Megvalósítható biztonsági szabályzatok

Egy biztonsági szabályzatnak abban kell segítenie, hogy valaki egy valós helyzetben eldöntse, mit tegyen. Értéke az egyértelmű szabályoktól, a rendelkezésre álló kontrolloktól és a követésük gyakorlati módjától függ. Egy olyan dokumentum, amely olyan kontrollokat ígér, amelyeket a rendszerei nem tudnak kikényszeríteni, zavart okoz a munkavállalóknak, és megbízhatatlan bizonyítékot ad az ellenőröknek.

Egy technológiai igazgató számára a szabályzatalkotás ezért megvalósítási feladat: meg kell határozni az elvárt viselkedést, ellenőrizni kell a műszaki függőségeket, ki kell jelölni a felelőst, és tesztelni kell, hogy a szabály működik-e a gyakorlatban.

Induljon ki abból a döntésből, amelyet az embereknek meg kell hozniuk

Válasszon ki egy konkrét tevékenységet, például a külső fájlmegosztást, az éles hozzáférés megadását vagy egy elveszett eszköz bejelentését. Azonosítsa az érintett információkat, rendszereket, személyeket és tevékenységeket, adott esetben az alvállalkozókat és a külső szolgáltatókat is.

Az olyan homályos megfogalmazásokat, mint „az információkat biztonságosan kell megosztani”, cserélje le olyan követelményekre, amelyeket valaki alkalmazni tud. A külső megosztáshoz határozza meg a megengedett információs osztályokat, a jóváhagyott csatornákat, az engedélyezést, a címzettek hozzáférését és a kivételeket. Röviden indokolja is: a megnevezett címzettekre korlátozott hozzáférés csökkenti a véletlen kiszivárgást, és lehetővé teszi a hozzáférés visszavonását.

Tartson külön három szintet:

Kapcsolja a szabályzatot ahhoz az eljáráshoz, amelyet a munkatársak ténylegesen használnak. Így nem kell a szabályzatot minden alkalommal átírni, amikor egy eszköz felülete megváltozik.

A jóváhagyás előtt dolgozzon végig egy valószerű példát

Szemléltető feltételezések: egy projektcsapat bizalmas tervezési fájlokat oszt meg egy külső tanácsadóval. Együttműködési platformja támogatja a megnevezett címzetteket és a hozzáférés lejáratát, de az osztályba sorolás kézi.

Egy megvalósítható szabály előírhatja, hogy a projektgazda engedélyezze a közlést, a küldő a jóváhagyott platformot használja, a hozzáférés pedig a megbízás végén lejárjon. Ennél az információs osztálynál nyilvános hivatkozások nem lennének megengedettek.

Vezesse végig a tervezetet a tényleges munkafolyamaton:

• A küldő az osztályozási útmutató alapján azonosítja a fájl besorolását.
• A projektgazda megerősíti, hogy a tanácsadónak szüksége van az információra.
• A küldő hozzáférést ad a tanácsadó ellenőrzött fiókjának, és beállítja az egyeztetett lejáratot.
• A jóváhagyási nyilvántartás azonosítja a fájlt, a címzettet, a célt és a befejezés dátumát.
• A rendszer gazdája ellenőrzi, hogy a hozzáférés a megbízás végén lejár vagy visszavonásra kerül.

A bizonyíték az engedélyezés, a megosztási konfiguráció és a hozzáférés visszavonásáról szóló nyilvántartás. Ha a tanácsadó nem tud hitelesítést végezni, a megoldás nem egy informális nyilvános hivatkozás: alkalmazza a kivételkezelési folyamatot vagy egy másik jóváhagyott kézbesítési módot.

Ellenőrizze, hogy a szervezet képes-e megfelelni

Vizsgálja át a tervezetet azokkal, akiktől a megvalósítást várják, beleértve az ügyfélszolgálati munkatársakat és a rendszergazdákat. Kérje meg őket, hogy végezzék el a munkafolyamatot, ne csupán a megfogalmazást hagyják jóvá.

