Ημερολόγιο αλλαγής πολιτικής

1) Σκοπός και αξία

• Διαφανές ιστορικό αλλαγής: ποιος, τι, πότε και γιατί.
• Συμμόρφωση με τους ελεγκτές/ρυθμιστικές αρχές (ISO 27001, SOC 2, PCI DSS, GDPR και τοπικοί κανονισμοί).
• Διαχείριση κινδύνου: σύνδεση των αλλαγών με τις εκτιμήσεις κινδύνου, τα περιστατικά και τα σχέδια CAPA.
• Ενιαία πηγή αλήθειας για τους εργαζομένους, τους παρόχους και τους εταίρους.

Αποτέλεσμα: μειώνεται ο λειτουργικός κίνδυνος και ο κίνδυνος συμμόρφωσης, επιταχύνονται οι έλεγχοι και οι έρευνες, μειώνεται ο χρόνος επιβίβασης.

2) Πεδίο εφαρμογής

• Ασφάλεια και πρόσβαση: πολιτική ασφάλειας πληροφοριών, διαχείριση συμβάντων, τρωτά σημεία, κλειδιά/κρυπτογράφηση, μυστική διαχείριση, πολιτική κωδικών πρόσβασης, IAM.
• Δεδομένα και προστασία της ιδιωτικής ζωής: GDPR/DSAR/RTBF, αποθήκευση και διαγραφή, ταξινόμηση δεδομένων, DLP, αρχεία καταγραφής και λογιστικός έλεγχος.
• Χρηματοδότηση/AML/KYC: AML/KYB/KYC, έλεγχος κυρώσεων, απόδειξη πηγής κεφαλαίων.
• Πράξεις: BCP/DRP, διαχείριση αλλαγών, πολιτική απελευθέρωσης, RACI, SRE/SLO.
• Νομικό/ρυθμιστικό: απαιτήσεις της τοπικής αγοράς, περιορισμοί στη διαφήμιση, υπεύθυνο παιχνίδι.

3) Ρόλοι και αρμοδιότητες (RACI)

R (Υπεύθυνος): Ιδιοκτήτης πολιτικής και συντάκτης πολιτικής.
A (υπόλογος): Ιδιοκτήτης εγγράφου του τομέα/CISO/Επικεφαλής συμμόρφωσης.
C (Ζητήθηκε η γνώμη): Νομικός/ΥΠΔ, Κίνδυνος, SRE/Πράξεις, Προϊόν, Δεδομένα.
I (Ενημερωμένο): Όλοι οι εργαζόμενοι, εξωτερικοί εργολάβοι (εάν χρειάζεται).

Αρχές: διπλός έλεγχος ανά δημοσίευση. διαχωρισμός καθηκόντων· Υποχρεωτικές νομικές/ΥΠΔ διαβουλεύσεις για θέματα PII/ρυθμιστικά θέματα.

4) Αλλαγή κύκλου ζωής

1. Πρωτοβουλία: ενεργοποίηση (κανονιστική απαίτηση, χρηματοδότηση ελέγχου, περιστατικό, δοκιμή διείσδυσης, αλλαγή αρχιτεκτονικής).
2. Σχέδιο - Αλλαγή στο σύστημα διαχείρισης εγγράφων (Confluence/Git/Policy CMS).
3. Εκτίμηση επιπτώσεων: για τις διαδικασίες, το μητρώο κινδύνου, την κατάρτιση, τις συμβάσεις, τις ενοποιήσεις.
4. Έγκριση: Νομική/ΥΠΔ/συμμόρφωση/τεχνολογία/λειτουργίες, τελική έγκριση ιδιοκτήτη.
5. Δημοσίευση: έκδοση, ημερομηνία έναρξης ισχύος, διανομή.
6. Επιβίβαση: εκπαίδευση/αναγνώριση, επικαιροποίηση SOP/Runbook.
7. Παρακολούθηση: έλεγχος συμμόρφωσης, μετρήσεις, αναδρομική εφαρμογή.

