Saugumo politika, kurią žmonės gali įgyvendinti

Saugumo politika turėtų padėti žmogui nuspręsti, ką daryti realioje situacijoje. Jos vertė priklauso nuo aiškių taisyklių, prieinamų kontrolės priemonių ir praktinio būdo jų laikytis. Dokumentas, žadantis kontrolės priemones, kurių jūsų sistemos negali užtikrinti, klaidina darbuotojus ir suteikia peržiūrėtojams nepatikimų įrodymų.

Todėl technologijų vadovui politikos rengimas yra įgyvendinimo užduotis: apibrėžti reikalaujamą elgseną, patikrinti technines priklausomybes, paskirti atsakomybę ir išbandyti, ar taisyklė veikia praktikoje.

Pradėkite nuo sprendimo, kurį žmonės turi priimti

Pasirinkite konkrečią veiklą, pavyzdžiui, failų bendrinimą su išorės šalimis, prieigos prie gamybinės aplinkos suteikimą ar pranešimą apie pamestą įrenginį. Nustatykite apimamą informaciją, sistemas, žmones ir veiklas, įskaitant, kai aktualu, rangovus ir išorės paslaugų teikėjus.

Miglotas formuluotes, pavyzdžiui, „saugiai dalykitės informacija“, pakeiskite reikalavimais, kuriuos žmogus gali pritaikyti. Išoriniam bendrinimui nurodykite leidžiamas informacijos klases, patvirtintus kanalus, įgaliojimą, gavėjo prieigą ir išimtis. Trumpai paaiškinkite priežastį: prieiga, suteikiama tik įvardytiems gavėjams, sumažina atsitiktinio atskleidimo riziką ir leidžia panaikinti prieigą.

Atskirkite tris lygmenis:

Susiekite politiką su procedūra, kurią darbuotojai iš tikrųjų naudoja. Taip nereikės perrašyti politikos kaskart pasikeitus įrankio sąsajai.

Prieš tvirtindami išbandykite realistišką pavyzdį

Iliustracinės prielaidos: projekto komanda dalijasi konfidencialiais projektiniais failais su išorės konsultantu. Jos bendradarbiavimo platforma palaiko įvardytus gavėjus ir prieigos galiojimo pabaigą, tačiau klasifikavimas atliekamas rankiniu būdu.

Įgyvendinama taisyklė galėtų reikalauti, kad projekto savininkas įgaliotų atskleidimą, siuntėjas naudotų patvirtintą platformą, o prieiga baigtųsi pasibaigus užsakymui. Šiai informacijos klasei viešos nuorodos nebūtų leidžiamos.

Juodraštį išbandykite per faktinę darbo eigą:

• Siuntėjas pagal klasifikavimo vadovą nustato failo klasifikaciją.
• Projekto savininkas patvirtina, kad konsultantui reikia šios informacijos.
• Siuntėjas suteikia prieigą patikrintai konsultanto paskyrai ir nustato sutartą galiojimo pabaigą.
• Patvirtinimo įraše nurodomas failas, gavėjas, paskirtis ir pabaigos data.
• Sistemos savininkas patikrina, ar pasibaigus užsakymui prieiga baigia galioti arba yra panaikinama.

Įrodymai apimtų įgaliojimą, bendrinimo konfigūraciją ir prieigos panaikinimo įrašą. Jei konsultantas negali autentifikuotis, sprendimas nėra neformali vieša nuoroda: naudokite išimčių procesą ar kitą patvirtintą pateikimo būdą.

Patikrinkite, ar organizacija gali laikytis politikos

Juodraštį peržiūrėkite su žmonėmis, kurie turės jį įgyvendinti, įskaitant pagalbos tarnybos darbuotojus ir sistemų savininkus. Paprašykite jų atlikti darbo eigą, o ne tiesiog patvirtinti formuluotę.

Įsitikinkite, kad yra įrankių, laiko, kompetencijos, teisių ir pagalbos. Jei galiojimo pabaigos negalima automatizuoti, nuspręskite, ar pakanka suplanuotos rankinio panaikinimo užduoties. Priešingu atveju pakeiskite įgyvendinimo planą prieš skelbdami, kad kontrolės priemonė veikia.

Apibrėžkite išimčių procesą su tvirtintoju, pagrindimu, paveikta apimtimi, apsaugos priemonėmis, galiojimo pabaiga ir peržiūra. Išimtys turi būti matomos rizikos valdymui, be reikalo neplatinant jautrios informacijos. Pasikartojančios išimtys gali rodyti netinkamą taisyklę ar trūkstamą pajėgumą, o ne vien darbuotojų taisyklių nesilaikymą.

Įdiegimą paverskite įgyvendinimo dalimi

Skelbkite politiką ten, kur darbuotojai gali ją rasti dirbdami, o ne tik audito aplanke. Įtraukite politikos nuorodas į susijusias prašymų formas ir įvedimo į darbą medžiagą. Paaiškinkite, kas pasikeitė ir kas turi imtis veiksmų.

Naudokite trumpus scenarijais grįstus mokymus: paprašykite siuntėjo nustatyti išorinį bendrinimą arba paklauskite darbuotojo, kaip jis praneštų apie dingusį nešiojamąjį kompiuterį. Numatykite pranešimo kelią, kuriuo galima naudotis be dingusio įrenginio. Susipažinimo įrašai rodo, kad informacija buvo perduota; jie neįrodo, kad asmuo gali įvykdyti procesą.

Susiekite reikalavimus su veiklos įrodymais

ISO/IEC 27001 susijęs su apibrėžtos taikymo srities informacijos saugumo valdymo sistema. Susiekite politiką su toje taikymo srityje taikomais reikalavimais ir sprendimais dėl rizikos tvarkymo, o ne perimkite kiekvieną šabloną kaip privalomą. Šiuos susiejimus tvarkykite atskirai nuo darbuotojams skirtų nurodymų.

Kiekvienai svarbiai taisyklei nustatykite atsakingą asmenį, pagrindžiančią kontrolės priemonę, įrodymus ir peržiūros metodą. Failų bendrinimo atveju patikrinkite tikrų bendrinimų imtį: įgaliojimą, gavėjų apribojimus ir prieigos ribas. Praktiškai rekomenduojama konfigūracijos įrodymus derinti su operacijų įrašais: vien saugių numatytųjų nustatymų ekrano nuotrauka neįrodo, kad kiekvienas bendrinimas atliktas pagal procesą.

Išlaikykite politiką suderintą su besikeičiančiomis sistemomis

Išsaugokite atsakingą asmenį, tvirtinimo įgaliojimus, versiją, įsigaliojimo datą, informavimo įrašą ir peržiūrų istoriją. Peržiūrėkite suplanuotu intervalu ir kai pasikeičia susijusios sistemos, įvyksta incidentai, keičiasi sutartys ar prievolės.

DI gali padėti parengti juodraštį remiantis patvirtintais reikalavimais ir esamomis procedūromis. Prieš skelbdami peržiūrėkite kiekvieną teiginį apie dabartinį įgyvendinimą.

Secani platformoje susiekite politikos šaltinio medžiagą su reikalavimais, kontrolės priemonėmis, atsakingais asmenimis ir įrodymais; spragas paverskite užduotimis ir išsaugokite peržiūrėtus sprendimus. Žmogaus peržiūra išlieka aiški ir padeda politikai išlikti susietai su faktiniu įgyvendinimu.

Pradėkite nuo vienos dažnai naudojamos darbo eigos. Išbandykite ją su jos naudotojais, išspręskite trūkstamų pajėgumų klausimus ir surinkite veiklos įrodymus prieš plėsdami politikos rinkinį.