Przejdź do głównej zawartości

6.7 Praca zdalna

W skrócie: praca poza biurem ma swoje zasady — dotyczące miejsca, sprzętu, sieci i dostępu — dopasowane do ryzyka i klasyfikacji informacji.

Cel: zapewnienie bezpieczeństwa informacji, gdy personel pracuje zdalnie.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#Asset_management (zarządzanie aktywami), #Information_protection (ochrona informacji), #Physical_security (bezpieczeństwo fizyczne), #System_and_network_security (bezpieczeństwo systemów i sieci)
Domeny bezpieczeństwa#Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Praca zdalna obejmuje każdą pracę poza siedzibą organizacji z dostępem do informacji w formie papierowej lub elektronicznej — telepracę, pracę hybrydową, wirtualne miejsca pracy, zdalną konserwację.
  • Organizacja ustanawia politykę tematyczną pracy zdalnej określającą warunki i ograniczenia.
  • Polityka bierze pod uwagę m.in.: fizyczne bezpieczeństwo miejsca pracy, wymagania dotyczące komunikacji z systemami organizacji, ryzyko podglądania przez domowników i osoby w miejscach publicznych, korzystanie z sieci domowych i publicznych, zabezpieczenia urządzeń (zapora, ochrona przed malware), bezpieczne uwierzytelnianie zdalnego dostępu.
  • Norma zwraca uwagę na słabość jednoskładnikowego uwierzytelniania przy zdalnym dostępie do sieci organizacji.
  • Środki organizacyjne obejmują: zapewnienie sprzętu i mebli do bezpiecznego przechowywania, określenie dozwolonych prac i klasyfikacji informacji, szkolenia, wsparcie techniczne, kopie zapasowe, ubezpieczenie, audyt oraz odebranie dostępu i zwrot sprzętu po zakończeniu pracy zdalnej.
  • Gdy dopuszcza się prywatne urządzenia, określa się warunki — np. pulpit wirtualny, który nie zostawia danych na urządzeniu.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Dostęp przez VPN lub rozwiązanie ZTNA z MFA, a nie przez wystawione do internetu RDP.
  • Szyfrowanie dysków, zarządzanie urządzeniami (MDM) i zdalne wymazywanie (zob. 8.1).
  • Regulamin pracy zdalnej zgodny z przepisami Kodeksu pracy o pracy zdalnej, z zasadami ochrony informacji w domu.

Powiązania​