Tietoturvapolitiikat, joita ihmiset pystyvät toteuttamaan

Tietoturvapolitiikan tulee auttaa ihmistä päättämään, mitä tehdä todellisessa tilanteessa. Sen arvo riippuu selkeistä säännöistä, käytettävissä olevista hallintakeinoista ja käytännöllisestä tavasta noudattaa niitä. Asiakirja, joka lupaa hallintakeinoja, joita järjestelmänne eivät pysty toteuttamaan, aiheuttaa hämmennystä työntekijöille ja epäluotettavaa näyttöä tarkastajille.

Teknologiajohtajalle (CTO) politiikkojen laatiminen on siksi toteutusharjoitus: määritä vaadittu toiminta, tarkista tekniset riippuvuudet, osoita vastuut ja testaa, toimiiko sääntö käytännössä.

Aloita päätöksestä, joka ihmisten on tehtävä

Valitse konkreettinen toiminto, kuten tiedostojen jakaminen ulkopuolisille, tuotantoympäristön käyttöoikeuksien myöntäminen tai kadonneesta laitteesta ilmoittaminen. Yksilöi katetut tiedot, järjestelmät, ihmiset ja toiminnot, tarvittaessa myös alihankkijat ja ulkoiset palveluntarjoajat.

Korvaa epämääräiset muotoilut, kuten ”jaa tietoja turvallisesti”, vaatimuksilla, joita ihminen pystyy soveltamaan. Ulkoisen jakamisen osalta määritä sallitut tietoluokat, hyväksytyt kanavat, valtuutus, vastaanottajan pääsy ja poikkeukset. Selitä perustelu lyhyesti: nimetyille vastaanottajille rajattu pääsy vähentää vahingossa tapahtuvaa paljastumista ja mahdollistaa käyttöoikeuden poistamisen.

Pidä kolme tasoa erillään:

Yhdistä politiikka menettelyyn, jota henkilöstö todella käyttää. Näin politiikkaa ei tarvitse kirjoittaa uudelleen aina, kun työkalun käyttöliittymä muuttuu.

Käy läpi realistinen esimerkki ennen hyväksyntää

Kuvitteelliset oletukset: projektitiimi jakaa luottamuksellisia suunnittelutiedostoja ulkopuoliselle konsultille. Sen yhteistyöalusta tukee nimettyjä vastaanottajia ja käyttöoikeuden päättymisaikaa, mutta luokittelu tehdään manuaalisesti.

Toteutettavissa oleva sääntö voisi edellyttää, että projektin omistaja valtuuttaa tietojen luovuttamisen, lähettäjä käyttää hyväksyttyä alustaa ja pääsy päättyy toimeksiannon lopussa. Julkiset linkit eivät olisi sallittuja tälle tietoluokalle.

Käy luonnos läpi todellisen työnkulun avulla:

• Lähettäjä määrittää tiedoston luokituksen luokitteluohjeen avulla.
• Projektin omistaja vahvistaa, että konsultti tarvitsee tiedot.
• Lähettäjä myöntää pääsyn konsultin varmennetulle tilille ja asettaa sovitun päättymisajan.
• Hyväksyntäkirjauksesta käyvät ilmi tiedosto, vastaanottaja, tarkoitus ja päättymispäivä.
• Järjestelmän omistaja tarkistaa, että pääsy päättyy tai poistetaan toimeksiannon päättyessä.

Näyttönä olisivat valtuutus, jakamisen konfiguraatio ja käyttöoikeuden poistokirjaus. Jos konsultti ei pysty tunnistautumaan, ratkaisu ei ole epävirallinen julkinen linkki: käytä poikkeusprosessia tai muuta hyväksyttyä toimitustapaa.

Tarkista, pystyykö organisaatio noudattamaan politiikkaa

Käy luonnos läpi niiden ihmisten kanssa, joiden odotetaan toteuttavan sitä, mukaan lukien palvelupisteen henkilöstö ja järjestelmien omistajat. Pyydä heitä suorittamaan työnkulku sen sijaan, että he vain hyväksyisivät sanamuodon.