5) Μοντέλο καταγραφής δεδομένων (απαιτούμενα πεδία)

"policy _ i είναι μια σταθερή ταυτότητα πολιτικής.
«policy _ title» είναι ο τίτλος του εγγράφου.
"change _ i είναι ο μοναδικός αναγνωριστικός κωδικός της αλλαγής.
'version' - σημασιολογική έκδοση (MAJOR. MINOR. PATCH) ή με ημερομηνία.

yaml change_id: POL-SEC-001-2025-11-01-M01 policy_id: POL-SEC-001 policy_title: Access Control Policy version: 2. 0. 0 change_type: MAJOR status: approved submitted_at: 2025-10-18T14:20:00Z approved_at: 2025-10-29T10:05:00Z published_at: 2025-10-30T09:00:00Z effective_from: 2025-11-15 proposer: d. kovalenko editor: secops. editors approver: ciso summary: Review roles and JIT access, enter quarterly-review.
rationale: "SOC Audit 2: CAPA-2025-17; incident # INC-5523"
risk_ref: RSK-AC-2025-004 legal_refs: ["ISO27001 A.5, A.8", "GDPR Art. 32"]
impact_scope: ["Prod Ops", "Payment Ops", "Affiliates"]
training_required: true attachments:
- link: confluence://AC-Policy-v2-diff
- link: git://policy-repo/pol-sec-001@v2. 0. 0 distribution_list: ["all@company", "ops@company", "vendors:payments"]
ack_required: true hold_flags: []

6) Απαιτήσεις έκδοσης και αλλαγής τύπου

ΜΕΊΖΟΝΕΣ: μεταβολές των υποχρεωτικών απαιτήσεων/ελέγχων, επηρεάζουν τον έλεγχο/τους κινδύνους· απαιτεί κατάρτιση και μετάβαση.
MINOR: βελτιώσεις, παραδείγματα, δεν αλλάζουν τον έλεγχο στην ουσία.
PATCH: ορθογραφία/επεξεργασία αναφοράς· ταχεία πορεία.
ΕΠΕΙΓΟΝ: επείγουσα διόρθωση λόγω συμβάντος/τρωτότητας, δημοσίευση σε ταχεία βάση.
ΚΑΝΟΝΙΣΜΟΣ: επικαιροποιημένη λόγω νέας κανονιστικής πράξης/επιστολής ρυθμιστικής αρχής.

Έκδοση: fix tags/releases. αμετάβλητα τεχνουργήματα PDF/HTML με χασίς.

7) Ροή εργασίας έγκρισης

1. Σχέδιο επανεξέτασης → - Πρότυπο αυτόματου ελέγχου, σύνδεσμοι και μεταδεδομένα.
2. Πολλαπλή επανεξέταση: Νομική/ΥΠΔ/Συμμόρφωση/Τεχνολογία/Λειτουργίες (παράλληλη/διαδοχική).
3. Έγκριση: ιδιοκτήτης τομέα + υπόλογος.

4. Δημοσίευση: δημιουργία σημειώματος έκδοσης, σύνταξη στην Εφημερίδα, αποστολή, ενημέρωση «effective_from.»

5. Αναγνώριση: είσπραξη της αναγνώρισης των εργαζομένων (LMS/HRIS).
6. Έλεγχος μετά τη δημοσίευση: SOP/σύμβαση/επικαιροποίηση σεναρίου.

Κανόνας δύο κλειδιών: Η δημοσίευση είναι δυνατή μόνο με 2 + εγκρίσεις από τον κατάλογο εγκεκριμένων ρόλων.

8) Νομικό καθεστώς

Πότε: έρευνα, νομικό αίτημα, κανονιστική επανεξέταση.
Τι κάνουμε: σημαία 'κρατήστε _ σημαίες = [«νόμιμο»]', παγώστε τις αναθεωρήσεις διαγραφής/έκδοσης, αρχείο WORM, αρχείο καταγραφής δραστηριοτήτων Hold.
Απόσυρση: Μόνο νόμιμος/ΥΠΔ. όλες οι δράσεις καταγράφονται.

