Politica de comunicații securizate și autentificare multifactor

Politica de comunicații securizate și autentificare multifactor (MFA) stabilește controale cuprinzătoare pentru a proteja comunicațiile organizației și accesul utilizatorilor, în aliniere cu standarde riguroase de reglementare și din industrie. Scopul principal este de a asigura confidențialitatea și integritatea informațiilor transmise prin toate canalele de comunicare, inclusiv voce, video, text și sisteme de urgență, prin impunerea unor procese avansate de autentificare în conformitate cu NIS2, articolul 21(2)(j). Aplicabilă tuturor angajaților, contractanților și părților externe, politica impune utilizarea exclusivă a instrumentelor de comunicare aprobate de organizație și a canalelor criptate pentru informații sensibile sau operaționale. Aceste cerințe se extind la sistemele de notificare de urgență, asigurând că, inclusiv în timpul crizelor, comunicarea rămâne securizată, rezilientă și disponibilă. Coordonatorii de răspuns la urgență au un rol direct atât în testarea periodică a acestor sisteme, cât și în instruirea personalului pentru utilizarea lor corectă și securizată. Un obiectiv esențial al politicii este aplicarea autentificării multifactor pentru tot accesul la rețea și la sisteme, în special pentru conturile privilegiate și cele de acces la distanță. Deținătorii de conturi privilegiate trebuie să utilizeze credențiale unice separate care impun întotdeauna autentificare multifactor sau autentificare continuă, iar orice elevare a accesului este strict limitată în timp și monitorizată. În cazul în care limitările tehnice împiedică implementarea imediată a autentificării multifactor sau a criptării, cum ar fi constrângerile sistemelor moștenite sau întreruperile operaționale, sunt necesare controale compensatorii, precum monitorizare sporită a sistemelor sau restricții temporare de acces, toate excepțiile fiind aprobate formal de ofițerul-șef pentru securitatea informațiilor (CISO) și supuse unei revizuiri trimestriale. Politica impune, de asemenea, programe riguroase de conștientizare și instruire pentru toți utilizatorii, atât la înrolare, cât și anual ulterior. Aceste sesiuni, cu accent sporit pentru roluri cu risc ridicat precum administratorii și conducerea executivă, asigură că personalul poate distinge canalele securizate de cele nesigure, înțelege tactici de atacuri de tip phishing și inginerie socială și utilizează corect instrumentele de comunicații securizate. Dincolo de înrolare, se oferă instruire specifică pentru utilizatorii cu niveluri de risc ridicate, concentrată pe metode avansate de autentificare și pe riscurile specifice asociate comunicațiilor de urgență. Pentru a asigura conformitatea continuă, se efectuează monitorizarea continuă a conformității și auditare anuală a tuturor sistemelor de autentificare și comunicații. Orice utilizator care încearcă să eludeze politicile sau să utilizeze metode de comunicare neautorizate ori nesecurizate se confruntă cu măsuri disciplinare, inclusiv posibilă încetare a contractului. Echipele IT și de securitate mențin responsabilitatea pentru monitorizarea jurnalelor și aplicarea configurațiilor implicite securizate, în timp ce procesele de audit verifică alinierea continuă cu obligațiile de conformitate și obligațiile de reglementare. Această politică oferă astfel o abordare stratificată și cuprinzătoare pentru protejarea activelor informaționale ale organizației, prin integrarea strictă a controalelor atât pentru comunicații securizate, cât și pentru autentificarea accesului, în aliniere deplină cu directive precum NIS2, ISO/IEC 27001:2022 și cadre conexe.