Πολιτικές ασφάλειας που μπορούν να εφαρμόσουν οι άνθρωποι

Μια πολιτική ασφάλειας πρέπει να βοηθά κάποιον να αποφασίσει τι να κάνει σε μια πραγματική κατάσταση. Η αξία της εξαρτάται από σαφείς κανόνες, διαθέσιμα μέτρα ελέγχου και έναν πρακτικό τρόπο να τους ακολουθεί κανείς. Ένα έγγραφο που υπόσχεται μέτρα ελέγχου που τα συστήματά σας δεν μπορούν να επιβάλουν δημιουργεί σύγχυση στους εργαζόμενους και αναξιόπιστα τεκμήρια για τους αξιολογητές.

Για έναν CTO, η ανάπτυξη πολιτικών είναι επομένως άσκηση υλοποίησης: ορίστε την απαιτούμενη συμπεριφορά, ελέγξτε τις τεχνικές εξαρτήσεις, αναθέστε την ευθύνη και δοκιμάστε αν ο κανόνας λειτουργεί στην πράξη.

Ξεκινήστε από την απόφαση που πρέπει να πάρουν οι άνθρωποι

Επιλέξτε μια συγκεκριμένη δραστηριότητα, όπως η εξωτερική κοινοποίηση αρχείων, η παραχώρηση πρόσβασης στην παραγωγή ή η αναφορά μιας χαμένης συσκευής. Προσδιορίστε τις πληροφορίες, τα συστήματα, τα πρόσωπα και τις δραστηριότητες που καλύπτονται, συμπεριλαμβανομένων εξωτερικών συνεργατών και παρόχων όπου είναι σχετικό.

Αντικαταστήστε αόριστες διατυπώσεις όπως «κοινοποιείτε τις πληροφορίες με ασφάλεια» με απαιτήσεις που μπορεί κάποιος να εφαρμόσει. Για την εξωτερική κοινοποίηση, προσδιορίστε τις επιτρεπόμενες κατηγορίες πληροφοριών, τα εγκεκριμένα κανάλια, την εξουσιοδότηση, την πρόσβαση των παραληπτών και τις εξαιρέσεις. Εξηγήστε σύντομα τον λόγο: η πρόσβαση με ονομαστικούς παραλήπτες μειώνει την ακούσια γνωστοποίηση και καθιστά δυνατή την αφαίρεση της πρόσβασης.

Κρατήστε διακριτά τρία επίπεδα:

Συνδέστε την πολιτική με τη διαδικασία που πραγματικά χρησιμοποιεί το προσωπικό. Έτσι αποφεύγεται η αναδιατύπωση της πολιτικής κάθε φορά που αλλάζει η διεπαφή ενός εργαλείου.

Δοκιμάστε ένα ρεαλιστικό παράδειγμα πριν από την έγκριση

Ενδεικτικές παραδοχές: μια ομάδα έργου κοινοποιεί εμπιστευτικά αρχεία σχεδιασμού σε έναν εξωτερικό σύμβουλο. Η πλατφόρμα συνεργασίας της υποστηρίζει ονομαστικούς παραλήπτες και λήξη πρόσβασης, αλλά η ταξινόμηση γίνεται χειροκίνητα.

Ένας εφαρμόσιμος κανόνας θα μπορούσε να απαιτεί από τον υπεύθυνο του έργου να εξουσιοδοτεί τη γνωστοποίηση, από τον αποστολέα να χρησιμοποιεί την εγκεκριμένη πλατφόρμα και η πρόσβαση να λήγει στο τέλος της συνεργασίας. Οι δημόσιοι σύνδεσμοι δεν θα επιτρέπονταν για αυτή την κατηγορία πληροφοριών.

Περάστε το προσχέδιο μέσα από την πραγματική ροή εργασιών:

• Ο αποστολέας προσδιορίζει την ταξινόμηση του αρχείου χρησιμοποιώντας τον οδηγό ταξινόμησης.
• Ο υπεύθυνος του έργου επιβεβαιώνει ότι ο σύμβουλος χρειάζεται τις πληροφορίες.
• Ο αποστολέας παραχωρεί πρόσβαση στον επαληθευμένο λογαριασμό του συμβούλου και ορίζει τη συμφωνημένη λήξη.
• Το αρχείο έγκρισης προσδιορίζει το αρχείο, τον παραλήπτη, τον σκοπό και την ημερομηνία λήξης.
• Ο υπεύθυνος του συστήματος ελέγχει ότι η πρόσβαση λήγει ή αφαιρείται όταν τελειώνει η συνεργασία.

Τα τεκμήρια θα περιλάμβαναν την εξουσιοδότηση, τη διαμόρφωση της κοινοποίησης και το αρχείο αφαίρεσης της πρόσβασης. Αν ο σύμβουλος δεν μπορεί να αυθεντικοποιηθεί, η απάντηση δεν είναι ένας άτυπος δημόσιος σύνδεσμος: χρησιμοποιήστε τη διαδικασία εξαιρέσεων ή άλλη εγκεκριμένη μέθοδο παράδοσης.

Ελέγξτε αν ο οργανισμός μπορεί να συμμορφωθεί

Επανεξετάστε το προσχέδιο με τους ανθρώπους που αναμένεται να το εφαρμόσουν, συμπεριλαμβανομένων του προσωπικού του service desk και των υπευθύνων συστημάτων. Ζητήστε τους να ολοκληρώσουν τη ροή εργασιών αντί απλώς να εγκρίνουν τη διατύπωση.