9) Προστασία της ιδιωτικής ζωής και τοπική ρύθμιση

Ελαχιστοποίηση της PII στο ημερολόγιο (αποθήκευση ταυτότητας υπαλλήλου αντί ηλεκτρονικού ταχυδρομείου, εάν είναι δυνατόν).
Περίοδοι διατήρησης = «χρονοδιαγράμματα διατήρησης» (τα αρχεία πολιτικής είναι συνήθως 5-7 έτη).
DSAR/RTBF: το ημερολόγιο αποκλείεται από τη διαγραφή εάν υπάρχει νόμιμο καθήκον θεματοφυλακής· Καθορίζουμε τη νομική βάση.

10) Ολοκλήρωση

Confluence/Docs/Git: πηγή επεξεργαστών και αντικειμένων (diff, PDF).
IAM/SSO: ρόλοι των εργαζομένων και χαρακτηριστικά Audit log access.
LMS/HRIS: εκπαίδευση, δοκιμές, αναγνώριση.
GRC/IRM: σχέση με κινδύνους, ελέγχους, CAPA/σχέδια.
SIEM/Αρχεία καταγραφής: έλεγχος των εργασιών του περιοδικού (που είδαν/εξήγαγαν).
Ticketing (Jira/YouTrack): έναρξη εργασιών και έκδοση καταλόγων ελέγχου.

11) Μετρήσεις και SLO

Κάλυψη:% των τρεχουσών πολιτικών με τελευταία εγγραφή ημερολογίου (στόχος ≥ 99%).
Χρόνος έως τη δημοσίευση: διάμεσος χρόνος από την «υποβολή _ a έως την» δημοσίευση _ a (στόχος 14 ημέρες· επείγουσα ≤ 48 ωρών).
Ack-rate: το ποσοστό των εργαζομένων που επιβεβαίωσαν τη γνωριμία (στόχος ≥ 98% σε 14 ημέρες).
Ετοιμότητα ελέγχου: το ποσοστό των πολιτικών με πλήρες σύνολο αντικειμένων (diff, PDF, υπογραφές) (στόχος 100%).
Οι εξαιρέσεις έκλεισαν:% κλειστές εξαιρέσεις/αποκλίσεις μέχρι την ημερομηνία.
Έλεγχος πρόσβασης: 0 μη εξουσιοδοτημένα περιστατικά πρόσβασης ημερολογίου.

12) Ταμπλό (ελάχιστο σύνολο γραφικών συστατικών)

Ζωοτροφές από πρόσφατες δημοσιεύσεις και διατάξεις.
Χάρτης κατάστασης ανά τομέα (Ασφάλεια, δεδομένα, AML, Ops).
Χάρτης θερμότητας των καθυστερήσεων έγκρισης.
Ιστόγραμμα Time-to-Publish/Time-in-Review.
Ack-rate ανά τμήμα και ρόλο.
Κατάλογος ανοικτών αλλαγών ΚΑΝΟΝΙΣΜΟΥ/ΕΠΕΙΓΟΝΤΟΣ.

13) Διαδικασίες και υποδείγματα

{policy_title} — {version}
Change ID: {change_id}      Type: {change_type}      Effective: {effective_from}
Summary: {summary}
Rationale: {rationale}
Impacts: {impact_scope}
Approvals: {approver} at {approved_at}
Artifacts: {links}
Training: {training_required}

• Όλα τα απαιτούμενα πεδία και αναφορές τεχνουργημάτων συμπληρώθηκαν
• Εκτιμώμενος αντίκτυπος και επικαιροποιημένοι κίνδυνοι
• Διπλός έλεγχος
• Παραγόμενο αμετάβλητο πακέτο (PDF + hash)
• Ταχυδρομικές αποστολές και διάρθρωση εκστρατείας ack
• Επικαιροποιημένα βιβλία SOP/Runbooks/συμβάσεις (εάν απαιτείται)

