Политики за сигурност, които хората могат да прилагат

Политиката за сигурност трябва да помага на човек да реши какво да направи в реална ситуация. Нейната стойност зависи от ясни правила, налични контроли и практичен начин за спазването им. Документ, който обещава контроли, които вашите системи не могат да наложат, създава объркване за служителите и ненадеждни доказателства за проверяващите.

За техническия директор разработването на политики следователно е упражнение по внедряване: определете изискваното поведение, проверете техническите зависимости, възложете отговорността и тествайте дали правилото работи на практика.

Започнете с решението, което хората трябва да вземат

Изберете конкретна дейност, например външно споделяне на файлове, предоставяне на достъп до производствената среда или докладване на изгубено устройство. Определете обхванатите информация, системи, хора и дейности, включително изпълнителите и външните доставчици, когато е релевантно.

Заменете неясни формулировки като „споделяйте информацията сигурно“ с изисквания, които някой може да приложи. За външното споделяне посочете разрешените класове информация, одобрените канали, оторизацията, достъпа на получателя и изключенията. Обяснете накратко причината: достъпът за посочени получатели намалява случайното разкриване и прави възможно премахването на достъпа.

Поддържайте три слоя разграничени:

Свържете политиката с процедурата, която служителите действително използват. Така се избягва пренаписването на политиката всеки път, когато се промени интерфейсът на даден инструмент.

Преминете през реалистичен пример преди одобрението

Илюстративни допускания: проектен екип споделя поверителни проектни файлове с външен консултант. Неговата платформа за сътрудничество поддържа посочени получатели и изтичане на достъпа, но класифицирането е ръчно.

Приложимо правило би могло да изисква собственикът на проекта да разреши разкриването, изпращащият да използва одобрената платформа, а достъпът да изтече в края на ангажимента. Публичните връзки не биха били разрешени за този клас информация.

Преминете с черновата през действителния работен процес:

• Изпращащият определя класификацията на файла с помощта на ръководството за класификация.
• Собственикът на проекта потвърждава, че консултантът се нуждае от информацията.
• Изпращащият предоставя достъп на проверения акаунт на консултанта и задава договорения срок на изтичане.
• Записът за одобрение посочва файла, получателя, целта и крайната дата.
• Собственикът на системата проверява дали достъпът изтича или се премахва при приключване на ангажимента.

Доказателствата биха включвали оторизацията, конфигурацията на споделянето и записа за премахване на достъпа. Ако консултантът не може да се удостовери, решението не е неформална публична връзка: използвайте процеса за изключения или друг одобрен метод за предаване.

Проверете дали организацията може да спазва правилото

Прегледайте черновата с хората, от които се очаква да я прилагат, включително служителите от бюрото за обслужване и собствениците на системи. Помолете ги да изпълнят работния процес, а не просто да одобрят формулировката.

Потвърдете, че съществуват инструменти, време, компетентност, права и подкрепа. Ако изтичането не може да бъде автоматизирано, решете дали планирана задача за ръчно премахване е достатъчна. В противен случай променете плана за внедряване, преди да обявите контрола за действащ.

Определете процес за изключения с одобряващо лице, обосновка, засегнат обхват, предпазни мерки, срок на изтичане и преглед. Поддържайте изключенията видими за управлението на риска, без да разпространявате ненужно чувствителни подробности. Повтарящите се изключения може да сочат неподходящо правило или липсваща възможност, а не просто неспазване от служителите.

Направете приемането част от изпълнението

Публикувайте политиките там, където служителите могат да ги намерят по време на работа, а не само в папка за одит. Включете връзки към политиките в релевантните формуляри за заявки и материалите за въвеждане на нови служители. Обяснете какво се е променило и кой трябва да действа.

Използвайте кратки инструкции, базирани на сценарии: помолете изпращащ да конфигурира външно споделяне или попитайте служител как би докладвал изчезнал лаптоп. Осигурете път за докладване, който може да се използва и без изчезналото устройство. Записите за потвърждение на запознаване показват комуникация; те не доказват, че някой може да изпълни процеса.

Свържете изискванията с оперативни доказателства

ISO/IEC 27001 се отнася до система за управление на информационната сигурност с определен обхват. Съпоставяйте политиките с приложимите изисквания и решенията за третиране на риска в този обхват, вместо да внасяте всеки шаблон като задължителен. Поддържайте тези съпоставяния отделно от инструкциите за служителите.

За всяко важно правило определете неговия собственик, подкрепящия контрол, доказателствата и метода на преглед. При споделянето на файлове проверете извадка от реални споделяния за оторизация, ограничения на получателите и ограничения на достъпа. Като практическа препоръка комбинирайте доказателствата за конфигурацията със записи за транзакции: само екранна снимка на сигурните настройки по подразбиране не доказва, че всяко споделяне е следвало процеса.

Поддържайте политиките съгласувани с променящите се системи

Пазете собственика, органа за одобрение, версията, датата на влизане в сила, записа за комуникацията и историята на прегледите. Преглеждайте на планиран интервал и когато се променят релевантните системи, инциденти, договори или задължения.

ИИ може да помогне при изготвянето на чернови въз основа на одобрените изисквания и съществуващите процедури. Преглеждайте всяко твърдение за текущото внедряване преди публикуване.

В Secani свържете изходните материали за политиките с изискванията, контролите, собствениците и доказателствата; превръщайте пропуските в задачи и запазвайте прегледаните решения. Човешкият преглед остава изричен, което помага политиката да остане свързана с действителното внедряване.

Започнете с един често използван работен процес. Тествайте го с неговите потребители, отстранете липсващите възможности и съберете оперативни доказателства, преди да разширите набора от политики.