Polityka Bezpieczeństwa Informacji

Legenda kolorów

1. Cel i zakres

1.1 Cel

Niniejsza Polityka Bezpieczeństwa Informacji (dalej: „Polityka") określa ramy ochrony informacji przetwarzanych przez organizację, ustanawiając podstawowe zasady, role i odpowiedzialności w zakresie bezpieczeństwa informacji. Polityka stanowi fundament Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) i jest odpowiedzią na wymogi Ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) oraz Dyrektywy NIS2.

Celem polityki jest:

• Zapewnienie poufności, integralności i dostępności informacji,
• Ochrona systemów informacyjnych przed cyberzagrożeniami,
• Spełnienie wymagań regulacyjnych NIS2/KSC,
• Minimalizacja ryzyk operacyjnych i reputacyjnych.

1.2 Zakres

Polityka dotyczy wszystkich pracowników, współpracowników, kontrahentów i innych osób, które mają dostęp do informacji lub systemów organizacji.

1.3 Usługi kluczowe / ważne

2. Definicje

3. Zasady Bezpieczeństwa Informacji

3.1 Zasada minimalnych uprawnień

Każdy użytkownik, system i proces otrzymuje wyłącznie minimalne uprawnienia niezbędne do wykonywania przypisanych zadań. Szczegółowe zasady w DOC-008.

3.2 Zasada potrzeby wiedzy (need-to-know)

Dostęp do informacji przyznawany jest wyłącznie osobom, dla których informacja ta jest niezbędna do wykonywania obowiązków służbowych.

3.3 Zasada ochrony wielowarstwowej (defense in depth)

Organizacja stosuje wielowarstwowe środki bezpieczeństwa, tak aby naruszenie jednej warstwy nie powodowało natychmiastowego kompromitacji całości.

3.4 Zasada rozliczalności

Każde działanie w systemach informacyjnych musi być przypisane do konkretnego użytkownika i rejestrowane w logach. Logi przechowywane są przez minimum ▸ [12 miesięcy]min. 12 mies. – KSC.

3.5 Zasada zarządzania ryzykiem

Wszelkie decyzje dotyczące bezpieczeństwa informacji podejmowane są w oparciu o ocenę ryzyka przeprowadzoną zgodnie z DOC-002.

3.6 Zasada ciągłego doskonalenia

SZBI podlega regularnym przeglądom i doskonaleniu w oparciu o wyniki audytów, wyciągniętych wniosków z incydentów oraz zmieniającego się krajobrazu zagrożeń.

3.7 Zasada bezpiecznego projektu (security by design)

Bezpieczeństwo jest uwzględniane od początku projektowania systemów, procesów i usług, a nie dodawane jako element uzupełniający.

4. Role i Odpowiedzialności

4.1 Zarząd / Organ Kierowniczy

4.2 Osoba odpowiedzialna za cyberbezpieczeństwo (CISO)

4.3 Właściciel systemu informacyjnego

Dla każdego systemu informacyjnego wyznaczony jest właściciel biznesowy odpowiedzialny za klasyfikację informacji, decyzje o akceptacji ryzyka i priorytety odtwarzania. Lista właścicieli systemów w DOC-020.

4.4 Administrator systemu

Odpowiedzialny za techniczną realizację środków bezpieczeństwa, wdrażanie poprawek, zarządzanie konfiguracją i tworzenie kopii zapasowych.

4.5 Użytkownicy końcowi

Każdy pracownik i współpracownik mający dostęp do systemów organizacji zobowiązany jest do:

• Przestrzegania niniejszej Polityki i powiązanych procedur,
• Natychmiastowego zgłaszania podejrzanych zdarzeń zgodnie z DOC-005,
• Uczestnictwa w szkoleniach z cyberbezpieczeństwa (patrz DOC-017).

5. Obszary Systemu Zarządzania Bezpieczeństwem Informacji

Organizacja wdraża SZBI obejmujący następujące obszary, każdy uregulowany osobnym dokumentem:

6. Zgodność i Egzekwowanie

6.1 Obowiązek przestrzegania

Naruszenie niniejszej Polityki lub powiązanych dokumentów SZBI przez pracowników może skutkować postępowaniem dyscyplinarnym, łącznie z rozwiązaniem stosunku pracy. Naruszenia przez podmioty zewnętrzne mogą skutkować rozwiązaniem umowy. Szczegóły w DOC-016.

6.2 Kary administracyjne (KSC)

6.3 Wyjątki i odstępstwa

Wszelkie odstępstwa od wymagań Polityki muszą być zatwierdzone pisemnie przez ▸ [CISO / Zarząd], udokumentowane i ograniczone czasowo. Rejestr wyjątków prowadzi ▸ [CISO / właściwa komórka].

7. Komunikacja, Wdrożenie i Szkolenia

Niniejsza Polityka jest:

• Udostępniana wszystkim pracownikom poprzez ▸ [intranet / system HR / wewnętrzny portal],
• Omawiana podczas szkoleń wstępnych dla nowych pracowników,
• Potwierdzana podpisem lub kliknięciem elektronicznym przez każdego pracownika min. 1 raz/rok,
• Włączona do umów z dostawcami i partnerami mającymi dostęp do systemów organizacji.

Szczegóły programu szkoleń w DOC-017.

8. Zarządzanie Dokumentem i Przeglądy

8.1 Cykl przeglądów

Niniejsza Polityka podlega przeglądowi:

• Regularnie, co najmniej raz na ▸ [12 miesięcy]max. 12 mies. – KSC,
• Po każdym poważnym incydencie bezpieczeństwa,
• Po istotnych zmianach organizacyjnych lub technologicznych,
• Po zmianach w przepisach prawa.

8.2 Historia zmian

8.3 Dokumenty powiązane

9. Zatwierdzenie