Сергей Петренко - Политики безопасности компании при работе в Интернет

Неэтичное поведение:

• компания должна предупреждать намерения и проявления неэтичного поведения и действий;

• компания не должна принимать участие в преследовании и дискриминации;

• неавторизованное использование торговых и маркетинговых секретов компании, операционной, персональной, финансовой, технической информации и исходного кода компании, обеспечивающих ее конкурентное преимущество, недопустимо;

• компания всегда должна действовать этично, в соответствии с законодательством;

Ответственность

Любые нарушения этого кодекса этики недопустимы, и компания будет действовать быстро для исправления ситуации.

К любому сотруднику, нарушившему эту политику, могут быть применены дисциплинарные меры, вплоть до увольнения.

Цель

Область действия Эта политика обязательна для всех компьютеров лаборатории компании.

Суть политики Все компьютеры лаборатории должны иметь стандартное, рекомендованное к использованию в компании антивирусное программное обеспечение. Антивирусное программное обеспечение должно иметь самую свежую базу обновлений. Компьютеры, зараженные вирусом, необходимо немедленно удалять из сети до тех пор, пока они не будут вылечены. Менеджеры и администраторы лаборатории ответственны за создание процедур, гарантирующих, что антивирусное программное обеспечение выполняет периодическую проверку компьютеров и имеет самые свежие базы обновлений. Запрещена, в соответствии с политикой допустимого использования, любая деятельность по созданию/распространению вирусов, «червей», почтовых «бомб», программ типа «Троянский конь».

Ответственность

К любому сотруднику, нарушившему эту политику, могут быть применены дисциплинарные меры, вплоть до увольнения.

1. Оценка затрат на защиту информации

Сегодня в отечественных компаниях и на предприятиях с повышенными требованиями в области информационной безопасности (банковские системы, биллинговые системы, ответственные производства и т. д.) затраты на обеспечение режима информационной безопасности составляют до 30 % всех затрат на информационную систему, и владельцы информационных ресурсов со всей серьезностью рассматривают экономические аспекты обеспечения их безопасности. Однако даже там, где уровень информационной безопасности явно недостаточен, у технических специалистов зачастую возникают проблемы обоснования для руководства необходимости затрат на повышение этого уровня. Как определить экономически оправданные затраты на защиту информации? Какие методы существуют и жизнеспособны на практике? Давайте рассмотрим эти вопросы.

Обзор существующих методов

Первоначально определимся с целями, которые мы преследуем при выборе метода оценки целесообразности затрат на систему информационной безопасности. Во-первых, метод должен обеспечивать количественную оценку затрат на безопасность, используя качественные показатели оценки вероятностей событий и их последствий. Во-вторых, метод должен быть прозрачен с точки зрения пользователя и давать возможность вводить собственные эмпирические данные. В-третьих, метод должен быть универсален, то есть одинаково применим к оценке затрат на приобретение аппаратных средств, специализированного и универсального программного обеспечения, затрат на услуги, затрат на перемещение персонала и обучение конечных пользователей и т. д. В-четвертых, выбранный метод должен позволять моделировать ситуацию, при которой существует несколько контрмер, направленных на предотвращение определенной угрозы, в разной степени влияющих на сокращение вероятности происшествия. Какие же методы оценки затрат и ценности инвестиций существуют и что можно использовать на практике?