Tietoturvapolitiikka

Mikä on tietoturvapolitiikka?

Tietoturva (infosec) viittaa käytäntöihin, prosesseihin ja työkaluihin, jotka on suunniteltu ja otettu käyttöön suojaamaan arkaluontoisia yritystietoja ja tietoresursseja luvattomalta käytöltä. Tietoturvassa on kolme keskeistä näkökohtaa: luottamuksellisuus, eheys ja saatavuus. Tämä tunnetaan CIA-kolmikona.

CIA-triadin periaatteet turvaavat kolme keskeistä tavoitetta

• Luottamuksellisuus: Pääsy tietoresursseihin on rajoitettava vain valtuutetuille henkilöille
• Rehellisyys: IT-järjestelmien ylläpito varmistaen, että ne pysyvät luotettavina ja tarkoituksenmukaisina
• Saatavuus: Valtuutuksen varmistaminen käyttäjillä on pääsy asiaankuuluviin tietoihin tai käytäntöihin tarvittaessa

Infosec-käytännöt sisältävät luettelon säännöistä, joita työntekijöille ja muille sidosryhmille (esim. tavarantoimittajille) on noudatettava tarvittaessa. Tämä sisältää, mutta ei rajoitu niihin:

• Kulunvalvonta
• Hyväksyttävää käyttöä
• Kyberturvallisuus
• Selkeä pöytä ja selkeä näyttö
• Tietosuoja
• Tietojen luokitus
• Mobiililaitteet

Ei ole lähes mitään eroa vankan infosec-käytäntöjen joukon välillä, joita ei noudateta ja joilla ei ole lainkaan infosec-käytäntöjä. Yritykset ja organisaatiot tarvitsevat työntekijöidensä ymmärtämään, mitä vaaditaan heistä. Kaikkien työntekijöiden on osoitettava tietoisuutensa ja noudattavansa asiaankuuluvia tietoturvakäytäntöjä.

Tietoturvavastuut ja -tavoitteet

Se on määrättyjen vastuulla Chief Information Security Officer (CISO) tai tietoturvapäällikkö (ISM).) organisaatiossa varmistaakseen, että kaikki työntekijät ja järjestelmät noudattavat tietoturvaperiaatteissa asetettuja sääntöjä.

Ennen kuin yritys ottaa käyttöön mitään infosec-käytäntöjä, sen on määriteltävä sekä organisaation että politiikan tavoitteet. Infosec-kehyksen epäjohdonmukaisuudet voivat tehdä tietoturvakäytännöstä tehottoman. Organisaation tulee säännöllisesti tarkistaa ja muuttaa tietoturvapolitiikkaa. Näiden muutosten on heijastettava kaikkia muutoksia kyseisen organisaation riskeissä, työtavoissa ja uusissa teknologioissa.

Tämä voidaan saavuttaa ottamalla käyttöön, mukauttamalla ja lisäämällä olemassa olevaa käytäntödokumentaatiota tai tietoturva hallintajärjestelmä (ISMS). Näin tietoturvakäytännöt voidaan pitää ajan tasalla, kattavia, johdonmukaisia ​​ja käytännöllisiä.

Tietoturvapolitiikan merkitys

Vakiintuneet infosec-käytännöt antavat kaikille sidosryhmille ja työntekijöille mahdollisuuden ymmärtää organisaation tietoturvakehystä. Tärkeimmät kysymykset, joihin politiikan on vastattava, ovat:

• Kuka? – Määrittele politiikoista vastuussa olevat henkilöt
• Missä? – Tunnista organisaation osat, joita käytännöt koskevat
• Mitä? – Päätä, mitkä tiedot suojataan politiikoissa
• Miksi? – On määriteltävä politiikan täytäntöönpanon tarkoitus

Nämä käytännöt osoittavat myös, kuinka organisaation riskejä voidaan pienentää. Näihin kuuluu auttaminen:

• Suojaa petoksia vastaan
• Suojaa tietomurroilta
• Suojaa alan salaisuuksia, jotka voivat auttaa kilpailijoita
• Suojaa digitaalista omaisuutta ja henkistä omaisuutta
• Suojaa brändiä mainevaurioilta
• Suojaa finanssilainsäädäntöön liittyviltä seuraamuksilta
• Varmista liiketoiminnan jatkuvuus
• Osoita kestävyyttä

Kehyksen luominen käytännöt ovat tärkeitä tietoturvasi kannalta. Kehyksen avulla voit ryhtyä toimiin vaatimustenmukaisuuden valvomiseksi. Jotta tietoturvakäytäntö onnistuisi, ne on päivitettävä seuraaviin muutoksiin:

• Sinun asiasi
• Uusia uhkia
• Aikaisempien tapahtumien tulokset
• Sidosryhmien vaatimukset
• Lakimuutokset
• Muutokset tekniikassa

Säännösten noudattaminen

Valmiit tietoturvakäytännöt ovat laajalti saatavilla. Yksi koko ei kuitenkaan sovi kaikille. Eri organisaatioilla ja toimialoilla on erilaiset standardit ja sääntelyvaatimukset. CISO:n on otettava huomioon organisaationsa lakisääteiset velvoitteet tietoturvapolitiikkaa laatiessaan tai hyväksyessään. Jos organisaatio käsittelee vain julkisia tietoja, sillä on täysin erilaiset sääntelyvaatimukset kuin valtion virastolla tai osakeyhtiöllä.

