Politici de securitate pe care oamenii le pot implementa

O politică de securitate ar trebui să ajute pe cineva să decidă ce să facă într-o situație reală. Valoarea ei depinde de reguli clare, de controale disponibile și de o modalitate practică de a le respecta. Un document care promite controale pe care sistemele dumneavoastră nu le pot aplica creează confuzie pentru angajați și dovezi nesigure pentru evaluatori.

Pentru un CTO, elaborarea politicilor este, așadar, un exercițiu de implementare: definiți comportamentul impus, verificați dependențele tehnice, atribuiți responsabilitatea și testați dacă regula funcționează în practică.

Începeți cu decizia pe care oamenii trebuie să o ia

Alegeți o activitate concretă, cum ar fi partajarea externă a fișierelor, acordarea accesului la producție sau raportarea unui dispozitiv pierdut. Identificați informațiile, sistemele, persoanele și activitățile acoperite, inclusiv contractorii și furnizorii externi, acolo unde este relevant.

Înlocuiți formulările vagi, precum „partajați informațiile în siguranță”, cu cerințe pe care cineva le poate aplica. Pentru partajarea externă, specificați clasele de informații permise, canalele aprobate, autorizarea, accesul destinatarilor și excepțiile. Explicați pe scurt motivul: accesul nominal al destinatarilor reduce divulgarea accidentală și face posibilă eliminarea accesului.

Mențineți distincte trei niveluri:

Legați politica de procedura pe care personalul o folosește efectiv. Astfel evitați rescrierea politicii ori de câte ori se schimbă interfața unui instrument.

Parcurgeți un exemplu realist înainte de aprobare

Ipoteze ilustrative: o echipă de proiect partajează fișiere de proiectare confidențiale cu un consultant extern. Platforma sa de colaborare permite destinatari nominali și expirarea accesului, dar clasificarea se face manual.

O regulă implementabilă ar putea impune ca responsabilul proiectului să autorizeze divulgarea, expeditorul să folosească platforma aprobată, iar accesul să expire la încheierea colaborării. Linkurile publice nu ar fi permise pentru această clasă de informații.

Parcurgeți proiectul de politică prin fluxul de lucru real:

• Expeditorul identifică clasificarea fișierului folosind ghidul de clasificare.
• Responsabilul proiectului confirmă că consultantul are nevoie de informații.
• Expeditorul acordă acces contului verificat al consultantului și setează expirarea convenită.
• Evidența aprobării identifică fișierul, destinatarul, scopul și data de încheiere.
• Responsabilul sistemului verifică dacă accesul expiră sau este eliminat la încheierea colaborării.

Dovezile ar include autorizarea, configurația partajării și evidența eliminării accesului. Dacă consultantul nu se poate autentifica, soluția nu este un link public informal: folosiți procesul de excepție sau o altă metodă de livrare aprobată.

Verificați dacă organizația poate respecta regula

Analizați proiectul împreună cu persoanele care trebuie să îl implementeze, inclusiv personalul de service desk și responsabilii de sisteme. Cereți-le să parcurgă fluxul de lucru, nu doar să aprobe formularea.

Confirmați că există instrumentele, timpul, competențele, permisiunile și sprijinul necesare. Dacă expirarea nu poate fi automatizată, decideți dacă o sarcină programată de eliminare manuală este adecvată. În caz contrar, modificați planul de implementare înainte de a declara controlul operațional.

Definiți un proces de excepție cu o persoană care aprobă, o justificare, domeniul afectat, măsuri de protecție, o dată de expirare și o revizuire. Mențineți excepțiile vizibile pentru gestionarea riscurilor, fără a difuza inutil detalii sensibile. Excepțiile repetate pot indica o regulă nepotrivită sau o capacitate lipsă, nu doar nerespectarea regulilor de către angajați.

Faceți din adoptare o parte a implementării

Publicați politicile acolo unde angajații le pot găsi în timpul lucrului, nu doar într-un dosar de audit. Includeți linkuri către politici în formularele de solicitare relevante și în materialele de integrare. Explicați ce s-a schimbat și cine trebuie să acționeze.

Folosiți instruiri scurte, bazate pe scenarii: cereți unui expeditor să configureze o partajare externă sau întrebați un angajat cum ar raporta un laptop dispărut. Oferiți o cale de raportare pe care o poate folosi fără dispozitivul dispărut. Evidențele de confirmare arată comunicarea; ele nu demonstrează că cineva poate executa procesul.

Legați cerințele de dovezile operaționale

ISO/IEC 27001 privește un sistem de management al securității informației cu un domeniu de aplicare definit. Corelați politicile cu cerințele aplicabile și cu deciziile de tratare a riscurilor din acest domeniu de aplicare, în loc să importați fiecare șablon ca fiind obligatoriu. Mențineți aceste corelări separat de instrucțiunile destinate angajaților.

Pentru fiecare regulă importantă, identificați responsabilul, controlul de suport, dovezile și metoda de revizuire. Pentru partajarea fișierelor, examinați un eșantion de partajări reale în ceea ce privește autorizarea, restricțiile privind destinatarii și limitele de acces. Ca recomandare practică, combinați dovezile de configurare cu evidențele tranzacțiilor: o captură de ecran a setărilor implicite securizate nu dovedește singură că fiecare partajare a respectat procesul.

Mențineți politicile aliniate cu sistemele care se schimbă

Păstrați responsabilul, autoritatea de aprobare, versiunea, data intrării în vigoare, evidența comunicării și istoricul revizuirilor. Revizuiți la un interval planificat și atunci când se schimbă sistemele, incidentele, contractele sau obligațiile relevante.

IA poate ajuta la redactare pe baza cerințelor aprobate și a procedurilor existente. Verificați fiecare afirmație despre implementarea actuală înainte de publicare.

În Secani, legați materialele sursă ale politicilor de cerințe, controale, responsabili și dovezi; transformați lacunele în sarcini și păstrați deciziile analizate. Analiza umană rămâne explicită, ajutând politica să rămână legată de implementarea reală.

Începeți cu un flux de lucru frecvent. Testați-l cu utilizatorii săi, rezolvați capacitățile lipsă și colectați dovezi operaționale înainte de a extinde setul de politici.