öryggisstefnur

Öryggisstefna er formlegt skjöl sem lýsir þeim markmiðum, reglum og meginreglum sem gilda um öryggi upplýsinga og annarra verðmæta í rekstri. Hún er grundvallaratriði í öryggisstjórnun og miðar að því að tryggja trúnað, heilleika og aðgengi gagna og annarra verðmæta í samræmi við lagalegar kröfur og stefnu stofnunarinnar.

Tilgangur stefnunnar er að veita ráðgefandi leiðsögn um hvernig öryggishættu sé stjórnað, hvernig ábyrgð skiptist á milli yfirstjórnar, stjórnenda og starfsfolk, og hvernig öryggisráðstafanir eru teknar í daglegu rekstri. Hún byggir oft á áhættumati og reynsluaðferðum og er notuð til að samræma friðhelgi gagna, aðgengi og rekstrarárangur.

Helstu innihaldseiningar eru: markmið og umfang, ábyrgð (yfirstjórn, öryggisráðgjafar, starfsfólk), stjórnkerfi IT-öryggis eða ISMS, verklag um aðgangsstýringu og dulkóðun, rekja og varðveislu gagna, viðbragð við öryggisatvikum, endurheimt eftir hættu, endurnýjun og þjálfun.

Framkvæmd: Stefnan er samþykkt af yfirstjórn, gefin út og dreift til starfsfólks og samstarfsaðila. Hún er hluti af ISMS og byggist oft á ISO/IEC 27001. Hún er reglulega endurskoðuð og uppfærð til að ná til nýrra tækni, hættu og lagaboða.

Lagalegt samræmi: Alþjóðleg og innlön löggjöf um persónuvernd, svo sem GDPR í EES og íslensk persónuverndarlög, eru lykilatriði í öryggisstefnu sem varðar meðferð persónuupplýsinga.