Varnostne politike, ki jih ljudje lahko izvajajo

Varnostna politika naj nekomu pomaga odločiti, kaj storiti v resnični situaciji. Njena vrednost je odvisna od jasnih pravil, razpoložljivih kontrol in praktičnega načina, kako jim slediti. Dokument, ki obljublja kontrole, ki jih vaši sistemi ne morejo uveljaviti, zaposlene zmede, pregledovalcem pa daje nezanesljiva dokazila.

Za tehničnega direktorja je razvoj politik zato izvedbena naloga: opredeliti zahtevano ravnanje, preveriti tehnične odvisnosti, dodeliti odgovornost in preizkusiti, ali pravilo deluje v praksi.

Začnite z odločitvijo, ki jo morajo ljudje sprejeti

Izberite konkretno dejavnost, kot je zunanje deljenje datotek, dodelitev dostopa do proizvodnega okolja ali prijava izgubljene naprave. Opredelite zajete informacije, sisteme, ljudi in dejavnosti, kjer je relevantno tudi zunanje sodelavce in zunanje ponudnike.

Nejasne formulacije, kot je „informacije delite varno“, nadomestite z zahtevami, ki jih je mogoče uporabiti. Za zunanje deljenje določite dovoljene razrede informacij, odobrene kanale, pooblastila, dostop prejemnikov in izjeme. Na kratko pojasnite razlog: dostop za poimensko določene prejemnike zmanjša nenamerno razkritje in omogoča odvzem dostopa.

Ločite tri ravni:

Politiko povežite s postopkom, ki ga zaposleni dejansko uporabljajo. Tako se izognete prepisovanju politike ob vsaki spremembi vmesnika orodja.

Pred odobritvijo preizkusite realističen primer

Ponazoritvene predpostavke: projektna ekipa deli zaupne datoteke z zasnovo z zunanjim svetovalcem. Njena platforma za sodelovanje podpira poimensko določene prejemnike in potek dostopa, razvrščanje pa je ročno.

Izvedljivo pravilo bi lahko zahtevalo, da razkritje odobri skrbnik projekta, da pošiljatelj uporabi odobreno platformo in da dostop poteče ob koncu sodelovanja. Javne povezave za ta razred informacij ne bi bile dovoljene.

Osnutek preizkusite na dejanskem poteku dela:

• Pošiljatelj z vodnikom za razvrščanje ugotovi razvrstitev datoteke.
• Skrbnik projekta potrdi, da svetovalec informacije potrebuje.
• Pošiljatelj dodeli dostop preverjenemu računu svetovalca in nastavi dogovorjeni potek.
• Zapis o odobritvi opredeli datoteko, prejemnika, namen in končni datum.
• Skrbnik sistema preveri, da dostop ob koncu sodelovanja poteče ali je odvzet.

Dokazila bi vključevala odobritev, konfiguracijo deljenja in zapis o odvzemu dostopa. Če se svetovalec ne more avtenticirati, rešitev ni neformalna javna povezava: uporabite postopek za izjeme ali drug odobren način dostave.

Preverite, ali organizacija lahko izpolni zahteve

Osnutek preglejte z ljudmi, od katerih se pričakuje izvedba, vključno z osebjem službe za pomoč uporabnikom in skrbniki sistemov. Prosite jih, naj potek dela izvedejo, namesto da bi le odobrili besedilo.

Potrdite, da so na voljo orodja, čas, kompetence, dovoljenja in podpora. Če poteka ni mogoče avtomatizirati, odločite, ali zadošča načrtovana ročna naloga odvzema. Sicer spremenite izvedbeni načrt, preden kontrolo razglasite za delujočo.

Opredelite postopek za izjeme z odobriteljem, utemeljitvijo, prizadetim obsegom, zaščitnimi ukrepi, potekom in pregledom. Izjeme naj bodo vidne upravljanju tveganj, ne da bi po nepotrebnem razširjali občutljive podrobnosti. Ponavljajoče se izjeme lahko kažejo na neprimerno pravilo ali manjkajočo zmogljivost, ne zgolj na neskladnost zaposlenih.

Uvajanje naj bo del izvedbe

Politike objavite tam, kjer jih zaposleni najdejo med delom, ne le v mapi za presojo. Povezave do politik vključite v relevantne obrazce za zahteve in gradiva za uvajanje. Pojasnite, kaj se je spremenilo in kdo mora ukrepati.

Uporabite kratka navodila na podlagi scenarijev: pošiljatelja prosite, naj nastavi zunanje deljenje, ali zaposlenega vprašajte, kako bi prijavil manjkajoči prenosnik. Zagotovite pot za prijavo, ki jo lahko uporabijo brez manjkajoče naprave. Zapisi o seznanitvi dokazujejo komunikacijo; ne dokazujejo, da zna nekdo proces izvesti.

Zahteve povežite z operativnimi dokazili

ISO/IEC 27001 se nanaša na sistem upravljanja informacijske varnosti z opredeljenim obsegom. Politike v tem obsegu preslikajte na uporabne zahteve in odločitve o obravnavi tveganj, namesto da bi vsako predlogo uvozili kot obvezno. Te preslikave vodite ločeno od navodil za zaposlene.

Za vsako pomembno pravilo opredelite odgovorno osebo, podporno kontrolo, dokazila in metodo pregleda. Pri deljenju datotek preglejte vzorec resničnih deljenj glede odobritve, omejitev prejemnikov in omejitev dostopa. Kot praktično priporočilo združite konfiguracijska dokazila z zapisi o transakcijah: posnetek zaslona varnih privzetih nastavitev sam ne dokazuje, da je vsako deljenje sledilo procesu.

Politike naj sledijo spreminjajočim se sistemom

Hranite odgovorno osebo, pooblastilo za odobritev, različico, datum začetka veljavnosti, zapis o komunikaciji in zgodovino pregledov. Pregled izvedite v načrtovanem intervalu in ko se spremenijo relevantni sistemi, incidenti, pogodbe ali obveznosti.

UI lahko pomaga pripraviti osnutke na podlagi odobrenih zahtev in obstoječih postopkov. Pred objavo preglejte vsako trditev o trenutni izvedbi.

V Secaniju izhodiščno gradivo za politike povežite z zahtevami, kontrolami, odgovornimi osebami in dokazili; vrzeli spremenite v naloge in ohranite pregledane odločitve. Človeški pregled ostaja izrecen, kar pomaga, da politika ostane povezana z dejansko izvedbo.

Začnite z enim pogostim potekom dela. Preizkusite ga z njegovimi uporabniki, odpravite manjkajoče zmogljivosti in zberite operativna dokazila, preden razširite nabor politik.