Сергей Петренко - Политики безопасности компании при работе в Интернет

Этапы разработки политики безопасности. Компания Sun рекомендует разрабатывать политику безопасности компании на основе лучших практик, описанных в известных стандартах безопасности, например ISO 17799:2005. При этом рекомендуются следующие этапы разработки политики безопасности:

определение основных целей и задач развития бизнеса компании;

Определение основных целей и задач развития бизнеса компании важно для определения области применения политики безопасности. Необходим соответствующий уровень согласия внутри компании, гарантирующий, что политика безопасности надлежащим образом отображает требования безопасности, адекватные целям и задачам развития бизнеса компании. Здесь важно понимать, кто будет определять политику безопасности компании и кто будет заниматься ее реализацией и поддержкой. Команда разработчиков политики безопасности должна быть представительной и, как минимум, включать сотрудников отдела защиты информации, юридического отдела, отдела кадров, отдела внутреннего аудита и качества, отдела системных операций и отдела программных разработок.

описание основных принципов безопасности;

Описание основных принципов обеспечения информационной безопасности компании позволяет простым и понятным языком, не вдаваясь в технические детали, сформулировать основные ценности компании и необходимость их защиты.

классификация и категорирование информационных ресурсов;

В основе любой политики безопасности лежит определение ценности информационных активов компании. Классификация и категорирование информационных ресурсов компании позволяет быстро и качественно принять решение о необходимой степени защищенности этих ресурсов.

анализ информационных потоков;

Цель анализа информационных потоков – определить все критичные точки обработки данных компании. Например, в системе обработки транзакций данные могут перемещаться через Web-браузеры, серверы данных и межсетевые экраны и могут храниться в базах данных, на магнитных носителях и на бумаге. Отслеживая информационные потоки, можно определить состав и структуру соответствующих средств защиты информации.

определение основных угроз и модели нарушителя;

Разработка модели угроз и модели нарушителя позволяет решить, какие типы угроз существуют в информационных системах компании, какова вероятность реализации угроз и каковы их последствия, а также стоимость восстановления.

определение сервисов безопасности;

Определение сервисов безопасности компании, например журналирования, авторизации, идентификации, аутентификации и пр., позволяет правильно выработать политику безопасности.

создание шаблона политики безопасности;

Структура политики безопасности может быть различна. Этот шаг используется для четкого определения разделов политики безопасности компании.

Последний этап перед созданием первых черновых вариантов политики безопасности – определение всех областей, на которых фокусируется политика безопасности. Например, могут быть определены политики безопасности:

– категорирования информационных ресурсов,

– доступа к информационным ресурсам,

– использования паролей,

– использования шифрования и управления ключами,

– сетевой безопасности,

– физической безопасности,

– работы с электронной почтой,

– реагирования на инциденты в области безопасности,

– мониторинга и аудита безопасности,

– межсетевого экранирования,

– антивирусной защиты,

– управления системами и сетями,

– контроля действий сотрудников,

– резервного копирования,

– допуска сторонних организаций,

– разработки и внедрения приложений,

– управления конфигурациями,

Шаблон политики безопасности. Компания Sun рекомендует использовать следующий шаблон политики безопасности:

• разделы: делается краткий обзор основных разделов политики безопасности;

• заявление о назначении: почему нужна политика безопасности;

• область действия: какова область действия политики безопасности;

• заявление политики: каковы специфические особенности политики безопасности;

• обязанности: кто и что должен делать;

• аудитория: на кого ориентирована политика безопасности;

• внедрение: кто отвечает за внедрение политики безопасности; кто отвечает за нарушения политики безопасности;