Сергей Петренко - Политики безопасности компании при работе в Интернет

Информационная технология проникает в каждый аспект ведения бизнеса и совершения операций. За последние годы компании и их деловые партнеры существенно увеличили объем взаимодействия через информационные системы. Сбой в системе безопасности в любой из этих организаций может подвергнуть риску целые отрасли и технологические процессы. Именно поэтому компаниям необходимо следить за тем, чтобы у основных деловых партнеров были внедрены хотя бы минимальные стандарты безопасности.

Компании должны осознать, что сегодня информационная безопасность стала аспектом бизнеса и ее важность нельзя недооценивать. Информационная безопасность – это не роскошь, а необходимость, так как именно она составляет тот фундамент, на котором строится надежная среда, позволяющая компаниям успешно работать и развиваться.

© «Эрнст энд Янг», 2003

Приводится в сокращенном варианте, с разрешения доктора физико-математических наук, профессора В.А Галатенко (автора перевода оригинального документа). Данное руководство является продуктом деятельности рабочей группы по политике информационной безопасности предприятий (SSPHWG), в которую вошли представители групп безопасности и пользовательских сервисов движения IETF (Internet Engineering Task Force). Авторами руководства являются Dave Curry (Purdue University), Sean Kirkpatrick (Unisys), Tom Longstaff (LLNL), Greg Hollingsworth (Johns Hopkins University), Jeffrey Carpenter (University of Pittsburgh), Barbara Fraser (CERT), Fred Ostapik (SRINISC), Allen Sturtevant (LLNL), Dan Long (BBN),Jim Duncan (Pennsylvania State University), Frank Byrum (DEC). Руководство содержит информацию для интернет-сообщества, оно не является стандартом, его распространение не ограничено.

Выработка официальной политики предприятия в области информационной безопасности

Краткий обзор

Организационные вопросы. Целью разработки официальной политики предприятия в области информационной безопасности является определение правильного (с точки зрения организации) способа использования вычислительных и коммуникационных ресурсов, а также определение процедур, предотвращающих или реагирующих на нарушения режима безопасности. Чтобы достичь данной цели, следует учесть специфику конкретной организации.

Во-первых, необходимо принять во внимание цели и основные направления деятельности организации. Например, на военной базе и в университете существенно разные требования к конфиденциальности.

Во-вторых, разрабатываемая политика должна согласовываться с существующими законами и правилами, относящимися к организации. Значит, эти законы и правила необходимо выявить и принять во внимание при разработке политики.

В-третьих, если локальная сеть организации не является изолированной, вопросы безопасности следует рассматривать в более широком контексте. Политика должна освещать проблемы, возникающие на локальном компьютере из-за действий удаленной стороны, а также проблемы, причиной которых является локальный хост или удаленный пользователь.

Кто разрабатывает политику? Политика безопасности должна стать результатом совместной деятельности технического персонала, понимающего все аспекты политики и ее реализации, а также руководителей, влияющих на проведение политики в жизнь. Нереализуемая или неподдерживаемая политика бесполезна.

Поскольку политика безопасности так или иначе затрагивает всех сотрудников организации, следует позаботиться о том, чтобы у вас было достаточно полномочий для принятия решений по этим вопросам. Хотя некоторой группе (например, группе технического обслуживания) может быть поручено проведение политики в жизнь, возможно, нужна будет и группа более высокого ранга для поддержки и одобрения политики.

Кого затрагивает политика? Политика безопасности потенциально затрагивает всех пользователей компьютеров в организации, причем по нескольким аспектам. Пользователи могут отвечать за администрирование собственных паролей. Системные администраторы обязаны ликвидировать слабые места в защите и надзирать за работой всех систем.

Важно с самого начала работы над политикой безопасности правильно подобрать состав коллектива разработчиков. Возможно, на предприятии уже есть группа информационной безопасности; естественно, люди из этой группы считают безопасность своей вотчиной. Следует привлечь также специалистов по аудиту и управлению, по физической безопасности, по информационным системам и т. п. Тем самым будет подготовлена почва для одобрения политики.