Πολιτική ασφάλειας πληροφοριών
Το κείμενο-ομπρέλα: πεδίο εφαρμογής, στόχοι, δέσμευση της διοίκησης και ο τρόπος με τον οποίο αναθεωρείται. Σύντομο αρκετά ώστε να διαβαστεί.
Πυλώνας 01 · Governance
Governance — ποιος αποφασίζει και με ποιον κανόνα
Η διακυβέρνηση ασφάλειας είναι το σημείο όπου η επιχείρηση δηλώνει τι θεωρεί αποδεκτό. Χωρίς αυτό, κάθε τεχνικό μέτρο είναι προσωπική επιλογή του τελευταίου που άγγιξε το σύστημα.
Τι παραδίδουμε
Κείμενα που εφαρμόζονται, όχι που αρχειοθετούνται
Μια πολιτική που περιγράφει σύστημα το οποίο δεν έχετε, αποτυγχάνει στον πρώτο έλεγχο. Γράφουμε μετά την καταγραφή, ποτέ πριν.
Ρόλοι και ευθύνες
Ποιος εγκρίνει πρόσβαση, ποιος απαντά σε περιστατικό, ποιος λογοδοτεί στη διοίκηση. Ονόματα θέσεων, όχι προσώπων, ώστε να επιβιώνει σε αλλαγή προσωπικού.
Έλεγχος πρόσβασης
Κανόνες χορήγησης, περιοδικής ανασκόπησης και άμεσης ανάκλησης δικαιωμάτων. Η αποχώρηση εργαζομένου είναι το σημείο που αποτυγχάνει πιο συχνά.
Αποδεκτή χρήση
Τι επιτρέπεται σε εταιρικές συσκευές, λογαριασμούς και δεδομένα — διατυπωμένο ώστε να μπορεί να τηρηθεί από το προσωπικό που το υπογράφει.
Διαχείριση προμηθευτών
Απαιτήσεις ασφάλειας προς τρίτους, συμβατικές ρήτρες και αξιολόγηση πριν την ένταξη. Η NIS2 και η DORA ζητούν ρητά ασφάλεια εφοδιαστικής αλυσίδας.
Διαχείριση αλλαγών
Πώς εγκρίνεται και τεκμηριώνεται μια αλλαγή σε παραγωγικό σύστημα, και πώς επαναφέρεται αν πάει στραβά. Εδώ κρίνεται αν το ίχνος αντέχει σε έλεγχο.
Δεν πουλάμε πακέτα προτύπων. Ένα σετ έτοιμων πολιτικών με αλλαγμένη επωνυμία περνά ίσως μια πρώτη ανάγνωση, αλλά καταρρέει μόλις ο ελεγκτής ζητήσει το αντίστοιχο τεχνικό τεκμήριο.
Πώς προχωράει
Από την καταγραφή στην υπογραφή
Καταγραφή
Συστήματα, δεδομένα, πρόσβαση και προμηθευτές. Η πραγματική εικόνα, όχι το οργανόγραμμα.
Σύνταξη
Κείμενα προσαρμοσμένα στο περιβάλλον σας, με γλώσσα που καταλαβαίνει το προσωπικό σας.
Ανασκόπηση
Συζήτηση με τη διοίκηση και τους υπευθύνους. Ό,τι δεν μπορεί να τηρηθεί, ξαναγράφεται.
Έγκριση και εφαρμογή
Επίσημη έγκριση, ενημέρωση προσωπικού και σύνδεση κάθε πολιτικής με το τεχνικό μέτρο που την υλοποιεί.
Επόμενο βήμα
Ο κανόνας χωρίς μέτρηση δεν αρκεί
Η διακυβέρνηση ορίζει το αποδεκτό. Η διαχείριση κινδύνου δείχνει πόσο μακριά είστε από αυτό.