Jak stworzyć regulaminy, polityki oraz procedury w dziale IT?

Nadążenie za stale ewoluującym otoczeniem biznesowym oraz wymaganiami prawnymi i wytycznymi organów nadzoru wymaga stałego monitorowania zgodności w organizacji. Pomocne w osiągnięciu tego celu są różnego rodzaju dokumenty wewnętrzne, które wytyczają kierunek i zasady działania przedsiębiorstwa w różnych – często kryzysowych – sytuacjach. Dlaczego warto zadbać o tworzenie regulaminów, polityk i procedur w dziale IT i jak się za to zabrać?

Dlaczego wewnętrzne regulacje w dziale IT są tak istotne?

Każda firma – niezależnie od tego, w jakiej branży funkcjonuje – aby rozwijać się w sposób skoordynowany i stabilny, powinna zadbać o stworzenie wewnętrznych wytycznych. Mogą one odnosić się do ogólnego celu organizacji, ale także poszczególnych procesów, które są w niej realizowane. Co zyskuje firma z branży IT, decydując się na implementację tego rodzaju pragmatyk. Przede wszystkim są to:

• świadome zarządzanie ryzykiem – stałe monitorowanie compliance stwarza gwarancję działania zgodnie z prawem i eliminuje ryzyko odpowiedzialności prawnej oraz sankcji,
• zwiększona efektywność działania – poprzez zapewnienie jednorodności postępowania w zbliżonych sytuacjach firma nie musi marnować zasobów na szukanie indywidualnych rozwiązań, w efekcie praca przebiega znacznie sprawniej,
• redukcja ryzyka błędów – poprzez stworzenie wewnętrznych procedur pracownicy dokładnie wiedzą, co i kiedy mają robić, w rezultacie maleje ryzyko nieprawidłowego działania.

Wewnętrzne regulacje IT to także zwiększone bezpieczeństwo. Trzeba pamiętać, że najsłabszym ogniwem w pracy ze środowiskiem wirtualnym zawsze jest człowiek, dlatego ograniczenie pola do działań przypadkowych, chaotycznych i nieprzemyślanych ogranicza ryzyko szkód wyrządzanych z zewnątrz.

Trzeba pamiętać, że wdrożenie wewnętrznych polityk i procedur w niektórych przypadkach jest wręcz wymagane. Dotyczy to między innymi sektora bankowego. W tym przypadku zalecenia znajdują się m.in. w rekomendacji D oraz Komunikacie dotyczącym przetwarzania przez podmioty nadzorowane informacji w chmurze obliczeniowej publicznej lub hybrydowej.

Sprawdź również: Ochrona danych osobowych w dziale IT – co powinni wiedzieć jego pracownicy?

Zamów wzory umów IT!

Polityki, procedury i wytyczne IT – czym różnią się między sobą?

Wielu specjalistów IT zastanawia się, dlaczego nie można po prostu opracować jednego schematu działania, wspólnego dla wszystkich ogniw całej organizacji. Powodów ku temu jest przynajmniej kilka. Przede wszystkim taki dokument byłby zbyt obszerny i nieczytelny, a przy tym regulował zagadnienia, które nie muszą być wspólne dla wszystkich pracowników. Właśnie dlatego dobrą praktyką jest utworzenie wewnętrznej dokumentacji na trzech poziomach.

Najbardziej ogólny wydźwięk mają różnego rodzaju polityki. Wyznaczają one ogólne kierunki działania, wyjaśniają co i dlaczego ma być robione, choć nie tłumaczą, w jaki sposób dany cel można osiągnąć. Z reguły polityka zmienia się rzadko, ponieważ równie rzadko organizacja modyfikuje swoje główne cele.

Na drugim poziomie znajdują się procedury. Służą one uszczegółowieniu polityk. Można je porównać do algorytmu, który krok po kroku wyjaśnia co i kiedy powinno zostać wykonane. Procedury powinny być aktualizowane regularnie i możliwie często tak, aby nadążały za zmieniającym się otoczeniem organizacji.

Trzeci poziom dokumentacji tworzą wytyczne. Zawierają one dobre praktyki i rekomendacje dotyczące poszczególnych działań. Część firm rezygnuje w ogóle z ich wprowadzenia, ale naszym zdaniem naprawdę warto rozważyć implementację wytycznych, ponieważ stanowią one element zapewniający elastyczność niezbędną do płynnego działania organizacji.

Najważniejsze polityki w dziale IT

Wśród najważniejszych polityk w działach IT z pewnością czołowe miejsce zajmuje polityka bezpieczeństwa. Jest ona ściśle powiązana z reagowaniem na wszelkiego rodzaju incydenty i ma na celu zapewnienie ciągłości działania organizacji niezależnie od okoliczności. Innym istotnym dokumentem pierwszego rzędu jest polityka AI. Określa ona zasady korzystania z narzędzi implementujących algorytmy sztucznej inteligencji.

