Turvapoliitikad, mida inimesed suudavad rakendada

Turvapoliitika peaks aitama inimesel otsustada, mida reaalses olukorras teha. Selle väärtus sõltub selgetest reeglitest, olemasolevatest meetmetest ja praktilisest viisist neid järgida. Dokument, mis lubab meetmeid, mida teie süsteemid ei suuda jõustada, tekitab töötajates segadust ja annab ülevaatajatele ebausaldusväärseid tõendeid.

Tehnoloogiajuhi jaoks on poliitika väljatöötamine seega rakendamisharjutus: määratlege nõutav käitumine, kontrollige tehnilisi sõltuvusi, määrake vastutus ja testige, kas reegel praktikas toimib.

Alustage otsusest, mida inimesed peavad tegema

Valige konkreetne tegevus, näiteks failide jagamine väljapoole, tootmiskeskkonnale juurdepääsu andmine või kadunud seadmest teatamine. Tehke kindlaks hõlmatud teave, süsteemid, inimesed ja tegevused, sealhulgas asjakohasel juhul lepingupartnerid ja välised teenuseosutajad.

Asendage ebamäärane sõnastus, nagu „jagage teavet turvaliselt“, nõuetega, mida keegi saab rakendada. Välise jagamise puhul täpsustage lubatud teabeklassid, heakskiidetud kanalid, volitused, vastuvõtja juurdepääs ja erandid. Selgitage põhjust lühidalt: nimelise vastuvõtja juurdepääs vähendab juhuslikku avalikustamist ja võimaldab juurdepääsu eemaldada.

Hoidke kolm kihti lahus:

Siduge poliitika protseduuriga, mida töötajad tegelikult kasutavad. Nii ei pea poliitikat ümber kirjutama iga kord, kui tööriista liides muutub.

Käige enne heakskiitmist läbi realistlik näide

Illustreerivad eeldused: projektimeeskond jagab konfidentsiaalseid disainifaile välise konsultandiga. Selle koostööplatvorm toetab nimelisi vastuvõtjaid ja juurdepääsu aegumist, kuid liigitamine toimub käsitsi.

Rakendatav reegel võiks nõuda, et projekti omanik lubaks avalikustamise, saatja kasutaks heakskiidetud platvormi ja juurdepääs aeguks töösuhte lõpus. Selle teabeklassi puhul ei oleks avalikud lingid lubatud.

Käige mustand läbi tegeliku töövoo alusel:

• Saatja määrab liigitusjuhendi abil faili liigituse.
• Projekti omanik kinnitab, et konsultant vajab seda teavet.
• Saatja annab juurdepääsu konsultandi kontrollitud kontole ja seab kokkulepitud aegumise.
• Heakskiidukirje tuvastab faili, vastuvõtja, eesmärgi ja lõppkuupäeva.
• Süsteemi omanik kontrollib, et juurdepääs aeguks või eemaldataks, kui töösuhe lõpeb.

Tõendid hõlmaksid volitust, jagamise konfiguratsiooni ja juurdepääsu eemaldamise kirjet. Kui konsultant ei saa autentida, ei ole lahenduseks mitteametlik avalik link: kasutage erandiprotsessi või muud heakskiidetud edastusviisi.

Kontrollige, kas organisatsioon suudab nõudeid täita

Vaadake mustand üle koos inimestega, kes peavad seda rakendama, sealhulgas kasutajatoe töötajate ja süsteemide omanikega. Paluge neil töövoog läbi teha, mitte lihtsalt sõnastus heaks kiita.

Kinnitage, et tööriistad, aeg, pädevus, õigused ja tugi on olemas. Kui aegumist ei saa automatiseerida, otsustage, kas plaaniline käsitsi eemaldamise ülesanne on piisav. Vastasel juhul muutke rakenduskava enne meetme toimivaks kuulutamist.

Määratlege erandiprotsess, milles on heakskiitja, põhjendus, mõjutatud ulatus, kaitsemeetmed, aegumine ja ülevaatus. Hoidke erandid riskijuhtimisele nähtavana, ilma et tundlikke üksikasju tarbetult levitataks. Korduvad erandid võivad viidata sobimatule reeglile või puuduvale võimekusele, mitte ainult töötajate mittejärgimisele.

Muutke kasutuselevõtt elluviimise osaks

Avaldage poliitikad seal, kus töötajad leiavad need töö käigus, mitte ainult auditikaustas. Lisage poliitikate lingid asjakohastesse taotlusvormidesse ja sisseelamismaterjalidesse. Selgitage, mis muutus ja kes peab tegutsema.

Kasutage lühikest stsenaariumipõhist juhendamist: paluge saatjal seadistada väline jagamine või küsige töötajalt, kuidas ta teataks kadunud sülearvutist. Pakkuge teatamisteed, mida saab kasutada ka ilma kadunud seadmeta. Teadmiseks võtmise kirjed näitavad teavitamist; need ei tõenda, et keegi suudab protsessi täita.

Siduge nõuded tegevustõenditega

ISO/IEC 27001 käsitleb kindlaksmääratud ulatusega infoturbe juhtimissüsteemi. Vastendage poliitikad kohaldatavate nõuete ja riskikäsitluse otsustega selle ulatuse piires, selle asemel et importida iga malli kohustuslikuna. Hoidke need vastendused töötajatele mõeldud juhistest eraldi.

Tehke iga olulise reegli puhul kindlaks selle omanik, toetav meede, tõendid ja ülevaatusmeetod. Failide jagamise puhul kontrollige valimit tegelikest jagamistest volituste, vastuvõtjapiirangute ja juurdepääsupiirangute osas. Praktilise soovitusena kombineerige konfiguratsioonitõendid tehingukirjetega: ainult turvaliste vaikeseadete ekraanipilt ei tõenda, et iga jagamine järgis protsessi.

Hoidke poliitikad muutuvate süsteemidega kooskõlas

Säilitage omanik, heakskiitmisvolitus, versioon, jõustumise kuupäev, teavitamise kirje ja ülevaatuse ajalugu. Vaadake üle plaanitud intervalliga ning siis, kui asjakohased süsteemid, intsidendid, lepingud või kohustused muutuvad.

Tehisintellekt võib aidata koostada mustandeid heakskiidetud nõuete ja olemasolevate protseduuride põhjal. Vaadake enne avaldamist üle iga väide praeguse rakenduse kohta.

Siduge Secanis poliitika lähtematerjal nõuete, meetmete, omanike ja tõenditega; muutke puudujäägid ülesanneteks ja säilitage üle vaadatud otsused. Inimese ülevaatus jääb selgesõnaliseks, aidates hoida poliitikat seotuna tegeliku rakendusega.

Alustage ühest sagedasest töövoost. Testige seda selle kasutajatega, lahendage puuduvad võimekused ja koguge tegevustõendeid enne poliitikakogumi laiendamist.