ISO 27001 tietoturvapolitiikka

Kun organisaatio sitoutuu hyötymään ISO 27001 -sertifikaatti, sen on laadittava suuntaviivat tietoturvapolitiikalleen. Tämä tehdään luomalla huipputason tietoturvapolitiikka.

Organisaation luoma tietoturvapolitiikka on organisaation ISMS:n liikkeellepaneva voima (tietoturvan hallintajärjestelmä). Siinä määritellään hallituksen tietoturvapolitiikkaa ja -vaatimuksia. Sen on oltava vain lyhyt asiakirja, mutta sen on oltava linjassa organisaation arvot. Kun tavoitteena on saavuttaa ISO 27001 ISMS:n on myös täytettävä standardin vaatimukset.

Politiikkalausunnossa tulisi vaatia koko henkilöstön osallistumista, ja samalla olisi otettava huomioon myös kaikkien muiden ulkopuolisten sidosryhmien osallistuminen, joilla on pääsy organisaation tietoihin. tiedot ja järjestelmät. Harkitessaan turvallisuuspolitiikkaHallituksen on pohdittava, miten se vaikuttaa yrityksen sidosryhmiin sekä hyödyt ja haitat, joita yritys kokee tästä.

ISO 27001:n noudattamisen edut tietoturvakäytäntöjen toteuttamisessa

ISO 27001 vaatii voit tunnistaa tietoriskisi, arvioida ja sitten vähentää ne hyväksyttävälle tasolle käyttämällä ISMS:ssäsi määritettyjä hallintalaitteita. Tämä parantaa tietoturva-asentoasi, ja vaikka se ei poista sitä rikkomisen mahdollisuus, se vähentää rikkomuksen esiintymisen todennäköisyyttä ja/tai sen vaikutuksia ja antaa sinulle prosessit, joita voit seurata rikkomuksen sattuessa.

UKAS-akkreditoitu ISO 27001 -sertifikaatti antaa asiakkaille, sääntelyviranomaisille ja muille sidosryhmille varmuuden siitä, että hallitset tietoturvaa tehokkaasti. Se on kansainvälisesti tunnustettu parhaiden käytäntöjen ISMS-standardi ja antaa sinulle puitteet, joita sinun on noudatettava hallita kaikkea tietovarallisuutta, ei vain GDPR:n henkilötietoja.

Monet pakollisista vaatimuksista GDPR ISO 27001 koskee niitä, joten olet jo iso askel kohti sen käyttöönottoa vaatimustenmukaisuuden suhteen. Laita toinen tapa; Jos olet jo noudattanut ISO 27001 -standardia, olet myös merkittävä tie eteenpäin GDPR-vaatimustenmukaisuuden saavuttamisessa.

Kaikkien tietoturvakäytäntöjen tulee kattaa

Tarkoitus: Tässä organisaatio määrittelee politiikan tavoitteensa ja miten se aikoo tehdä sen.

Soveltamisala: Organisaatio määrittelee, mitä käytäntö kattaa, kuten verkot, sijainnit, käyttäjät ja toimittajat.

Turvallisuustavoitteet: Organisaatio luo tarkasti määritellyt turvallisuuteen ja strategiaan liittyvät tavoitteet, joista johto on sopinut.

Lainsäädäntö: Tietoturvapolitiikassa on myös tärkeää sisältää viittaukset asiaankuuluvaan lainsäädäntöön tai sertifikaattiin, jonka puitteissa tai jota varten yritys työskentelee, kuten ISO 27001 -sertifikaatti.

Tietoturvapolitiikkaan voidaan sisällyttää muita asioita. Ne voivat kuitenkin vaihdella riippuen organisaatiostasi, sen toiminnasta ja tarpeista jne. Saat täydellisen luettelon ISO 27001 -liitteistä ja -käytännöistä, klikkaa tästä.

Mitä tietoturvakäytäntöjen tulisi kattaa?

Tietoturvapolitiikassa on monia elementtejä.

CISO:n on määritettävä tietoturvakäytäntöjensä laajuus. Näitä ovat muun muassa:

• Turvaohjelmat ja asianmukainen käyttö
• Verkkoturvallisuus
• Tietoturva
• Fyysinen turvallisuus varat
• Liiketoiminnan jatkuvuus ja katastrofipalautus
• Kulunvalvonta turvallisuutta tietoisuus
• Riskien arviointi ja analyysi
• Tapahtumaan reagoiminen ja hallinta

Miksi käyttää ISMS:ää tietoturvakäytäntöjesi hallintaan?

ISMS.online tarjoaa kaikki todisteet käytännössä toimivien tietoturvakäytäntöjen takana ja sisältää mallipohjaisen huipputason tietoturvapolitiikan, jonka organisaatiot voivat nopeasti ja helposti ottaa käyttöön, mukauttaa tai lisätä vastaamaan vaatimuksiaan.

- ISMS.online-alusta sisältää lähestymistavan riskienhallintaan. Se tarjoaa työkalut tietoon liittyvien riskien tunnistamiseen, arviointiin, arviointiin ja hallintaan ISO 27001 -standardin mukaisen ISMS:n perustamisen ja ylläpidon avulla. Valinnaisesti voit myös hyötyä ISO 27001 Virtual Coachista, joka tarjoaa asiantuntevaa ohjausta jokaiselle ISO 27001 -standardille. vaatimuksia ja valvontaa.