Varmista, että työkalut, aika, osaaminen, käyttöoikeudet ja tuki ovat olemassa. Jos päättymistä ei voida automatisoida, päätä, riittääkö ajastettu manuaalinen poistotehtävä. Muussa tapauksessa muuta toteutussuunnitelmaa ennen kuin julistat hallintakeinon toiminnassa olevaksi.

Määritä poikkeusprosessi, jossa on hyväksyjä, perustelu, kyseessä oleva laajuus, suojatoimet, päättymisaika ja katselmointi. Pidä poikkeukset näkyvinä riskienhallinnalle levittämättä arkaluonteisia yksityiskohtia tarpeettomasti. Toistuvat poikkeukset voivat viitata sopimattomaan sääntöön tai puuttuvaan kyvykkyyteen, eivät pelkästään siihen, että työntekijät eivät noudata sääntöjä.

Tee käyttöönotosta osa toimitusta

Julkaise politiikat paikassa, josta työntekijät löytävät ne työnsä aikana, ei pelkästään auditointikansiossa. Lisää politiikkalinkit asiaankuuluviin pyyntölomakkeisiin ja perehdytysmateriaaleihin. Selitä, mikä muuttui ja kenen on toimittava.

Käytä lyhyttä skenaariopohjaista ohjeistusta: pyydä lähettäjää määrittämään ulkoinen jakaminen tai kysy työntekijältä, miten hän ilmoittaisi kadonneesta kannettavasta tietokoneesta. Tarjoa ilmoitusreitti, jota hän voi käyttää ilman kadonnutta laitetta. Kuittauskirjaukset osoittavat viestinnän; ne eivät osoita, että joku pystyy toteuttamaan prosessin.

Yhdistä vaatimukset operatiiviseen näyttöön

ISO/IEC 27001 koskee rajattua tietoturvallisuuden hallintajärjestelmää (ISMS). Yhdistä politiikat sovellettaviin vaatimuksiin ja riskien käsittelypäätöksiin tämän soveltamisalan sisällä sen sijaan, että toisit jokaisen mallipohjan pakollisena. Ylläpidä näitä vastaavuuksia erillään työntekijöille suunnatuista ohjeista.

Yksilöi jokaisen tärkeän säännön omistaja, sitä tukeva hallintakeino, näyttö ja katselmointitapa. Tiedostojen jakamisen osalta tarkasta otos todellisista jakamisista valtuutuksen, vastaanottajarajoitusten ja käyttöoikeusrajojen osalta. Käytännön suosituksena yhdistä konfiguraationäyttö tapahtumakirjauksiin: pelkkä kuvakaappaus turvallisista oletusasetuksista ei todista, että jokainen jakaminen noudatti prosessia.

Pidä politiikat linjassa muuttuvien järjestelmien kanssa

Säilytä omistaja, hyväksymisvaltuus, versio, voimaantulopäivä, viestintäkirjaus ja katselmointihistoria. Katselmoi suunnitelluin väliajoin ja silloin, kun asiaankuuluvat järjestelmät, poikkeamat, sopimukset tai velvoitteet muuttuvat.

Tekoäly voi auttaa luonnostelemaan hyväksyttyjen vaatimusten ja olemassa olevien menettelyjen pohjalta. Tarkasta jokainen nykyistä toteutusta koskeva väite ennen julkaisua.

Yhdistä Secanissa politiikkojen lähdeaineisto vaatimuksiin, hallintakeinoihin, omistajiin ja näyttöön; muuta puutteet tehtäviksi ja säilytä tarkastetut päätökset. Ihmisen tekemä tarkastus pysyy näkyvänä, mikä auttaa pitämään politiikan kytkettynä todelliseen toteutukseen.

Aloita yhdestä usein toistuvasta työnkulusta. Testaa se sen käyttäjien kanssa, ratkaise puuttuvat kyvykkyydet ja kerää operatiivista näyttöä ennen kuin laajennat politiikkakokonaisuutta.