Politica de management al riscurilor

Politica de management al riscurilor (P06) oferă un cadru riguros, la nivelul întregii organizații, pentru identificarea riscurilor, analiza riscului, evaluarea riscului și tratamentul riscului privind securitatea informației. Scopul său este de a operaționaliza principiile bazate pe risc pentru a proteja confidențialitatea, integritatea și disponibilitatea activelor informaționale și de a integra managementul riscurilor de securitate a informației în toate nivelurile procesului decizional. Politica asigură îndeplinirea atât a obiectivelor strategice interne, cât și a cerințelor externe de reglementare, fiind o componentă fundamentală a Sistemului de management al securității informației (SMSI). În mod specific, politica îndeplinește cerințele ISO/IEC 27001:2022, Clauza 6.1, principiile ISO 31000:2018 și corespunde metodologiilor detaliate ale ISO/IEC 27005. Domeniul de aplicare al politicii este cuprinzător, aplicându-se tuturor unităților de afaceri, proceselor, personalului, sistemelor informatice (fizice, digitale și sisteme găzduite în cloud) și terților implicați în active informaționale. Fiecare etapă în care poate fi introdus un risc, cum ar fi proiecte noi, implementări de sistem, schimbări de arhitectură, integrarea furnizorilor, răspunsul la incidente și revizuiri periodice, intră sub incidența acestei politici. Această abordare unificată asigură că niciun risc de securitate a informației nu este omis, indiferent dacă apare din schimbări de afaceri, actualizări tehnologice sau parteneriate externe. Responsabilitățile sunt clar delimitate. Conducerea executivă definește apetitul la risc și aprobă tratamentele pentru riscul rezidual peste pragurile de acceptare a riscului. Managerul SMSI sau ofițerul de risc dețin cadrul, asigurând alinierea politicii, conducând evaluarea riscurilor și menținând Registrul riscurilor central și Planul de tratare a riscurilor. Proprietarul riscului și echipa de securitate a informațiilor identifică, evaluează și tratează riscurile pentru active sau procese specifice. Echipa de audit intern și echipele de conformitate validează eficacitatea controalelor și trasabilitatea activităților de management al riscurilor, declanșând acțiuni corective pentru lacune sau încălcări. Această structură clară de guvernanță asigură supraveghere riguroasă și escaladare eficace a riscurilor inacceptabile. Cerințele de guvernanță impun menținerea unui Registru al riscurilor central care documentează toate riscurile cunoscute, proprietarii acestora, scorarea riscurilor, planurile de tratament și legăturile cu controalele. Evaluarea riscurilor trebuie să urmeze o metodologie de evaluare a riscurilor documentată, inclusiv clasificarea activelor, maparea amenințărilor și vulnerabilităților și evaluarea controalelor. Declarația de aplicabilitate (SoA) este menținută la zi pentru a urmări deciziile de tratament și starea controalelor. Opțiunile de tratament al riscului (evitare, transfer, acceptare, reducere) sunt documentate formal, iar excepțiile de la proceduri sunt strict controlate, necesitând aprobări la nivel superior, cu justificare și termene. Monitorizarea regulată, indicatorii cheie de risc și tabloul de bord al riscurilor sprijină raportarea eficace către conducerea de vârf. Aplicarea este o caracteristică de bază: neconformitatea face obiectul măsurilor disciplinare, iar Managerul SMSI împreună cu Auditul revizuiesc periodic completitudinea, trasabilitatea și respectarea termenelor pentru activitățile de management al riscurilor. Politica este revizuită cel puțin anual sau după incidente semnificative ori schimbări organizaționale, asigurând că rămâne actuală în raport cu nevoile de afaceri și peisajele de reglementare în evoluție. Această abordare structurată sprijină direct responsabilitatea, transparența și îmbunătățirea continuă în managementul riscurilor de securitate a informației, fiind integrală pentru reziliența organizațională generală.