Polityki bezpieczeństwa, które da się wdrożyć

Polityka bezpieczeństwa powinna pomagać zdecydować, co zrobić w rzeczywistej sytuacji. Jej wartość zależy od jasnych zasad, dostępnych zabezpieczeń i praktycznego sposobu ich przestrzegania. Dokument, który obiecuje zabezpieczenia niemożliwe do wyegzekwowania w Twoich systemach, wprowadza w błąd pracowników i dostarcza niewiarygodnych dowodów osobom weryfikującym.

Dla CTO opracowywanie polityk jest więc zadaniem wdrożeniowym: trzeba określić wymagane zachowanie, sprawdzić zależności techniczne, przypisać odpowiedzialność i przetestować, czy zasada działa w praktyce.

Zacznij od decyzji, którą ludzie muszą podjąć

Wybierz konkretną czynność, taką jak udostępnianie plików na zewnątrz, nadawanie dostępu do produkcji czy zgłaszanie utraty urządzenia. Wskaż objęte informacje, systemy, osoby i czynności, w stosownych przypadkach także wykonawców i zewnętrznych dostawców.

Zastąp ogólnikowe sformułowania w rodzaju „udostępniaj informacje w bezpieczny sposób” wymaganiami, które da się zastosować. W przypadku udostępniania na zewnątrz określ dozwolone klasy informacji, zatwierdzone kanały, autoryzację, dostęp odbiorców i wyjątki. Krótko wyjaśnij powód: dostęp dla imiennie wskazanych odbiorców ogranicza przypadkowe ujawnienie i umożliwia odebranie dostępu.

Rozróżniaj trzy warstwy:

Połącz politykę z procedurą, z której pracownicy faktycznie korzystają. Dzięki temu nie trzeba przepisywać polityki przy każdej zmianie interfejsu narzędzia.

Przećwicz realistyczny przykład przed zatwierdzeniem

Założenia ilustracyjne: zespół projektowy udostępnia poufne pliki projektowe zewnętrznemu konsultantowi. Jego platforma do współpracy obsługuje imiennie wskazanych odbiorców i wygasanie dostępu, ale klasyfikacja odbywa się ręcznie.

Zasada możliwa do wdrożenia mogłaby wymagać, aby właściciel projektu zatwierdził ujawnienie, nadawca korzystał z zatwierdzonej platformy, a dostęp wygasał z końcem współpracy. Publiczne linki nie byłyby dozwolone dla tej klasy informacji.

Przeprowadź projekt przez rzeczywisty proces:

• Nadawca ustala klasyfikację pliku na podstawie przewodnika po klasyfikacji.
• Właściciel projektu potwierdza, że konsultant potrzebuje tych informacji.
• Nadawca nadaje dostęp zweryfikowanemu kontu konsultanta i ustawia uzgodniony termin wygaśnięcia.
• Zapis zatwierdzenia wskazuje plik, odbiorcę, cel i datę zakończenia.
• Właściciel systemu sprawdza, czy dostęp wygasa lub zostaje odebrany po zakończeniu współpracy.

Dowodami byłyby autoryzacja, konfiguracja udostępnienia i zapis odebrania dostępu. Jeżeli konsultant nie może się uwierzytelnić, rozwiązaniem nie jest nieformalny publiczny link: należy skorzystać z procesu wyjątków lub innej zatwierdzonej metody przekazania.

Sprawdź, czy organizacja jest w stanie się stosować do polityki

Przejrzyj projekt z osobami, które mają go wdrażać, w tym z pracownikami service desku i właścicielami systemów. Poproś ich o przejście całego procesu, a nie tylko o zatwierdzenie treści.

Potwierdź, że istnieją narzędzia, czas, kompetencje, uprawnienia i wsparcie. Jeżeli wygasania dostępu nie da się zautomatyzować, zdecyduj, czy wystarczające jest zaplanowane zadanie ręcznego odebrania dostępu. W przeciwnym razie zmień plan wdrożenia, zanim uznasz zabezpieczenie za działające.

Zdefiniuj proces wyjątków obejmujący osobę zatwierdzającą, uzasadnienie, objęty zakres, zabezpieczenia, termin wygaśnięcia i przegląd. Utrzymuj widoczność wyjątków dla zarządzania ryzykiem, nie rozpowszechniając niepotrzebnie wrażliwych szczegółów. Powtarzające się wyjątki mogą wskazywać na nieodpowiednią zasadę lub brakującą zdolność, a nie tylko na nieprzestrzeganie zasad przez pracowników.

Uczyń przyjęcie polityki częścią wdrożenia

Publikuj polityki tam, gdzie pracownicy mogą je znaleźć w trakcie pracy, a nie tylko w folderze audytowym. Umieszczaj linki do polityk w odpowiednich formularzach wniosków i materiałach wdrożeniowych dla nowych pracowników. Wyjaśnij, co się zmieniło i kto musi podjąć działania.

Stosuj krótkie instrukcje oparte na scenariuszach: poproś nadawcę o skonfigurowanie udostępnienia na zewnątrz albo zapytaj pracownika, jak zgłosiłby zaginięcie laptopa. Zapewnij ścieżkę zgłaszania, z której da się skorzystać bez zaginionego urządzenia. Potwierdzenia zapoznania się z polityką pokazują, że ją zakomunikowano; nie dowodzą, że ktoś potrafi przeprowadzić proces.

Powiąż wymagania z dowodami operacyjnymi

ISO/IEC 27001 dotyczy systemu zarządzania bezpieczeństwem informacji o określonym zakresie. Mapuj polityki na mające zastosowanie wymagania i decyzje dotyczące postępowania z ryzykiem w tym zakresie, zamiast importować każdy szablon jako obowiązkowy. Utrzymuj te mapowania oddzielnie od instrukcji dla pracowników.

Dla każdej ważnej zasady wskaż jej właściciela, wspierające zabezpieczenie, dowody i metodę przeglądu. W przypadku udostępniania plików sprawdź próbkę rzeczywistych udostępnień pod kątem autoryzacji, ograniczeń odbiorców i limitów dostępu. W ramach praktycznej rekomendacji łącz dowody konfiguracji z zapisami transakcji: sam zrzut ekranu bezpiecznych ustawień domyślnych nie dowodzi, że każde udostępnienie przebiegło zgodnie z procesem.

Utrzymuj zgodność polityk ze zmieniającymi się systemami

Przechowuj informacje o właścicielu, organie zatwierdzającym, wersji, dacie wejścia w życie, zapisie komunikacji i historii przeglądów. Przeglądaj polityki w zaplanowanych odstępach czasu oraz gdy zmieniają się właściwe systemy, incydenty, umowy lub obowiązki.

AI może pomóc w przygotowaniu projektów na podstawie zatwierdzonych wymagań i istniejących procedur. Przed publikacją sprawdź każde twierdzenie dotyczące bieżącego wdrożenia.

W Secani powiąż materiały źródłowe polityk z wymaganiami, zabezpieczeniami, właścicielami i dowodami; przekształcaj luki w zadania i zachowuj przejrzane decyzje. Przegląd przez człowieka pozostaje jawny, co pomaga utrzymać powiązanie polityki z rzeczywistym wdrożeniem.

Zacznij od jednego często wykonywanego procesu. Przetestuj go z jego użytkownikami, uzupełnij brakujące zdolności i zbierz dowody operacyjne, zanim rozszerzysz zestaw polityk.