Politiche di sicurezza che le persone possono attuare

Una politica di sicurezza dovrebbe aiutare qualcuno a decidere che cosa fare in una situazione reale. Il suo valore dipende da regole chiare, controlli disponibili e un modo pratico per seguirle. Un documento che promette controlli che i vostri sistemi non possono applicare crea confusione nei dipendenti ed evidenze inaffidabili per i revisori.

Per un CTO, lo sviluppo delle politiche è quindi un esercizio di attuazione: definire il comportamento richiesto, verificare le dipendenze tecniche, assegnare le responsabilità e verificare se la regola funziona nella pratica.

Partire dalla decisione che le persone devono prendere

Scegliete un'attività concreta, come la condivisione di file con l'esterno, la concessione di accessi alla produzione o la segnalazione di un dispositivo smarrito. Individuate le informazioni, i sistemi, le persone e le attività coperti, compresi, ove pertinente, collaboratori esterni e fornitori.

Sostituite formulazioni vaghe come «condividere le informazioni in modo sicuro» con requisiti che qualcuno possa applicare. Per la condivisione esterna, specificate le classi di informazioni consentite, i canali approvati, l'autorizzazione, l'accesso dei destinatari e le eccezioni. Spiegate brevemente il motivo: l'accesso riservato a destinatari nominativi riduce le divulgazioni accidentali e rende possibile la rimozione degli accessi.

Mantenete distinti tre livelli:

Collegate la politica alla procedura che il personale utilizza effettivamente. Così eviterete di riscrivere la politica ogni volta che cambia l'interfaccia di uno strumento.

Provare un esempio realistico prima dell'approvazione

Ipotesi illustrative: un team di progetto condivide file di progettazione riservati con un consulente esterno. La sua piattaforma di collaborazione supporta destinatari nominativi e scadenza degli accessi, ma la classificazione è manuale.

Una regola attuabile potrebbe prevedere che il responsabile del progetto autorizzi la comunicazione, che il mittente utilizzi la piattaforma approvata e che l'accesso scada al termine dell'incarico. Per questa classe di informazioni non sarebbero consentiti link pubblici.

Applicate la bozza al flusso di lavoro effettivo:

• Il mittente individua la classificazione del file utilizzando la guida alla classificazione.
• Il responsabile del progetto conferma che il consulente ha bisogno delle informazioni.
• Il mittente concede l'accesso all'account verificato del consulente e imposta la scadenza concordata.
• La registrazione dell'approvazione indica file, destinatario, finalità e data di fine.
• Il responsabile del sistema verifica che l'accesso scada o venga rimosso al termine dell'incarico.

Le evidenze comprenderebbero l'autorizzazione, la configurazione della condivisione e la registrazione della rimozione dell'accesso. Se il consulente non riesce ad autenticarsi, la soluzione non è un link pubblico informale: utilizzate il processo di gestione delle eccezioni o un altro metodo di consegna approvato.

Verificare se l'organizzazione è in grado di conformarsi

Esaminate la bozza con le persone che dovranno attuarla, compresi il personale del service desk e i responsabili dei sistemi. Chiedete loro di completare il flusso di lavoro, non semplicemente di approvarne il testo.

Verificate che esistano strumenti, tempo, competenze, autorizzazioni e supporto. Se la scadenza non può essere automatizzata, decidete se un'attività di rimozione manuale programmata sia adeguata. Altrimenti, modificate il piano di attuazione prima di dichiarare operativo il controllo.

Definite un processo di gestione delle eccezioni con chi approva, motivazione, ambito interessato, misure di protezione, scadenza e riesame. Mantenete le eccezioni visibili alla gestione dei rischi senza diffondere inutilmente dettagli sensibili. Eccezioni ripetute possono indicare una regola inadatta o una capacità mancante, non semplicemente il mancato rispetto da parte dei dipendenti.

Rendere l'adozione parte dell'attuazione

Pubblicate le politiche dove i dipendenti possono trovarle mentre lavorano, non soltanto in una cartella per gli audit. Inserite i link alle politiche nei moduli di richiesta pertinenti e nei materiali di onboarding. Spiegate che cosa è cambiato e chi deve agire.

Utilizzate brevi istruzioni basate su scenari: chiedete a un mittente di configurare una condivisione esterna o a un dipendente come segnalerebbe un portatile smarrito. Offrite un canale di segnalazione utilizzabile anche senza il dispositivo smarrito. Le registrazioni di presa visione dimostrano la comunicazione; non dimostrano che qualcuno sia in grado di eseguire il processo.

Collegare i requisiti alle evidenze operative

La ISO/IEC 27001 riguarda un sistema di gestione per la sicurezza delle informazioni con un campo di applicazione definito. Mappate le politiche sui requisiti applicabili e sulle decisioni di trattamento del rischio all'interno di quel campo di applicazione, invece di importare ogni modello come obbligatorio. Mantenete queste mappature separate dalle istruzioni destinate ai dipendenti.

Per ogni regola importante, individuate il responsabile, il controllo di supporto, le evidenze e il metodo di riesame. Per la condivisione di file, esaminate un campione di condivisioni reali per verificare autorizzazione, restrizioni sui destinatari e limiti di accesso. Come raccomandazione pratica, combinate evidenze di configurazione con registrazioni delle transazioni: uno screenshot delle impostazioni predefinite sicure non dimostra, da solo, che ogni condivisione abbia seguito il processo.

Mantenere le politiche allineate ai sistemi in evoluzione

Conservate il responsabile, l'autorità di approvazione, la versione, la data di entrata in vigore, la registrazione della comunicazione e la cronologia dei riesami. Riesaminate le politiche a intervalli pianificati e quando cambiano sistemi, incidenti, contratti od obblighi pertinenti.

L'IA può aiutare a redigere bozze a partire da requisiti approvati e procedure esistenti. Prima della pubblicazione, verificate ogni affermazione sull'attuazione attuale.

In Secani, collegate il materiale di origine delle politiche a requisiti, controlli, responsabili ed evidenze; trasformate le lacune in attività e conservate le decisioni revisionate. La revisione umana resta esplicita e aiuta la politica a rimanere legata all'attuazione effettiva.

Iniziate da un flusso di lavoro ad alta frequenza. Testatelo con i suoi utenti, risolvete le capacità mancanti e raccogliete evidenze operative prima di ampliare l'insieme delle politiche.