5 niezbędnych polityk bezpieczeństwa informacji

5 niezbędnych polityk bezpieczeństwa informacji

5 polityk bezpieczeństwa informacji, które musi posiadać organizacja, jeśli chce ubiegać się o certyfikację ISO/IEC 27001

 

Wszystko, co robi organizacja, aby zachować bezpieczeństwo informacji, począwszy od wdrażania najnowocześniejszych zabezpieczeń technologicznych po wprowadzenie wyrafinowanych fizycznych barier, ma sens jedynie wtedy, gdy ludzie to rozumieją i prawidłowo z tego korzystają. Wystarczy jeden pracownik otwierający zainfekowany e-mail wyłudzający informacje lub wpuszczający oszusta na teren firmy, aby doszło do naruszenia.

 

Celem polityki bezpieczeństwa informacji jest zapobieganie temu poprzez dostarczenie pracownikom instrukcji, w jaki sposób mają się zachować w różnych sytuacjach.

 

Lista polityk może być obszerna, obejmując wszystko, co jest istotne dla procesów organizacji. Poniżej przedstawimy pięć polityk, które powinny istnieć w każdej firmie chcącej zadbać o bezpieczeństwo informacji.

 

Polityka zdalnego dostępu

Na przestrzeni kilku ostatnich lat obserwujemy gwałtowny wzrost liczby osób pracujących z domu. Wpływ na to ma nie tylko pandemia covid, ale również wygoda i czynniki ekonomiczne. Rozwój technologii sprawia również, że dziś nikogo już nie dziwi dostęp do służbowej poczty e-mail na telefonie komórkowym lub praca podczas podróży służbowej.

 

Oczywiście wszystkie te rozwiązania są niezwykle przydatne ze względu na wydajność i elastyczność pracowników, ale stwarzają również spore zagrożenia związane z bezpieczeństwem informacji. Dlatego należy ich poinstruować, co trzeba zrobić, aby zapobiec tym naruszeniom. Polityka powinna obejmować między innymi zasady korzystania z publicznej sieci Wi-Fi, dostęp do poufnych informacji w miejscach publicznych, bezpieczne przechowywanie urządzeń, a także zasady łączenia się z firmowymi systemami informatycznymi.

 

Polityka tworzenia haseł

Niemal wszyscy używają haseł w domu i w pracy, aby zabezpieczyć dostęp do poufnych informacji. Można by zatem sądzić, że zasady tworzenia bezpiecznych haseł zostały opanowane do perfekcji.

 

Niestety tak nie jest. Wykradzione hasła należą do najczęstszych przyczyn naruszeń bezpieczeństwa danych i nie jest to żadną niespodzianką. Dzieje się tak, ponieważ ludzie zazwyczaj ustawiają słabe hasła lub korzystają z tego samego hasła logując się do wielu systemów.

 

Organizacje powinny minimalizować to zagrożenie, opracowując zasady tworzenia bezpiecznych haseł, częstotliwości ich zmiany oraz instrukcje dotyczące ich przechowywania. Hasła powinny być kombinacją, co najmniej dwunastu małych i wielkich liter, cyfr i znaków specjalnych. Jednak zastosowanie się do tej instrukcji nie zawsze gwarantuje sukces, gdyż pracownicy nadal są podatni na tworzenie łatwych do zapamiętania i efekcie łatwych do odgadnięcia haseł takich jak "Haslo12!@".

 

Polityka zarządzania hasłami

Silne hasła działają tylko wtedy, gdy ich poufność pozostaje nienaruszona. Jeśli zostawisz je zapisane, udostępnisz je lub zaznaczysz "zapamiętaj to hasło" na publicznym komputerze, ryzykujesz, że wpadną w niepowołane ręce.

 

To samo dotyczy używania tego samego hasła do logowania się na wielu kontach. Załóżmy, że haker włamuje się do bazy danych i wykrada Twoje hasło. Prawdopodobnie spróbuje wykorzystać je, aby zalogować się również do innych systemów. Dlatego tak ważne jest, aby w polityce uwzględnić zasady zakazujące używania jednego hasła do wielu kont, a także zakazujące pracownikom udostępniania i zapisywania swoich haseł na kartkach i w innych miejscach, z których mogą zostać łatwo wykradzione. Dobrym pomysłem na to, aby ułatwić zarządzanie wieloma hasłami jest wykorzystanie menedżera haseł.

 

Polityka korzystania z wymiennych nośników danych

Oszuści mogą łatwo zainfekować systemy organizacji, przenosząc złośliwe oprogramowanie na wymiennym nośniku danych, a następnie podłączając je do komputera firmowego. Wiele organizacji przeciwdziała temu zagrożeniu, blokując możliwość podłączenia takiego urządzenia do komputera, zamiast tego opierając się na e-mailu lub chmurze do przesyłania i udostępniania plików.

 

Oprócz tego można także wprowadzić ograniczenia mówiące o tym, kto może korzystać z urządzeń wymiennych a także określić zasady nakazujące skanowane takiego urządzenia przed użyciem.

 

Polityka dopuszczalnego użytkowania

Menedżerowie często zastanawiają się, ile czasu pracownicy poświęcają na czynności niezwiązane z pracą i co robią w tym czasie.

 

Jeśli pracownik chce spędzić kilka minut sprawdzając swoją prywatną pocztę e-mail lub sprawdzając ile osób polubiło jego najnowszy wpis na LinkedIn, to szef nie powinien mieć dużych powodów do zmartwień. Tego samego nie można jednak powiedzieć, jeśli pracownik wykorzystuje ten czas na pobieranie plików z podejrzanych stron internetowych lub odwiedzaniu witryn, które mogą być źródłem infekcji złośliwym oprogramowaniem.

