Sigurnosne politike koje ljudi mogu provesti

Sigurnosna politika trebala bi pomoći osobi da odluči što učiniti u stvarnoj situaciji. Njezina vrijednost ovisi o jasnim pravilima, dostupnim kontrolama i praktičnom načinu da ih se slijedi. Dokument koji obećava kontrole koje vaši sustavi ne mogu provesti stvara zbunjenost kod zaposlenika i nepouzdane dokaze za recenzente.

Za tehničkog direktora izrada politika stoga je vježba provedbe: definirajte zahtijevano ponašanje, provjerite tehničke ovisnosti, dodijelite odgovornost i testirajte funkcionira li pravilo u praksi.

Počnite od odluke koju ljudi trebaju donijeti

Odaberite konkretnu aktivnost, primjerice vanjsko dijeljenje datoteka, dodjeljivanje produkcijskog pristupa ili prijavu izgubljenog uređaja. Utvrdite obuhvaćene informacije, sustave, osobe i aktivnosti, uključujući vanjske suradnike i vanjske pružatelje ondje gdje je to relevantno.

Zamijenite nejasne formulacije poput „dijelite informacije sigurno“ zahtjevima koje netko može primijeniti. Za vanjsko dijeljenje navedite dopuštene razrede informacija, odobrene kanale, ovlaštenje, pristup primatelja i iznimke. Ukratko objasnite razlog: pristup za imenovane primatelje smanjuje slučajno otkrivanje i omogućuje uklanjanje pristupa.

Držite tri razine odvojenima:

Povežite politiku s postupkom koji zaposlenici stvarno koriste. Tako se izbjegava ponovno pisanje politike svaki put kada se promijeni sučelje alata.

Prođite kroz realan primjer prije odobrenja

Ilustrativne pretpostavke: projektni tim dijeli povjerljive projektne datoteke s vanjskim konzultantom. Njegova platforma za suradnju podržava imenovane primatelje i istek pristupa, ali klasifikacija se provodi ručno.

Provedivo pravilo moglo bi zahtijevati da voditelj projekta odobri otkrivanje, da pošiljatelj koristi odobrenu platformu i da pristup istekne na kraju angažmana. Javne poveznice ne bi bile dopuštene za taj razred informacija.

Provedite nacrt kroz stvarni tijek rada:

• Pošiljatelj utvrđuje klasifikaciju datoteke pomoću vodiča za klasifikaciju.
• Voditelj projekta potvrđuje da konzultant treba te informacije.
• Pošiljatelj dodjeljuje pristup provjerenom računu konzultanta i postavlja dogovoreni istek.
• Zapis o odobrenju navodi datoteku, primatelja, svrhu i datum završetka.
• Vlasnik sustava provjerava da pristup istječe ili se uklanja po završetku angažmana.

Dokazi bi uključivali odobrenje, konfiguraciju dijeljenja i zapis o uklanjanju pristupa. Ako se konzultant ne može autentificirati, rješenje nije neformalna javna poveznica: upotrijebite proces za iznimke ili drugi odobreni način dostave.

Provjerite može li organizacija ispuniti pravilo

Pregledajte nacrt s osobama od kojih se očekuje da ga provedu, uključujući osoblje službe za korisnike i vlasnike sustava. Zamolite ih da prođu kroz tijek rada umjesto da samo odobre tekst.

Potvrdite da postoje alati, vrijeme, kompetencije, ovlasti i podrška. Ako se istek ne može automatizirati, odlučite je li zakazani zadatak ručnog uklanjanja primjeren. U protivnom promijenite plan provedbe prije nego što kontrolu proglasite operativnom.

Definirajte proces za iznimke s osobom koja odobrava, obrazloženjem, pogođenim opsegom, zaštitnim mjerama, istekom i pregledom. Neka iznimke budu vidljive upravljanju rizicima, a da se osjetljive pojedinosti ne šire bez potrebe. Ponovljene iznimke mogu upućivati na neprikladno pravilo ili nedostajuću sposobnost, a ne samo na nepridržavanje zaposlenika.

Neka usvajanje bude dio isporuke

Objavite politike ondje gdje ih zaposlenici mogu pronaći tijekom rada, a ne samo u mapi za audit. Uključite poveznice na politike u relevantne obrasce zahtjeva i materijale za uvođenje novih zaposlenika. Objasnite što se promijenilo i tko mora djelovati.

Koristite kratke upute temeljene na scenarijima: zamolite pošiljatelja da konfigurira vanjsko dijeljenje ili pitajte zaposlenika kako bi prijavio nestalo prijenosno računalo. Osigurajte put za prijavu koji mogu koristiti bez nestalog uređaja. Zapisi o potvrdi primitka pokazuju komunikaciju; ne dokazuju da netko može provesti proces.

Povežite zahtjeve s operativnim dokazima

ISO/IEC 27001 odnosi se na sustav upravljanja informacijskom sigurnošću s definiranim opsegom. Mapirajte politike na primjenjive zahtjeve i odluke o postupanju s rizicima unutar tog opsega umjesto da svaki predložak uvezete kao obvezan. Održavajte ta mapiranja odvojeno od uputa namijenjenih zaposlenicima.

Za svako važno pravilo utvrdite odgovornu osobu, kontrolu koja ga podupire, dokaze i metodu pregleda. Za dijeljenje datoteka pregledajte uzorak stvarnih dijeljenja s obzirom na odobrenje, ograničenja primatelja i ograničenja pristupa. Kao praktičnu preporuku, kombinirajte dokaze o konfiguraciji sa zapisima o transakcijama: sama snimka zaslona sigurnih zadanih postavki ne dokazuje da je svako dijeljenje slijedilo proces.

Održavajte politike usklađenima sa sustavima koji se mijenjaju

Čuvajte podatke o odgovornoj osobi, tijelu nadležnom za odobravanje, verziji, datumu stupanja na snagu, zapisu o komunikaciji i povijesti pregleda. Pregledavajte u planiranom intervalu i kada se promijene relevantni sustavi, incidenti, ugovori ili obveze.

Umjetna inteligencija može pomoći u izradi nacrta na temelju odobrenih zahtjeva i postojećih postupaka. Prije objave pregledajte svaku tvrdnju o trenutačnoj provedbi.

U Secaniju povežite izvorne materijale politika sa zahtjevima, kontrolama, odgovornim osobama i dokazima; pretvorite nedostatke u zadatke i sačuvajte pregledane odluke. Ljudski pregled ostaje izričit, što pomaže da politika ostane vezana uz stvarnu provedbu.

Počnite s jednim tijekom rada koji se često koristi. Testirajte ga s njegovim korisnicima, riješite nedostajuće sposobnosti i prikupite operativne dokaze prije proširenja skupa politika.