Politika uporabe oblaka - SME

Politika uporabe oblaka P27S vzpostavlja celovite, vendar praktične zahteve za upravljanje storitev v oblaku v okoljih malih in srednje velikih podjetij (SME). Ker SME pogosto nimajo IT oddelkov v polnem obsegu, je ta politika zasnovana z jasnimi in poenostavljenimi odgovornostmi, na primer z dodelitvijo ključnih odločitev glavnemu izvršnemu direktorju ter ponudniku IT ali tehnični podpori, namesto specializiranih vlog CISO ali centra za varnostne operacije (SOC), pri čemer še vedno zagotavlja močno usklajenost z okviri ISO/IEC 27001:2022, GDPR, NIS2 in DORA. Politika velja za vse storitve v oblaku, brezplačne ali plačljive, in zajema pogoste poslovne aplikacije, kot so platforme za deljenje dokumentov, orodja SaaS, videokonference, e-pošta, sistemi za varnostno kopiranje in platforme za stranke. Vsakdo, ki dostopa do podatkov podjetja, tudi prek mobilnega telefona ali tablice, mora upoštevati ta pravila, ki zahtevajo predhodno odobritev za vse storitve v oblaku in izrecno prepovedujejo uporabo osebnih računov v oblaku za poslovne podatke, s čimer preprečujejo tveganja shadow IT. Vzdrževati je treba jasno opredeljen Register storitev v oblaku za sledenje vsaki odobreni platformi, odgovorni osebi, lokaciji podatkov, pravicam dostopa in informacijam o podpori. Varnostne kontrole so obvezne: vse platforme v oblaku morajo uveljavljati večfaktorsko avtentikacijo (MFA) za uporabnike in skrbnike; uporabljati močna, kompleksna gesla; zagotavljati revizijsko beleženje dejavnosti in omejitve dostopa (npr. seznami dovoljenih IP, kjer je na voljo); ter izvajati redne preglede deljene vsebine. Vsaka kršitev, kot je pozabljena ukinitev uporabnika ali javno deljenje občutljivih podatkov, je razvrščena kot varnostni incident in je predmet korektivnih ukrepov, vključno s preklicem dostopa, obnovitvenim usposabljanjem uporabnika ali, če je potrebno, pravnim odzivom. Politika določa stroge zahteve za politiko hrambe podatkov in varnostno kopiranje ter določa, da je treba poslovno kritične ali regulirane podatke redno varnostno kopirati, hraniti za izpolnjevanje zakonskih obveznosti ali obveznosti do strank ter potrditi zmožnost izvoza iz platform v oblaku, da se prepreči vezanost na dobavitelja. Pogodbe za plačljive storitve v oblaku morajo določati varstvo podatkov, obveščanje o kršitvah, lastništvo podatkov in opredeljeno eskalacijo. Skladnost se spremlja z najmanj dvakrat letnimi preverjanji dostopa, gesel in skrbniškega statusa, vse izjeme pri politiki pa morajo biti formalno utemeljene in odobrene s strani glavnega izvršnega direktorja, z nadomestnimi kontrolami in roki za odpravo. Pregled in nenehno izboljševanje sta vgrajena: politika zahteva letni pregled ter posodobitve po incidentih, uvedbi novih platform ali regulativnih spremembah. Arhivirani zapisi se varno hranijo v skladu s politiko hrambe podatkov, kar zagotavlja, da je vsa dejavnost v oblaku revidirljiva za notranje in zunanje (vključno z ISO) zahteve. S svojim osredotočenim obsegom ta politika SME zagotavlja robustno, vendar obvladljivo strukturo za upravljanje uporabe oblaka, ki omogoča skladnost s predpisi, obvladovanje tveganj in operativno kontinuiteto.