polityka zgodności

Polityka zgodności to zasady zapewniające działanie organizacji w granicach obowiązujących przepisów.

Zakres polityki zgodności w środowisku IT

Polityka zgodności w organizacji korzystającej z komputerów określa, w jaki sposób sprzęt, oprogramowanie i procesy informatyczne mają spełniać wymagania wynikające z przepisów, umów oraz wewnętrznych procedur. Dokument powinien wskazywać zakres systemów objętych kontrolą, właścicieli poszczególnych zasobów, wymagany sposób dokumentowania działań oraz procedurę reagowania na odstępstwa. W praktyce może obejmować komputery pracowników, urządzenia sieciowe, aplikacje biurowe, systemy kopii zapasowych, mechanizmy uwierzytelniania i narzędzia używane do monitorowania zdarzeń.

Technicznie zgodność nie polega na samym posiadaniu dokumentu. Wymagania trzeba przełożyć na konkretne ustawienia i czynności: aktualizowanie systemów, ograniczenie uprawnień administracyjnych, stosowanie blokady ekranu, rejestrowanie logowań, kontrolę instalowanych programów, szyfrowanie nośników oraz okresowe sprawdzanie kopii zapasowych. Każda reguła powinna mieć określony sposób weryfikacji. Przykładowo wymaganie dotyczące aktualizacji można kontrolować przez raport wersji systemu i aplikacji, a wymaganie dotyczące kopii zapasowych przez zapis wyniku testowego odtworzenia plików.

Przekład wymagań na kontrole techniczne

Podstawą wdrożenia polityki zgodności jest rejestr zasobów i zależności między nimi. Dla każdego laptopa lub komputera PC warto odnotować identyfikator urządzenia, system operacyjny, wersję oprogramowania, właściciela, lokalizację oraz status wsparcia producenta. Taki wykaz pozwala wykryć urządzenia z niewspieraną wersją systemu, nieużywane konta, brakujące poprawki albo programy, których licencji nie można potwierdzić. Dane inwentaryzacyjne powinny mieć datę aktualizacji i wskazane źródło, na przykład system zarządzania urządzeniami, raport skanera lub protokół przeglądu.

Kontrole dostępu powinny odpowiadać rzeczywistym potrzebom użytkowników. Konto administracyjne służy do zmian konfiguracyjnych, instalacji i czynności serwisowych, natomiast codzienna praca powinna odbywać się na koncie o ograniczonych uprawnieniach. Polityka może wymagać uwierzytelniania wieloskładnikowego dla wybranych systemów, blokowania kont po określonej liczbie nieudanych prób oraz odbierania dostępów po zmianie stanowiska. Ważne jest także rozdzielenie odpowiedzialności: osoba zatwierdzająca zmianę konfiguracji nie powinna automatycznie być jedyną osobą wykonującą i kontrolującą tę samą zmianę.

Logi, aktualizacje i dowody wykonania

Ocena zgodności wymaga dowodów, które można odtworzyć i porównać w czasie. W środowisku komputerowym takimi dowodami są między innymi dzienniki zdarzeń systemowych, historia aktualizacji, raporty o stanie zabezpieczeń, protokoły przeglądów, wyniki skanowania oraz rejestr zmian konfiguracji. Log powinien zawierać co najmniej czas zdarzenia, identyfikator użytkownika lub urządzenia, rodzaj operacji i rezultat. Sam komunikat „kontrola wykonana” jest słabszym dowodem niż raport wskazujący konkretną wersję systemu, zakres sprawdzenia i datę przeprowadzenia.

Polityka powinna również definiować obsługę podatności i błędów. Po wykryciu nieaktualnego programu należy ustalić, czy dostępna jest poprawka, jaki jest termin jej instalacji i jak potwierdzić prawidłowe zakończenie aktualizacji. Jeżeli aktualizacja wymaga ponownego uruchomienia albo może zakłócić pracę użytkownika, zmiana powinna mieć zaplanowane okno wykonania oraz możliwość powrotu do poprzedniej konfiguracji. W przypadku awarii trzeba zachować opis objawu, czas wystąpienia, podjęte działania i wynik testu po naprawie. Takie informacje pozwalają rozróżnić jednorazową usterkę od powtarzalnego naruszenia ustalonej procedury.

Weryfikacja zgodności podczas obsługi komputera

W serwisie laptopa lub komputera zgodność można oceniać bez ingerowania w dane niezwiązane z diagnostyką. Przed rozpoczęciem prac należy ustalić zakres zlecenia, stan urządzenia i zgodę na czynności, które mogą zmienić konfigurację, takie jak instalacja sterownika, aktualizacja systemu BIOS lub przywrócenie ustawień. Po wykonaniu pracy warto zapisać model urządzenia, numer seryjny lub identyfikator zlecenia, wykryty problem, wymienione podzespoły, użyte wersje sterowników oraz rezultat testów. Przydatne są także informacje o temperaturach, stanie dysku, pamięci operacyjnej i stabilności systemu, o ile zostały rzeczywiście zmierzone.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w dokumentacji serwisowej można stosować podobne zasady kontroli: jednoznaczny opis usterki, rejestr wykonanych czynności, potwierdzenie testu końcowego oraz informację o zmianach w konfiguracji. Tak przygotowany zapis ułatwia późniejszą weryfikację, czy urządzenie działa zgodnie z ustaleniami i czy zastosowane rozwiązanie nie wprowadziło dodatkowych problemów. Polityka zgodności powinna być okresowo przeglądana, szczególnie po zmianie systemu, narzędzi zarządzania, wymagań umownych lub sposobu obsługi zgłoszeń.