 

Można ograniczać ryzyko, blokując określone strony internetowe, ale należy pamiętać, że nie jest to system odporny na błędy. Lepszym rozwiązaniem może być wprowadzenie polityki określającej, co wolno, a czego nie wolno robić na służbowym sprzęcie.  Zasady powinny jasno określać typy stron, które są niedostępne i karę, którą każdy poniesie za naruszenie zasad.

 

Informacje są obecnie jednym z najcenniejszych zasobów każdej organizacji. Dlatego warto poświęcić sporo uwagi ich bezpieczeństwu. Jeśli uważasz podobnie, już dziś rozpocznij swoją podróż z ISO/IEC 27001 i poznaj najskuteczniejszy system bezpieczeństwa informacji. Aby uzyskać więcej informacji na ten temat skontaktuj się z naszym biurem telefonicznie, pod numerem tel. 22 649 76 64 lub wyślij wiadomość za pośrednictwem formularza kontaktowego.

Skontaktuj się z nami

„Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informujemy, iż Administratorem Państwa danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa.  Państwa dane osobowe przetwarzane będą w celach kontaktowych niezbędnych do realizacji usługi, zgodnie z obowiązującymi przepisami prawa na podstawie art. 6 ust. 1 lit. f RODO.„

>>Wyrażam zgodę na przetwarzanie moich danych osobowych przez ISOQAR CEE sp. z o.o jako administratora danych osobowych, w celach otrzymywania informacji handlowych i marketingowych wysyłanych na podany adres e-mail na podstawie art. 6 ust. 1 lit. a RODO. Więcej informacji w Polityka prywatności

Polityka prywatności

Klauzula informacyjna w zakresie przetwarzania danych osobowych na potrzeby newsletter

W związku z obowiązywaniem od dnia 25 maja 2018 r. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119, str. 1), zwanego dalej „rozporządzeniem RODO”, informujemy, że:

  1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

  2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną: iod@isoqar.pl

  3. Pani/Pana dane osobowe będą przetwarzane w celach wysyłki i otrzymywania newslettera.

  4. Przetwarzanie Pani/Pana danych osobowych odbywać się będzie na podstawie wyrażonej przez Panią/Pana zgody (podstawa prawna: art. 6 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE RODO

  5. Pani/Pana dane osobowe będą przetwarzane do czasu cofnięcia przez Panią/Pana zgody. 

  6. Odbiorcą Pani/Pana danych osobowych będą podmioty, którym Administrator zleca wykonywanie czynności, z którymi wiąże konieczność przetwarzania danych (podmioty przetwarzające) oraz podmioty publiczne na podstawie odrębnych przepisów prawa. 

  7. W związku z przetwarzaniem danych osobowych przysługuje Pani/Panu prawo dostępu do treści danych, ich sprostowania, usunięcia, ograniczenia ich przetwarzania oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych. 

  8. Ma Pani/Pan prawo do cofnięcia zgody na przetwarzanie Pani/Pana danych w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

  9. W przypadku uznania, że przetwarzanie przez Administratora Pani/Pana danych osobowych narusza przepisy Rozporządzenia ma Pani/Pan prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). 

  10. Podanie przez Panią/Pana danych osobowych jest dobrowolne, jednak jest warunkiem wysyłki newslettera.

  11. Pani/Pana dane osobowe nie będą przetwarzane w sposób zautomatyzowany, nie będą poddawane profilowaniu.

  12. Pani/Pana dane osobowe mogą być przekazywane do państwa trzeciego (UK).

Klauzula informacyjna zapytanie ofertowe

Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informuję, iż:

1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną:  iod@isoqar.pl

3. Pani/Pana dane osobowe przetwarzane będą w celu:

•             odpowiedzi na zapytanie ofertowe na podstawie art. 6 ust. 1 lit. f RODO

więcej informacji pod linkiem

•             kontaktu w celu przekazania informacji marketingowych i handlowych na podstawie art. 6 ust. 1 lit. a RODO

•             w celu realizacji prawnie uzasadnionego interesu Spółki, polegającego na ewentualnym ustaleniu lub dochodzeniu roszczeń lub obronie przed roszczeniami, na podstawie prawnie uzasadnionego interesu Spółki (art. 6 ust. 1 lit. f RODO).

4. Odbiorcą Pani/Pana danych osobowych będą wspólnicy i pracownicy Administratora w zakresie swoich obowiązków służbowych na podstawie upoważnienia.

5. Pani/Pana dane osobowe nie będą przekazywane do państwa trzeciego ani organizacji międzynarodowej;

6. Pani/Pana dane osobowe będą przechowywane do czasu zakończenia współpracy lub do czasu cofnięcia przez Pani/Pana zgody.

7. Posiada Pani/Pan prawo dostępu do treści swoich danych oraz prawo ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu, prawo do przenoszenia danych.

8. Ma Pan/Pani prawo wniesienia skargi do organu nadzorczego- Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r.;

9. Podanie przez Pana/Panią danych osobowych jest dobrowolne, jednak konieczne w celu realizacji przedmiotu umowy/ jest konieczne w związku z przepisami szczególnymi ustawy (przetwarzanie danych osobowych jest wymogiem ustawowym). W przypadku niewyrażenia zgody na przetwarzanie danych osobowy, Administrator może zrezygnować z zawarcia umowy.

10. Pani/Pana dane nie będą przetwarzane w sposób zautomatyzowany w tym również w formie profilowania tzn. żadne decyzje wywołujące wobec osoby skutki prawne lub w podobny sposób na nią istotnie wpływające nie będą oparte wyłącznie na automatycznym przetwarzaniu danych osobowych i nie wiążą się z taką automatycznie podejmowaną decyzją.