Сергей Петренко - Политики безопасности компании при работе в Интернет

Далее, сотрудники, имеющие специальные привилегии, должны быть подотчетны некоторому должностному лицу, и это также необходимо отразить в политике безопасности предприятия. Если «привилегированные» люди перестают быть подотчетными, вы рискуете потерять контроль над своей системой и лишиться возможности расследовать случаи нарушения режима безопасности.

Каковы права и обязанности пользователей? Политика безопасности должна содержать положения о правах и обязанностях пользователей применительно к использованию компьютерных систем и сервисов предприятия. Должно быть явно оговорено, что пользователи обязаны понимать и выполнять правила безопасной эксплуатации систем. Ниже приведен перечень тем, которые целесообразно осветить в данном разделе политики безопасности:

• Каковы общие рамки использования ресурсов? Существуют ли ограничения на ресурсы и каковы они?

• Что является злоупотреблением с точки зрения производительности системы?

• Разрешается ли пользователям совместное использование счетов?

• Как «секретные» пользователи должны охранять свои пароли?

• Как часто пользователи должны менять пароли? Каковы другие аналогичные ограничения и требования?

• Как обеспечивается резервное копирование – централизованно или индивидуально?

• Как реагировать на случаи просмотра конфиденциальной информации?

• Как соблюдается конфиденциальность почты?

• Какова политика в отношении неправильно адресованной почты или отправлений по спискам рассылки, или в адрес дискуссионных групп (непристойности, приставания и т. п.)?

Ассоциация электронной почты (The Electronic Mail Association, EMA) подготовила статью о конфиденциальности электронной почты в организациях. Основное положение статьи состоит в том, что каждая организация должна разработать политику защиты права сотрудников на тайну. Рекомендуется, чтобы эта политика охватывала все возможные среды, а не только электронную почту.

Предлагается пять критериев оценки подобной политики:

• Согласуется ли политика с существующим законодательством и с обязанностями по отношению к третьим сторонам?

• Не ущемляются ли без нужды интересы работников, работодателей или третьих сторон?

• Реалистична ли политика и вероятно ли ее проведение в жизнь?

• Затрагивает ли политика все виды передачи и хранения информации, используемые в организации?

Каковы права и обязанности системных администраторов по отношению к обычным пользователям? Должен соблюдаться баланс между правом пользователей на тайну и обязанностью системного администратора собирать достаточно информации для разрешения проблем и расследования случаев нарушения режима безопасности. Политика должна определять границы, в пределах которых системный администратор вправе исследовать пользовательские файлы с целью разрешения проблем и для иных нужд, и каковы права пользователей. Можно также сформулировать положение относительно обязанности администраторов соблюдать конфиденциальность информации, полученной при оговоренных выше обстоятельствах. Политика должна содержать ответы на несколько вопросов:

• Может ли администратор отслеживать или читать пользовательские файлы при каких-либо обстоятельствах?

• Какие обязательства администратор при этом берет на себя?

Как работать с конфиденциальной информацией? Прежде чем предоставлять пользователям доступ к вашим сервисам, следует определить, каков уровень защиты данных на вашей системе. Тем самым вы сможете определить уровень конфиденциальности информации, которую пользователи могут у вас размещать. Наверное, вы не хотите, чтобы пользователи хранили секретные сведения на компьютерах, которые Вы не собираетесь как следует защищать. Следует сообщить пользователям, какие сервисы (при наличии таковых) пригодны для хранения конфиденциальной информации. Должны рассматриваться различные способы хранения данных (на диске, ленте, файловом сервере и т. д.). Этот аспект политики должен быть согласован с правами системных администраторов по отношению к обычным пользователям (см. предыдущий пункт).

Что делать, когда политику безопасности нарушают