W obrębie polityk można określić także zasady zatrudniania, korzystania z usług podwykonawców, aktualizacji oprogramowania, zarządzania zasobami lub korzystania z usług chmurowych.

O ile polityki są szczególnie istotne dla kierownictwa wysokiego szczebla, procedury są ważne przede wszystkim dla managerów oraz pracowników odpowiedzialnych za poszczególne zadania, ponieważ w przypadku trudności to oni staną na „linii frontu”. Na jakie procedury warto zwrócić uwagę w pierwszej kolejności?

• procedura reagowania na incydenty wyjaśnia, co zrobić w przypadku wystąpienia incydentu, np. zainfekowania komputera przez złośliwe oprogramowanie. Jej celem jest zminimalizowanie szkód,
• procedury Disaster Recovery i Business Continuity – zwykle te dwie procedury idą ze sobą w parze, mają na celu wytyczenie działań, które pozwolą na przywrócenie pełnej sprawności działania i zapewnią ciągłość prowadzonego biznesu nawet w przypadku występowania zakłóceń,
• procedury zarządzania zmianami – określa etapy postępowania m.in. w przypadku wdrożenia nowego oprogramowania lub zatrudnienia pracownika,
• procedura zarządzania zasobami – służy monitorowaniu stanu software’u i hardware’u i pomaga uniknąć narastania długu technologicznego, ponieważ pracownicy dbają o aktualizację poszczególnych zasobów organizacji.

Kluczowe procedury IT

Przykładem procedury IT, która często znajduje zastosowanie w praktyce, jest zarządzanie hasłami i zabezpieczeniami w firmie. Określa ona minimalne wymagania względem mechanizmów kryptograficznych, ale daje pewną swobodę działania. Warto odwoływać się do możliwie ogólnej klasyfikacji zabezpieczeń, np. FIPS 140-2. To standardy zabezpieczeń wyodrębnione przez NIST. Obecnie wyróżnia się cztery poziomy FIPS 140-2, gdzie Level 1 jest najsłabiej zabezpieczony, zaś Level 4 – najsilniej.

Procedury bezpieczeństwa mogą wskazywać także na dobre praktyki korzystania z managera haseł lub uwierzytelniania wieloskładnikowego. Standardy bezpieczeństwa mogą mieć charakter nie tylko ogólny, ale też branżowy. Do tej drugiej grupy zalicza się np. HIPAA dla branży zdrowotnej oraz PCI-DSS dla branży finansowej.

Innym przykładem procedury IT jest MDM (ang. Mobile Device Management), czyli zasady korzystania z prywatnych urządzeń mobilnych do celów służbowych. Obecnie zasady MDM zyskują na znaczeniu, ponieważ wiele osób sprawdza służbową skrzynkę mailową na prywatnym smartfonie, czy loguje się do software’u z domowego laptopa.

Jak skutecznie wdrażać wewnętrzną dokumentację w dziale IT?

Wdrażanie wewnętrznych polityk, procedur i wytycznych zawsze warto zacząć od audytu przeprowadzanego przez zewnętrznych specjalistów. W ten sposób można ustalić „stan wyjściowy” dokumentacji, zidentyfikować obszary wymagające uzupełnienia lub korekty i ustalić, co dokładnie powinno zostać zmienione.

Audyty zewnętrzne są wprawdzie droższe i bardziej czasochłonne, niż wewnętrzne, ale w praktyce przynoszą większy zysk w postaci obiektywnej oceny.

Istotną rolę w tworzeniu dokumentacji odgrywa także szkolenie pracowników. Żadne procedury nie będą funkcjonowały prawidłowo, jeżeli nie zostaną internalizowane. Na edukację należy spojrzeć, jak na proces, który wymaga zaangażowania wszystkich członków organizacji.

Podsumowanie 

Dbałość o tworzenie i aktualizację wewnętrznej dokumentacji jest jednym z warunków rozwoju każdej organizacji. Do realizacji tego celu warto skorzystać ze wsparcia kancelarii prawnej z wieloletnim doświadczeniem w obsłudze podmiotów z branży IT. Nasz zespół przeprowadzi dla Ciebie szczegółowy audyt zakończony opracowaniem rekomendacji, a także przygotuje komplet polityk, regulaminów i procedur odpowiadających specyfice działalności prowadzonej przez klienta. Zadbamy o compliance, aby Twoja firma mogła rozwijać się dynamicznie, zgodnie z prawem i wytycznymi organów regulacyjnych.

Potrzebujesz wsparcia prawnika IT? Napisz do mnie!