14) Έλεγχος πρόσβασης και ασφάλεια

RBAC Ανάγνωση/Δημιουργία/Έγκριση ρόλων/Αρχείο.
Just-in-Time: προσωρινή αρχή δημοσίευσης/εξαγωγής.
Κρυπτογράφηση: TLS κατά τη διαμετακόμιση, KMS κατά την ανάπαυση. απαγόρευση των ανώνυμων εξαγωγών.
Έλεγχος: καταγραφές όλων των πράξεων, προειδοποιήσεις για ασυνήθιστες ενέργειες (μαζικές εξαγωγές, συχνές επεξεργασίες).

15) Εφαρμογή κατά στάδια

1. Κατάλογος πολιτικών και των ιδιοκτητών τους.

2. Ενιαίο πρότυπο εγγραφής + απαιτούμενα πεδία.

3. μητρώο στη συμβολή/έννοια ή απλό CMS πολιτικής· εξαγωγή αμετάβλητων PDF.

4. Βασική ροή εργασιών των εγκρίσεων και εκστρατεία ack μέσω ταχυδρομείου/LMS.

5. Ρόλοι πρόσβασης και καταγραφή δραστηριοτήτων.

• Ενσωμάτωση με Git για diff και σημασιολογικές εκδόσεις.
• Συνδέσεις GRC με κινδύνους/ελέγχους, εκθέσεις λογιστικού ελέγχου.
• Ταμπλό KPI/SLO, αυτόματες υπενθυμίσεις μέχρι την ημερομηνία.

• API/webhooks για εξωτερικά συστήματα, αντιστοίχιση μοτίβου κανονισμών-as-code.
• Αρχείο Legal Hold + WORM, κρυπτογραφικές υπογραφές πακέτων απελευθέρωσης.
• Πολυλειτουργικότητα (ετικέτες ανά αγορά/γλώσσα/έκδοση).

16) Συχνά λάθη και τρόπος αποφυγής τους

Αλλαγές εκτός περιοδικού: Άρνηση μη καταγεγραμμένων εκδόσεων, αυτόματοι έλεγχοι.
Καμία λογική/αναφορά: να καταστεί το πεδίο υποχρεωτικό + πρότυπα πηγής (ρυθμιστική αρχή, έλεγχος, περιστατικό).
Έλεγχος χωρίς ack: Ολοκλήρωση LMS/HRIS και KPI τροχιάς.
Συνδυασμός σχεδίων και δημοσιεύσεων - Χρήση χωριστών χώρων/κλάδων.
Πρόσβαση «όλα»: αυστηρή RBAC, έλεγχος ανάγνωσης εξαγωγών.

17) Γλωσσάριο (συνοπτικά)

Πολιτική - έγγραφο διαχείρισης με υποχρεωτικές απαιτήσεις.
Πρότυπο/Διαδικασία/SOP - κοκκοποίηση και εντολή εκτέλεσης.
CAPA - διορθωτικά και προληπτικά μέτρα.
Αναγνώριση (ack) - επιβεβαίωση εξοικείωσης από τον εργαζόμενο.
Νομικό καθεστώς - νομικό πάγωμα αλλαγών/διαγραφών.

18) Η τελική γραμμή

Το ημερολόγιο αλλαγής πολιτικής δεν είναι μόνο μια «ιστορία επεξεργαστών», αλλά μια διαδικασία διαχείρισης με σαφείς ρόλους, ένα μοντέλο δεδομένων, ελέγχους πρόσβασης, νομική εμμονή και μετρήσεις. Η ώριμη εφαρμογή του επιταχύνει τους ελέγχους, μειώνει τους κινδύνους μη συμμόρφωσης και αυξάνει την επιχειρησιακή πειθαρχία σε όλη την οργάνωση.