Επιβεβαιώστε ότι υπάρχουν εργαλεία, χρόνος, επάρκεια, δικαιώματα και υποστήριξη. Αν η λήξη δεν μπορεί να αυτοματοποιηθεί, αποφασίστε αν αρκεί μια προγραμματισμένη χειροκίνητη εργασία αφαίρεσης. Διαφορετικά, αλλάξτε το σχέδιο υλοποίησης πριν δηλώσετε το μέτρο ελέγχου λειτουργικό.

Ορίστε μια διαδικασία εξαιρέσεων με εγκρίνοντα, αιτιολόγηση, επηρεαζόμενο εύρος, δικλίδες, λήξη και επανεξέταση. Κρατήστε τις εξαιρέσεις ορατές στη διαχείριση κινδύνων χωρίς να διακινείτε άσκοπα ευαίσθητες λεπτομέρειες. Οι επαναλαμβανόμενες εξαιρέσεις μπορεί να υποδηλώνουν ακατάλληλο κανόνα ή ικανότητα που λείπει, όχι απλώς μη συμμόρφωση των εργαζομένων.

Κάντε την υιοθέτηση μέρος της υλοποίησης

Δημοσιεύστε τις πολιτικές εκεί όπου οι εργαζόμενοι μπορούν να τις βρουν κατά την εργασία τους, όχι μόνο σε έναν φάκελο ελέγχου. Συμπεριλάβετε συνδέσμους προς τις πολιτικές στα σχετικά έντυπα αιτημάτων και στο υλικό ένταξης. Εξηγήστε τι άλλαξε και ποιος πρέπει να ενεργήσει.

Χρησιμοποιήστε σύντομη καθοδήγηση με σενάρια: ζητήστε από έναν αποστολέα να διαμορφώσει μια εξωτερική κοινοποίηση ή ρωτήστε έναν εργαζόμενο πώς θα ανέφερε έναν φορητό υπολογιστή που λείπει. Παρέχετε μια διαδρομή αναφοράς που μπορεί να χρησιμοποιηθεί χωρίς τη συσκευή που λείπει. Τα αρχεία επιβεβαίωσης ανάγνωσης δείχνουν την επικοινωνία· δεν αποδεικνύουν ότι κάποιος μπορεί να εκτελέσει τη διαδικασία.

Συνδέστε τις απαιτήσεις με λειτουργικά τεκμήρια

Το ISO/IEC 27001 αφορά ένα σύστημα διαχείρισης ασφάλειας πληροφοριών με καθορισμένο πεδίο εφαρμογής. Αντιστοιχίστε τις πολιτικές με τις εφαρμοστέες απαιτήσεις και τις αποφάσεις αντιμετώπισης κινδύνων εντός αυτού του πεδίου, αντί να εισάγετε κάθε πρότυπο έγγραφο ως υποχρεωτικό. Διατηρήστε αυτές τις αντιστοιχίσεις χωριστά από τις οδηγίες προς τους εργαζόμενους.

Για κάθε σημαντικό κανόνα, προσδιορίστε τον υπεύθυνό του, το υποστηρικτικό μέτρο ελέγχου, τα τεκμήρια και τη μέθοδο επανεξέτασης. Για την κοινοποίηση αρχείων, εξετάστε ένα δείγμα πραγματικών κοινοποιήσεων ως προς την εξουσιοδότηση, τους περιορισμούς παραληπτών και τα όρια πρόσβασης. Ως πρακτική σύσταση, συνδυάστε τεκμήρια διαμόρφωσης με αρχεία συναλλαγών: ένα στιγμιότυπο οθόνης ασφαλών προεπιλογών από μόνο του δεν αποδεικνύει ότι κάθε κοινοποίηση ακολούθησε τη διαδικασία.

Κρατήστε τις πολιτικές ευθυγραμμισμένες με τα μεταβαλλόμενα συστήματα

Διατηρήστε τον υπεύθυνο, την αρχή έγκρισης, την έκδοση, την ημερομηνία έναρξης ισχύος, το αρχείο επικοινωνίας και το ιστορικό επανεξετάσεων. Επανεξετάζετε σε προγραμματισμένο διάστημα και όταν αλλάζουν σχετικά συστήματα, περιστατικά, συμβάσεις ή υποχρεώσεις.

Η AI μπορεί να βοηθήσει στη σύνταξη με βάση εγκεκριμένες απαιτήσεις και υφιστάμενες διαδικασίες. Επανεξετάστε κάθε ισχυρισμό για την τρέχουσα υλοποίηση πριν από τη δημοσίευση.

Στο Secani, συνδέστε το υλικό πηγής των πολιτικών με απαιτήσεις, μέτρα ελέγχου, υπευθύνους και τεκμήρια· μετατρέψτε τα κενά σε εργασίες και διατηρήστε τις επανεξετασμένες αποφάσεις. Η ανθρώπινη επανεξέταση παραμένει ρητή, βοηθώντας την πολιτική να παραμένει συνδεδεμένη με την πραγματική υλοποίηση.

Ξεκινήστε με μία ροή εργασιών υψηλής συχνότητας. Δοκιμάστε την με τους χρήστες της, επιλύστε τις ικανότητες που λείπουν και συλλέξτε λειτουργικά τεκμήρια πριν επεκτείνετε το σύνολο των πολιτικών.