Bezpečnostná politika

Čo to znamená

Bezpečnostná politika je základný dokument, v ktorom vedenie firmy stanoví, ako sa chránia informácie a IT systémy. Opisuje ciele, zodpovednosti a hlavné pravidlá a odkazuje na podrobnejšie smernice, napríklad o heslách, zálohovaní či používaní vlastných zariadení. Nie je to technická príručka, ale rozhodnutie vedenia, čo firma považuje za dôležité.

Typicky pokrýva riadenie prístupov, klasifikáciu informácií, zálohovanie a obnovu, bezpečnosť e-mailu a zariadení vrátane BYOD, prácu s dodávateľmi, vzdelávanie zamestnancov a reakciu na incident. Dobrá politika je krátka a zrozumiteľná aj pre človeka mimo IT.

Politika je prvým dokumentom, ktorý si pýta audítor podľa ISO 27001, dozorný orgán podľa NIS2, ale aj banka, veľký odberateľ či poisťovňa pri kybernetickom poistení. Bez nej firma ťažko preukáže, že bezpečnosť riadi, a nie ju len rieši, keď sa niečo pokazí.

Ako to funguje v praxi

Pri menšej firme stačí politika na dve či tri strany a niekoľko krátkych smerníc. Dôležité je, aby ju schválil konateľ, aby mal každý pravidlá vlastného IT jasne pomenované a aby sa politika raz ročne prehodnotila, napríklad pri zmene systémov či po incidente.

V účtovnej firme je bezpečnostná politika aj otázkou dôvery klientov: spracúvame mzdy, bankové výpisy a osobné údaje. Preto v nej musí byť jasne, kto má prístup do ktorých klientskych zložiek, ako sa posielajú citlivé podklady a ako dlho sa uchovávajú.

Politika sama nič nechráni, ak ju ľudia nepoznajú. Spolu s ňou odporúčame školenie pri nástupe a raz ročne a jednoduchý spôsob, ako nahlásiť podozrivý e-mail či stratený telefón. Zamestnanec, ktorý sa bojí priznať chybu, ju nahlási neskoro alebo vôbec.

Na čo si dať pozor

Najčastejšou chybou je politika stiahnutá z internetu, ktorá opisuje procesy, aké firma v skutočnosti nemá. Pri kontrole či poistnej udalosti sa rýchlo ukáže rozpor medzi papierom a realitou a poisťovňa môže namietať, že firma nedodržala vlastné pravidlá.

Druhou chybou je politika bez vlastníka. Ak nikto nemá na starosti jej aktualizáciu, po dvoch rokoch popisuje systémy, ktoré firma už nepoužíva, a nepokrýva nové, napríklad cloudové aplikácie či generatívnu AI, do ktorej zamestnanci môžu vkladať citlivé údaje.