Сергей Петренко - Политики безопасности компании при работе в Интернет

• создание комплексного документа – создание политики со ссылками на такие дополнительные документы, как процедуры, руководства, стандарты и контракты сотрудников. Эти документы должны содержать требования к конкретным информационным системам, технологиям, а также определять степень ответственности сотрудников. В результате становится возможным производить изменения в документах, не затрагивая саму политику информационной безопасности. Политика информационной безопасности подписывается руководителем компании;

• реализация – политика безопасности должна четко определять ответственность за обеспечение информационной безопасности и ответственных за информационные системы и защиту информации. Компания может потребовать от сотрудников подписи в том, что они ознакомлены с политикой безопасности и обязуются соблюдать ее требования. Ответственность реализуется с помощью определения:

– процедуры соответствия – для определения ответственности за выполнение требований политики безопасности;

– состава и структуры подразделения офицеров безопасности – определяет сотрудников, которые несут ответственность за обеспечение режима информационной безопасности. Здесь необходимо предусмотреть проблемы, связанные с конфликтом интересов;

– процедуры выделения необходимых ресурсов – гарантирует выделение необходимых ресурсов для соответствия требованиям политики информационной безопасности;

• управление программой безопасности – определяет внутренние процедуры для реализации требований политики.

Рекомендуемый состав политики безопасности. Ключевыми аспектами политики информационной безопасности являются:

• область применения,

• необходимость строгого соблюдения политики,

• основная часть политики,

• ответственность,

• последствия за несоответствие требованиям политики. Существенными утверждениями политики безопасности являются следующие:

• компания является собственником всех данных и систем;

• сотрудник обязуется не делать копий данных и программного обеспечения без получения соответствующего разрешения;

• сотрудник обязуется выполнять требования по парольной защите;

• сотрудник обязуется получать доступ к системам и информации только легальным способом, после авторизации;

• сотрудник подтверждает право компании осуществлять мониторинг его деятельности.

Рекомендуемый объем политики информационной безопасности не должен превышать двух страниц.

Что принимается во внимание? Для эффективности политики безопасности необходимо, чтобы политика:

• была простой для понимания,

• основывалась на требованиях бизнеса,

• была реализуемой,

• поддерживала баланс между безопасностью и производительностью,

• была доступна всем сотрудникам для ознакомления,

• не противоречила другим политикам компании,

• не противоречила требованиям законодательства,

• ясно определяла ответственность сотрудников за ее нарушение,

Стандарты. Требования к стандартам:

• каждый стандарт должен поддерживать выполнение бизнес-целей компании, соответствовать требованиям существующего законодательства и действующим в компании политикам;

• стандарт должен быть разработан для защиты информации, в то же время он не должен затруднять получение доступа к информации сотрудникам компании;

• стандарт должен разрабатываться совместными усилиями бизнес-менеджеров и технических экспертов;

• стандарт не должен противоречить требованиям политики информационной безопасности.

Процедуры. Следующим уровнем документов являются процедуры. Роль процедуры – определить, как реализуются и администрируются средства безопасности. Процедуры являются своего рода «библией» для сотрудников компании, их ежедневным руководством к действию. Процедуры, в отличие от политики и стандартов, являются часто изменяющимися документами, поэтому важно иметь в компании хорошую процедуру управления изменениями документов. Каждая процедура должна быть написана в соответствии с общим шаблоном, разработанным для процедур, быть доступной сотрудникам как в электронном, так и в бумажном виде. Так как некоторые процедуры могут содержать конфиденциальную информацию, то доступ к ним может быть ограничен, что регулируется отдельным стандартом.