Politika správy aktív

Politika správy aktív (P12) stanovuje organizačné požiadavky na identifikáciu, klasifikáciu aktív, riadenie a zabezpečenie všetkých informačných aktív počas ich životného cyklu. Dokument má za cieľ zabezpečiť podnikovú úroveň dohľadu a správy, s podporou hardvéru, softvéru, údajov, cloudu, mobilných, vzdialených a prostredí spravovaných tretími stranami. Jeho hlavným zámerom je zabezpečiť, aby organizácia dosiahla úplnú viditeľnosť naprieč portfóliom aktív, čo následne umožňuje účinné bezpečnostné opatrenia, priradenie vlastníctva, dodržiavanie predpisov a zodpovedné postupy vyradenia z prevádzky. Aktíva riadené podľa tejto politiky zahŕňajú široké spektrum: notebooky, stolné počítače, mobilné zariadenia, vymeniteľné úložiská, tlačiarne, sieťové zariadenia, softvér, databázy, zálohované údaje, šifrovacie kľúče, štruktúrované údaje a neštruktúrované údaje, reporty, e-mail, duševné vlastníctvo, cloudové zdroje, virtuálne stroje, používateľské účty, referenčné konfigurácie, licencie a ďalšie. Politika sa vzťahuje na všetkých zamestnancov, dodávateľov, poskytovateľov služieb a dodávateľov tretích strán, ktorí používajú, spravujú alebo pristupujú k informačným aktívam vlastneným alebo kontrolovaným organizáciou. Toto pokrytie sa vzťahuje aj na aktíva vo vzdialených, hybridných prostrediach alebo outsourcovaných službách, čím sa zabezpečuje, že bezpečnosť a vysledovateľnosť aktív nie sú ohrozené lokalitou. Základným cieľom je udržiavanie centralizovaného, presného a aktuálneho registra inventarizácie aktív, spravovaného IT Asset Managerom a, kde je to možné, integrovaného s inými systémami riadenia konfigurácie. Každé aktívum zadané do tejto inventarizácie aktív musí obsahovať povinné metadáta, ako je jeho unikátny identifikátor, vlastníctvo, klasifikácia, umiestnenie a stav životného cyklu. Pre každé aktívum sú určení vlastníci aktív, ktorí sú zodpovední za zabezpečenie jeho primeranej klasifikácie aktív, ochrany a pravidelnej validácie záznamov. Proces klasifikácie je základom celej politiky a zabezpečuje, že aktíva sú označené a spravované podľa citlivosti, kritickosti a relevantných regulačných požiadaviek. Postupy označovania sa vynucujú pre digitálne aj fyzické aktíva a požiadavky na nakladanie (napr. šifrovanie, uzamknuté uloženie alebo obmedzený prístup) musia zodpovedať úrovniam klasifikácie. Politika podrobne opisuje bezpečnostné opatrenia v každej fáze životného cyklu aktív: proces nástupu, realokácia, nakladanie, používanie, bezpečné vrátenie počas offboardingu a bezpečná likvidácia. Stanovuje, že používanie aktív musí byť v súlade s prípustným používaním podnikových aktív, a výslovne zakazuje preúčelovanie aktív na osobné použitie, inštaláciu neautorizovaného softvéru alebo obchádzanie kontrol, ako sú antivírusový softvér a šifrovanie. Pravidlá pre používanie vzdialených aktív vyžadujú použitie virtuálnej privátnej siete (VPN) alebo bezpečného prenosového tunela a môžu zahŕňať riešenia správy mobilných zariadení a riadenia koncových bodov. Bezpečné vyradenie z prevádzky a zničenie sú jasne upravené a vyžadujú kryptografické vymazanie alebo fyzické zničenie s potvrdením a vedením záznamov. Na podporu priebežného súladu a riadenia rizík sa politika správy aktív integruje s registrom rizík organizácie a podporuje posúdenie rizík, riadenie výnimiek a auditné procesy. Porušenia, ako sú neregistrované alebo neoprávnené aktíva, nesprávna likvidácia alebo deaktivácia kontrol, sú dôvodom na eskaláciu a môžu viesť k disciplinárnym opatreniam, sankciám voči dodávateľom alebo aj k súdnym konaniam. Pravidelné preskúmania politiky zahŕňajú viaceré skupiny zainteresovaných strán a sú spúšťané regulačnými zmenami, auditnými zisteniami, incidentmi informačnej bezpečnosti alebo významnými prevádzkovými zmenami. Dokument sa uzatvára odkazom na súvisiace politiky: Politika riadenia prístupu, Politika klasifikácie a nakladania s informáciami, Politika uchovávania údajov, Politika zaznamenávania a monitorovania, Politika reakcie na incidenty (P30), čím sa zabezpečuje, že správa aktív tvorí centrálny pilier širšej štruktúry správy organizácie. Táto politika nie je špecificky označená ako politika pre MSP. Je navrhnutá pre organizácie s určenými tímami, ako sú IT, riaditeľ informačnej bezpečnosti (CISO), IT Asset Manager a rôzni zainteresovaní v oblasti súladu a prevádzky, pričom spĺňa komplexné požiadavky ISO/IEC 27001:2022 a podporované rámce.