Säkerhetspolicyer som människor kan tillämpa

En säkerhetspolicy bör hjälpa någon att avgöra vad som ska göras i en verklig situation. Dess värde beror på tydliga regler, tillgängliga säkerhetsåtgärder och ett praktiskt sätt att följa dem. Ett dokument som utlovar säkerhetsåtgärder som era system inte kan upprätthålla skapar förvirring för de anställda och opålitliga underlag för granskarna.

För en CTO är policyarbete därför en fråga om införande: definiera det beteende som krävs, kontrollera de tekniska beroendena, fördela ansvaret och testa om regeln fungerar i praktiken.

Börja med det beslut människor behöver fatta

Välj en konkret aktivitet, till exempel extern fildelning, beviljande av produktionsåtkomst eller rapportering av en förlorad enhet. Identifiera den information, de system, personer och aktiviteter som omfattas, inklusive konsulter och externa leverantörer där det är relevant.

Ersätt vaga formuleringar som ”dela information på ett säkert sätt” med krav som någon kan tillämpa. För extern delning, ange tillåtna informationsklasser, godkända kanaler, godkännande, mottagarens åtkomst och undantag. Förklara skälet kortfattat: åtkomst för namngivna mottagare minskar oavsiktligt röjande och gör det möjligt att ta bort åtkomsten.

Håll tre nivåer åtskilda:

Koppla policyn till den rutin som personalen faktiskt använder. Det gör att policyn inte behöver skrivas om varje gång ett verktygs gränssnitt ändras.

Gå igenom ett realistiskt exempel före godkännandet

Illustrativa antaganden: ett projektteam delar konfidentiella designfiler med en extern konsult. Teamets samarbetsplattform stöder namngivna mottagare och tidsbegränsad åtkomst, men klassificeringen görs manuellt.

En regel som går att tillämpa kan kräva att projektägaren godkänner utlämnandet, att avsändaren använder den godkända plattformen och att åtkomsten upphör när uppdraget avslutas. Publika länkar skulle inte tillåtas för denna informationsklass.

Gå igenom utkastet i det faktiska arbetsflödet:

• Avsändaren fastställer filens klassificering med hjälp av klassificeringsguiden.
• Projektägaren bekräftar att konsulten behöver informationen.
• Avsändaren ger åtkomst till konsultens verifierade konto och anger det överenskomna slutdatumet.
• Underlaget för godkännandet anger filen, mottagaren, syftet och slutdatumet.
• Systemägaren kontrollerar att åtkomsten upphör eller tas bort när uppdraget avslutas.

Underlagen skulle omfatta godkännandet, delningskonfigurationen och uppgiften om borttagen åtkomst. Om konsulten inte kan autentisera sig är lösningen inte en informell publik länk: använd undantagsprocessen eller ett annat godkänt sätt att leverera.

Kontrollera om organisationen kan följa policyn

Granska utkastet tillsammans med dem som förväntas tillämpa det, inklusive personal på servicedesken och systemägare. Be dem genomföra arbetsflödet i stället för att bara godkänna formuleringarna.

Bekräfta att verktyg, tid, kompetens, behörigheter och stöd finns. Om slutdatumet inte kan automatiseras, avgör om en schemalagd manuell borttagningsuppgift är tillräcklig. I annat fall, ändra införandeplanen innan säkerhetsåtgärden förklaras vara i drift.

Definiera en undantagsprocess med beslutsfattare, motivering, berörd omfattning, skyddsåtgärder, slutdatum och granskning. Håll undantagen synliga för riskhanteringen utan att i onödan sprida känsliga detaljer. Upprepade undantag kan tyda på en olämplig regel eller en saknad förmåga, inte bara på att anställda inte följer reglerna.

Gör införandet till en del av leveransen

Publicera policyer där de anställda kan hitta dem i arbetet, inte bara i en revisionsmapp. Lägg in länkar till policyer i relevanta beställningsformulär och introduktionsmaterial. Förklara vad som har ändrats och vem som måste agera.

Använd korta, scenariobaserade instruktioner: be en avsändare konfigurera en extern delning eller fråga en anställd hur hen skulle rapportera en saknad bärbar dator. Erbjud en rapporteringsväg som går att använda utan den saknade enheten. Kvitteringar visar att information har gått ut; de visar inte att någon kan genomföra processen.

Koppla kraven till operativa underlag

ISO/IEC 27001 avser ett ledningssystem för informationssäkerhet med definierad omfattning. Mappa policyer till tillämpliga krav och beslut om riskbehandling inom den omfattningen, i stället för att importera varje mall som obligatorisk. Förvalta dessa mappningar separat från instruktionerna till de anställda.

Identifiera för varje viktig regel dess ägare, stödjande säkerhetsåtgärd, underlag och granskningsmetod. För fildelning, granska ett stickprov av verkliga delningar med avseende på godkännande, begränsningar av mottagare och åtkomstgränser. Som en praktisk rekommendation, kombinera underlag om konfiguration med uppgifter om faktiska transaktioner: en skärmbild av säkra standardinställningar bevisar inte ensam att varje delning följde processen.

Håll policyerna i takt med föränderliga system

Spara ägare, beslutsbefogenhet, version, ikraftträdandedatum, uppgifter om kommunikation och granskningshistorik. Granska med ett planerat intervall och när relevanta system, incidenter, avtal eller skyldigheter förändras.

AI kan hjälpa till att skriva utkast utifrån godkända krav och befintliga rutiner. Granska varje påstående om det nuvarande införandet före publicering.

I Secani kan ni koppla källmaterial för policyer till krav, säkerhetsåtgärder, ägare och underlag; göra brister till uppgifter och bevara granskade beslut. Den mänskliga granskningen förblir uttrycklig, vilket hjälper policyn att förbli kopplad till det faktiska införandet.

Börja med ett arbetsflöde som används ofta. Testa det med dess användare, åtgärda saknade förmågor och samla in operativa underlag innan ni utökar uppsättningen policyer.