Sikkerhedspolitikker, som folk kan føre ud i livet

En sikkerhedspolitik bør hjælpe nogen med at beslutte, hvad de skal gøre i en reel situation. Dens værdi afhænger af klare regler, tilgængelige kontroller og en praktisk måde at følge dem på. Et dokument, der lover kontroller, som jeres systemer ikke kan håndhæve, skaber forvirring for medarbejderne og upålidelig dokumentation for bedømmerne.

For en CTO er udarbejdelse af politikker derfor en implementeringsopgave: Definer den krævede adfærd, kontroller de tekniske afhængigheder, tildel ansvaret, og test, om reglen virker i praksis.

Begynd med den beslutning, folk skal træffe

Vælg en konkret aktivitet, for eksempel ekstern fildeling, tildeling af produktionsadgang eller indberetning af en mistet enhed. Identificer de omfattede oplysninger, systemer, personer og aktiviteter, herunder underleverandører og eksterne udbydere, hvor det er relevant.

Erstat vage formuleringer som »del information sikkert« med krav, som nogen kan anvende. For ekstern deling skal de tilladte informationsklasser, godkendte kanaler, autorisation, modtageradgang og undtagelser angives. Forklar kort årsagen: Adgang for navngivne modtagere reducerer utilsigtet videregivelse og gør det muligt at fjerne adgangen.

Hold tre lag adskilt:

Forbind politikken med den procedure, medarbejderne faktisk bruger. Det undgår, at politikken skal omskrives, hver gang et værktøjs brugerflade ændres.

Gennemgå et realistisk eksempel før godkendelse

Illustrative antagelser: Et projektteam deler fortrolige designfiler med en ekstern konsulent. Teamets samarbejdsplatform understøtter navngivne modtagere og udløb af adgang, men klassificeringen sker manuelt.

En regel, der kan føres ud i livet, kunne kræve, at projektejeren godkender videregivelsen, at afsenderen bruger den godkendte platform, og at adgangen udløber ved opgavens afslutning. Offentlige links ville ikke være tilladt for denne informationsklasse.

Gennemgå udkastet i forhold til den faktiske arbejdsgang:

• Afsenderen fastslår filens klassificering ved hjælp af klassificeringsvejledningen.
• Projektejeren bekræfter, at konsulenten har brug for oplysningerne.
• Afsenderen giver adgang til konsulentens verificerede konto og angiver det aftalte udløb.
• Godkendelsesregistreringen angiver filen, modtageren, formålet og slutdatoen.
• Systemejeren kontrollerer, at adgangen udløber eller fjernes, når opgaven slutter.

Dokumentationen vil omfatte autorisationen, delingskonfigurationen og registreringen af fjernelse af adgang. Hvis konsulenten ikke kan autentificere sig, er svaret ikke et uformelt offentligt link: Brug undtagelsesprocessen eller en anden godkendt leveringsmetode.

Kontroller, om organisationen kan efterleve reglen

Gennemgå udkastet med de personer, der forventes at implementere det, herunder servicedeskmedarbejdere og systemejere. Bed dem om at gennemføre arbejdsgangen i stedet for blot at godkende ordlyden.

Bekræft, at værktøjer, tid, kompetencer, rettigheder og support er til stede. Hvis udløbet ikke kan automatiseres, skal det besluttes, om en planlagt manuel fjernelsesopgave er tilstrækkelig. Ellers skal implementeringsplanen ændres, før kontrollen erklæres operationel.

Definer en undtagelsesproces med en godkender, begrundelse, berørt omfang, sikkerhedsforanstaltninger, udløb og gennemgang. Hold undtagelserne synlige for risikostyringen uden unødigt at udbrede følsomme detaljer. Gentagne undtagelser kan pege på en uegnet regel eller en manglende kapabilitet, ikke blot på medarbejdernes manglende overholdelse.

Gør indførelsen til en del af leverancen

Offentliggør politikkerne, hvor medarbejderne kan finde dem under arbejdet, ikke kun i en auditmappe. Medtag links til politikker i relevante anmodningsformularer og onboardingmateriale. Forklar, hvad der er ændret, og hvem der skal handle.

Brug korte, scenariebaserede instruktioner: Bed en afsender om at konfigurere en ekstern deling, eller spørg en medarbejder, hvordan vedkommende ville indberette en forsvundet bærbar computer. Giv en indberetningsvej, der kan bruges uden den forsvundne enhed. Registreringer af kvitteringer viser kommunikation; de viser ikke, at nogen kan udføre processen.

Forbind krav med operationel dokumentation

ISO/IEC 27001 vedrører et afgrænset ledelsessystem for informationssikkerhed. Map politikker til de gældende krav og beslutninger om risikobehandling inden for dette omfang i stedet for at importere alle skabeloner som obligatoriske. Vedligehold disse mappinger adskilt fra instruktionerne til medarbejderne.

Identificer for hver vigtig regel dens ejer, understøttende kontrol, dokumentation og gennemgangsmetode. For fildeling skal en stikprøve af reelle delinger undersøges for autorisation, modtagerbegrænsninger og adgangsgrænser. Som praktisk anbefaling bør konfigurationsdokumentation kombineres med transaktionsregistreringer: Et skærmbillede af sikre standardindstillinger beviser ikke alene, at hver deling fulgte processen.

Hold politikkerne i takt med systemer i forandring

Bevar ejer, godkendelsesbeføjelse, version, ikrafttrædelsesdato, kommunikationsregistrering og gennemgangshistorik. Gennemgå med planlagte intervaller, og når relevante systemer, hændelser, kontrakter eller forpligtelser ændrer sig.

AI kan hjælpe med at udarbejde udkast ud fra godkendte krav og eksisterende procedurer. Gennemgå hver påstand om den aktuelle implementering før offentliggørelse.

I Secani kan I forbinde kildemateriale til politikker med krav, kontroller, ejere og dokumentation, gøre mangler til opgaver og bevare gennemgåede beslutninger. Den menneskelige gennemgang forbliver eksplicit og hjælper med at holde politikken knyttet til den faktiske implementering.

Begynd med én arbejdsgang, der bruges ofte. Test den med dens brugere, afhjælp manglende kapabiliteter, og indsaml operationel dokumentation, før politiksættet udvides.