Czym jest polityka bezpieczeństwa?
Polityka bezpieczeństwa to ogół zasad, określonych metod, procedur i narzędzi, które pozwalają właściwie chronić informacje zbierane przez firmę. Wśród nich powinny znajdować się jasno określone cele, uporządkowane strategie i działania, które pozwalają na bezpieczne zarządzanie danymi.
Ważnym aspektem polityki bezpieczeństwa jest uświadamianie pracowników przedsiębiorstwa o tym, jakie jest ryzyko, zagrożenia i niebezpieczeństwa związane z niewłaściwym obiegiem danych, ich wyciekiem i niedostateczną ochroną. W tym celu niezbędne jest opracowanie dokumentu polityki bezpieczeństwa dostępnego dla pracowników.
Przystępując do spisania procedur, warto więc pamiętać o tym, aby dokument regulujący te kwestie w firmie był napisany przystępnym językiem, który będzie zrozumiały dla pracowników. Kolejną kwestią, o której nie należy zapominać w kontekście wdrożenia takiej polityki w przedsiębiorstwie, są działania informacyjne wobec partnerów biznesowych – o ile korzystają oni z systemów informatycznych danego przedsiębiorstwa.
Podsumowując polityka bezpieczeństwa IT jest składową całego zbioru zasad i procedur spisanych w ramach całościowej Polityki Bezpieczeństwa firmy. Podstawowy dokument powinien być stworzony na podstawie Ustawy o Ochronie Danych Osobowych, a wszelkie dodatkowe wyszczególnienia po-bocznych procedur ujęte w osobnych załącznikach. Coraz częściej widać tego typu postępowanie w świadomych przedsiębiorstwach – zwłaszcza w tych małych i średnich.
Opracowanie polityki bezpieczeństwa w przedsiębiorstwie
Przygotowanie odpowiedniej dokumentacji wymaga jednak odpowiedniego postępowania. Co zatem powinien zawierać dokument, który obejmuje politykę bezpieczeństwa?
- zbiór procedur RODO,
- politykę zarządzania i przetwarzania danych osobowych,
- opisane uprawnienia osób, zajmujących się danymi,
- schemat obiegu informacji w przedsiębiorstwie,
- audyt, na podstawie którego zostały sformułowane zasady bezpieczeństwa.
Przeprowadzenie takiego audytu jest niezbędne dla przygotowania odpowiedniej infrastruktury IT według kategorii. Ten podział z kolei znacznie ułatwia identyfikację zagrożeń.
Grupowanie powinno odbywać się na zasadzie schematu:
- dane (wszelkiego rodzaju przetwarzane i zbierane w firmie informacje, także te przechowywane w chmurze lub przetwarzane przez firmy dostarczające zewnętrznych usług)
- systemy IT (dane księgowe, personalne, gromadzone w systemach informatycznych, nagraniach z kamer, statystykach firmowych itp.),
- systemy sieciowe (programy oraz aplikacje i systemy operacyjne, ich legalność i licencje),
- infrastruktura LAN
- infrastruktura IT
- Stanowiska pracy (dostępy do kompetencji i uprawnień
Implementacja polityki bezpieczeństwa w przedsiębiorstwie
Planując wprowadzanie polityki bezpieczeństwa w firmie, należy liczyć się ze zwiększeniem nakładów finansowych. Wiąże się to z przeznaczeniem większych pieniędzy na koszty organizacyjne. Dodatkowo pracownicy często narzekają wówczas na pogorszenie wygody pracy i spada efektywność ich działań. Z tego względu warto decydować się na indywidualnie zaprojektowane rozwiązanie, które zmniejszy także dyskomfort towarzyszący wdrażanym zmianom.
Warto także, dostosować ją do aktualnych technologii, a więc i możliwości, jakie za sobą niosą media społecznościowe oraz praca zdalna.
Aby polityka bezpieczeństwa posiadała formalną certyfikację, niezbędne jest uzyskanie certyfikatu zarządzania bezpieczeństwem informacji na podstawie ISO 27001.
Pomimo tego, że kwestie techniczne są niezmiernie istotne, najważniejszym aspektem w polityce bezpieczeństwa wciąż pozostaje człowiek. Jest on największym zagrożeniem, a jednocześnie to od niego zależy sposób przestrzegania i zachowania wobec polityki prywatności. Nawet najlepiej przygotowany dokument zawiedzie, jeśli ludzie będą niewyedukowani i niedoinformowani.
