorii de cloud trebuie să abordeze drepturi de audit, notificarea încălcărilor, returnarea/ștergerea datelor și monitorizarea continuă a conformității. Datele pot fi transferate în cloud numai după clasificarea datelor, iar transferurile transfrontaliere trebuie să respecte reglementările stabilite, precum GDPR. Managementul riscurilor este central: orice abateri necesită excepții documentate, planuri de tratament al riscurilor detaliate, aprobare de către Ofițerul-șef pentru securitatea informațiilor (CISO) sau arhitectul de securitate cloud și revizuire pe mai multe niveluri pentru scenarii cu risc ridicat. Guvernanța continuă este aplicată prin monitorizarea continuă a conformității regulată, integrarea răspunsului la incidente (escaladată prin Politica de răspuns la incidente), revizuiri anuale și actualizări interimare determinate de rezultate ale incidentelor, migrări sau modificări de reglementare. Încălcările prevederilor politicii, precum utilizarea conturilor cloud neaprobate sau neglijarea controalelor cerute, declanșează o gamă de consecințe, de la instruire până la acțiuni legale sau încetarea colaborării. Politica de utilizare a serviciilor cloud se interconectează cu politici conexe privind securitatea informației, managementul schimbărilor, clasificarea datelor, controale criptografice, jurnalizare și monitorizare, răspuns la incidente și audit, consolidându-și în continuare rolul de fundație autoritativă pentru guvernanța cloud.