Polityka bezpieczeństwa – dlaczego każda firma powinna ją mieć

Polityka bezpieczeństwa lub zasady bezpieczeństwa to zbiór zasad dotyczących korzystania z firmowego oprogramowania, dokumentów lub innych zasobów. Każda firma, niezależnie od wielkości, powinna mieć taki dokument.

Po co firmie zasady bezpieczeństwa?

Przy wszystkich zmianach technologicznych zachodzących w dzisiejszych czasach, może być trudne nadążanie za najnowszymi i aktualnymi wskazówkami dotyczącymi bezpieczeństwa, których należy przestrzegać podczas korzystania z firmowego oprogramowania czy dokumentów. Zasady lub polityka bezpieczeństwa to dokument ze zbiorem zasad i procedur, których muszą przestrzegać wszystkie osoby uzyskujące dostęp do zasobów firmy (np. dokumenty) i zasobów IT (np. oprogramowanie) oraz korzystające z nich w codziennej pracy.

Dlaczego więc musimy mieć zasady bezpieczeństwa IT i co jest głównym celem ich wprowadzenia:

• przeciwdziałanie zagrożeniom bezpieczeństwa,
• wdrażanie strategii ograniczania luk w zabezpieczeniach IT,
• definiowanie sposobu reagowania po wystąpieniu incydentu.

Ponadto zasady zawierają wskazówki dla pracowników, co robić, a czego nie. Określają również, kto i do czego ma dostęp oraz jakie są konsekwencje nieprzestrzegania TYCH zasad.

Dlaczego polityka bezpieczeństwa jest tak ważna?

Niezależnie od wielkości, każda firma powinna mieć udokumentowane zasady bezpieczeństwa IT. Pomogą one chronić dane organizacji i inne cenne zasoby. Jest to wymóg dla organizacji, które muszą przestrzegać różnych przepisów i norm, takich jak RODO czy ISO.

Kluczowym czynnikiem jest posiadanie „udokumentowanej” polityki bezpieczeństwa, która jasno określa stanowisko Twojej organizacji w kwestii bezpieczeństwa. Może to mieć bardzo duże znaczenie w przypadku naruszenia bezpieczeństwa danych. Co więcej, posiadanie polityki bezpieczeństwa jest dla klientów firmy, jej partnerów biznesowych informacją, że dana firma stosuje zasady i procedury, które pozwalają jej nadążać za ciągle zmieniającymi się zagrożeniami, tak aby jej aktywa były bezpieczne. To ważny, choć niedoceniany czynnik.

Jak egzekwować zasady bezpieczeństwa?

Podobnie jak to bywa w rodzinie, istnieją różne podejścia do egzekwowania zasad. To samo dotyczy firm.

Są różne sposoby sprawowania władzy i podczas gdy niektórzy przyjmą bardziej wyrozumiałe podejście, w którym zaufanie do pracowników zajmuje pierwsze miejsce, inni przyjmą bardziej sformalizowane podejście, w którym dyrektorzy zarządzający odgórnie będą nadzorować cały proces. Tak naprawdę trzeba znaleźć w tym równowagę. Nie jest tajemnicą, że ludzie nie zawsze decydują się na przestrzeganie zasad, zwłaszcza jeśli uważają, że szybciej i praktyczniej jest tego nie robić. Jednocześnie należy uważać, aby nie zniszczyć poczucia zaufania do tego stopnia, że pracownicy czują się traktowani jak dzieci w wieku szkolnym.

Niezmiernie ważnym aspektem jest zmotywowanie wszystkich i sprawienie, by zrozumieli, dlaczego istnieją takie zasady i jaką mają rolę. Że są nie tylko po to, by przeprowadzać audyty i pokazywać na papierze, że wszystko jest na odpowiednim poziomie i wygląda pięknie, ale są tam dla samej firmy i jej pracowników, aby przekazać im wiedzę. Warto także pamiętać, że zasady bezpieczeństwa powinny być częścią procesu wdrażania nowych pracowników, tak aby wszyscy dołączający do firmy dokładnie je przeczytali i zapoznali się z ich treścią.

Podsumowując, ważne jest, aby nie zapominać, że nasi klienci i interesariusze powinni mieć pewność, że robimy rzeczy tak bezpiecznie i dobrze, jak to możliwe, nawet jeśli wymaga to czasu, i że mogą polegać na tym zaufaniu.

Jak stworzyć własną politykę bezpieczeństwa?

Może się wydawać, że powinien to być długi i skomplikowany dokument, którego sami nie jesteśmy w stanie przygotować. Nic bardziej mylnego. Ważne, aby był napisany w sposób zrozumiały, czytelny dla wszystkich pracowników i – co najważniejsze – aby był wdrożony w życie. To, czy nazwiemy go zbiorem zasad bezpieczeństwa, polityką bezpieczeństwa czy procedurami działania firmy, jest kwestią drugorzędną.

Przygotowując taki dokument, warto odpowiedzieć sobie na kilka pomocniczych pytań – odpowiedzi na te pytania pozwolą stworzyć zbiór zasad, który z pewnością będzie można nazwać polityką bezpieczeństwa, a wraz z rozwojem firmy także go rozbudowywać i dostosowywać do zmieniającego się świata. Ponieważ nie możemy zapominać o tym, że nasze otoczenie się zmienia, zmieniają się przepisy a przestępcy szukają coraz to nowych metod, dzięki którym będą mogli się wzbogacić. Dlatego też taką politykę warto co jakiś czas przejrzeć i zweryfikować, czy nie powinniśmy w niej czegoś zmienić.

Przykładowe pytania i wskazówki

• Hasła – bezpieczeństwo haseł, zasady ich przechowywania oraz przekazywania innym pracownikom, jeśli zajdzie taka potrzeba

Zebraliśmy informacje jak utworzyć bezpieczne i silne hasło oraz jak zarządzać nimi w firmie. Podpowiadamy także jakich haseł nie należy stosować.

• Dokumenty – zasady ich przechowywania, archiwizowania, ochrony przed dostępem nieuprawnionych osób, ewentualne udostępnianie innym pracownikom.
• Czy i jak firma przetwarza dane osobowe?
• Dostęp do sieci w firmie.
• Zabezpieczenia sprzętu (komputery, drukarki, telefony).
• Korzystanie z poczty elektronicznej ze szczególnym uwzględnieniem możliwych cyberzagrożeń.
• Jeśli w firmie są osoby pracujące zdalnie to także zasady dotyczące pracy zdalnej

Sprawdź, jak zadbać o bezpieczne miejsce pracy, połączenie internetowe a także jak chronić się przed najczęstszymi oszustwami e-mailowymi.