Ellenőrizze, hogy rendelkezésre állnak-e az eszközök, az idő, a kompetencia, a jogosultságok és a támogatás. Ha a lejárat nem automatizálható, döntse el, hogy elegendő-e egy ütemezett kézi visszavonási feladat. Ellenkező esetben módosítsa a megvalósítási tervet, mielőtt a kontrollt működőnek nyilvánítaná.

Határozzon meg kivételkezelési folyamatot jóváhagyóval, indoklással, érintett hatókörrel, védőintézkedésekkel, lejárattal és felülvizsgálattal. A kivételeket tartsa láthatóan a kockázatkezelés számára anélkül, hogy szükségtelenül terjesztené az érzékeny részleteket. Az ismétlődő kivételek alkalmatlan szabályra vagy hiányzó képességre utalhatnak, nem csupán a munkavállalók szabályszegésére.

Tegye a bevezetést a megvalósítás részévé

A szabályzatokat ott tegye közzé, ahol a munkavállalók munka közben megtalálják őket, ne csak egy auditmappában. Helyezzen el hivatkozásokat a szabályzatokra a releváns kérelemlapokon és a beléptetési anyagokban. Magyarázza el, mi változott, és kinek kell cselekednie.

Használjon rövid, forgatókönyv-alapú oktatást: kérje meg a küldőt, hogy állítson be egy külső megosztást, vagy kérdezze meg a munkavállalót, hogyan jelentené be egy laptop elvesztését. Biztosítson olyan bejelentési utat, amelyet a hiányzó eszköz nélkül is használni tudnak. A tudomásulvételi nyilvántartások a kommunikációt mutatják; nem bizonyítják, hogy valaki képes végrehajtani a folyamatot.

Kapcsolja össze a követelményeket az operatív bizonyítékokkal

Az ISO/IEC 27001 egy meghatározott alkalmazási területű információbiztonsági irányítási rendszerre vonatkozik. A szabályzatokat ezen a hatókörön belül az alkalmazandó követelményekhez és kockázatkezelési döntésekhez rendelje, ahelyett hogy minden sablont kötelezőként importálna. Ezeket az összerendeléseket a munkavállalóknak szóló utasításoktól elkülönítve tartsa karban.

Minden fontos szabálynál azonosítsa a gazdát, a támogató kontrollt, a bizonyítékot és a felülvizsgálati módszert. A fájlmegosztásnál vizsgáljon meg egy mintát a valós megosztásokból az engedélyezés, a címzettekre vonatkozó korlátozások és a hozzáférési korlátok szempontjából. Gyakorlati ajánlásként kombinálja a konfigurációs bizonyítékokat a tranzakciós nyilvántartásokkal: a biztonságos alapbeállításokról készült képernyőkép önmagában nem bizonyítja, hogy minden megosztás követte a folyamatot.

Tartsa összhangban a szabályzatokat a változó rendszerekkel

Őrizze meg a gazdát, a jóváhagyási jogkört, a verziót, a hatálybalépés dátumát, a kommunikációról szóló nyilvántartást és a felülvizsgálati előzményeket. Tervezett időközönként vizsgálja felül, valamint akkor, amikor a releváns rendszerek, incidensek, szerződések vagy kötelezettségek változnak.

A mesterséges intelligencia segíthet a jóváhagyott követelmények és a meglévő eljárások alapján történő szövegezésben. A közzététel előtt vizsgáljon át minden, a jelenlegi megvalósításra vonatkozó állítást.

A Secaniban kapcsolja össze a szabályzatok forrásanyagait a követelményekkel, a kontrollokkal, a gazdákkal és a bizonyítékokkal; a hiányosságokból hozzon létre feladatokat, és őrizze meg az átvizsgált döntéseket. Az emberi átvizsgálás kifejezett marad, ami segít abban, hogy a szabályzat a tényleges megvalósításhoz kapcsolódva maradjon.

Kezdje egy gyakran használt munkafolyamattal. Tesztelje a felhasználóival, pótolja a hiányzó képességeket, és gyűjtsön operatív bizonyítékokat, mielőtt kibővítené a szabályzatkészletet.