Informacijos saugumo politika apibrėžia, kas organizacijoje priima sprendimus dėl informacijos apsaugos, kokios taisyklės taikomos ir kaip tikrinamas jų vykdymas. Geras dokumentas leidžia darbuotojui suprasti veiksmą: kas suteikia prieigą, kur pranešti apie klaidą, kas gali patvirtinti išimtį. Vien pažadas saugoti informaciją šių klausimų neišsprendžia.
Šis rengimo karkasas skirtas organizacijai, kuri nori susieti vadovybės sprendimus su veikiančiomis procedūromis. Pradėkite nuo informacinių sistemų žemėlapio ir BDAR atskaitomybės įrodymų. Taip politika remsis tikru sistemų bei procesų sąrašu.
Apibrėžkite taikymo ribas
Pirmame skyriuje nurodykite juridinius asmenis, padalinius, darbuotojus, tiekėjus ir informacinius išteklius, kuriuos apima politika. Atskirai įvardykite bendras grupės sistemas, asmeninius įrenginius ir išorines debesijos paslaugas. Jei kuri nors sritis neįtraukiama, nurodykite priežastį ir atsakingą asmenį, kuris patvirtins kitą taikomą dokumentą.
Inventorizuokite ne vien serverius. Darbuotojų pašto dėžutėse, bendrinamuose kataloguose ir popierinėse bylose taip pat gali būti svarbios informacijos. Pasirinkite kelias suprantamas informacijos kategorijas ir kiekvienai nurodykite leidžiamas saugojimo bei perdavimo vietas. Kategorija „konfidencialu“ turi keisti elgesį, pavyzdžiui, reikalauti vardinės prieigos, o ne tik pridėti žymą.
Paverskite rizikas taisyklėmis
Sudarykite scenarijų sąrašą: paskyros perėmimas, neteisingas gavėjas, prarastas įrenginys, paslaugos sutrikimas, neteisėtas administratoriaus veiksmas. Kiekvienam scenarijui aprašykite galimą žalą asmeniui ir organizacijai, jau veikiančią priemonę bei likusią spragą. Taip atsiranda paaiškinimas, kodėl taisyklė reikalinga ir kam ji taikoma.
BDAR 32 straipsnis saugumo priemonių pasirinkimą sieja su rizika, tvarkymo pobūdžiu ir kitomis aplinkybėmis. Jis nenustato vienodo visoms organizacijoms politikos turinio ar konkretaus produkto. Teisinį vertinimą remkite oficialiu BDAR tekstu. NKSC pateiktas galimo saugumo politikos dokumento turinys padeda susieti temas ir procedūras. Jame nurodomų konkrečių reikalavimų taikymą reikia vertinti pagal organizacijos statusą; dokumento struktūra nėra universali visų įmonių pareigų deklaracija.
Užpildomas politikos planas
| Skyrius | Sprendimas, kurį reikia priimti | Vykdymo įrodymas |
|---|---|---|
| Valdymas | Kas tvirtina politiką ir priima likusią riziką? | Patvirtinta versija ir posėdžio sprendimas |
| Informacijos klasifikavimas | Kokios informacijos kategorijos naudojamos? | Sistemos savininko patvirtintas sąrašas |
| Prieiga | Kas prašo, tvirtina, suteikia ir panaikina teises? | Užsakymo bei panaikinimo įrašai |
| Autentifikavimas | Kokios paskyros ir veiksniai leidžiami? | Faktinių nustatymų patikra |
| Įrenginiai | Kokie įrenginiai gali prisijungti? | Inventorius ir atitikties būsenos |
| Duomenų perdavimas | Kokie kanalai ir gavėjai leidžiami? | Gavėjo bei apsaugos patikra |
| Incidentai | Kur pranešama ir kas priima sprendimą? | Incidento chronologija |
| Tęstinumas | Kokius procesus būtina palaikyti? | Pratybų protokolas |
| Išimtys | Kiek laiko galioja nukrypimas? | Sprendimas su pabaigos data |
Lentelė yra rengimo priemonė. Galutinėje politikoje prie bendros taisyklės pateikite nuorodą į detalų veiksmų aprašą. Pavyzdžiui, politikos punktas įpareigoja naudoti organizacijos patvirtintą autentifikavimą, o slaptažodžių ir autentifikavimo procedūra nustato konkrečių sistemų taisykles, paskyros atkūrimą ir išimtis.
Paskirkite skirtingas atsakomybes
Vadovybė patvirtina kryptį ir išteklius. Proceso savininkas pasako, kam reikalinga prieiga ir kokio sutrikimo poveikis priimtinas. IT įgyvendina priemones ir pateikia veikimo įrodymus. Saugumo funkcija koordinuoja rizikos vertinimą. DAP konsultuoja duomenų apsaugos klausimais ir stebi atitiktį pagal savo vaidmenį.
Mažoje organizacijoje vienas žmogus gali vykdyti kelias funkcijas, tačiau jautriems sprendimams verta atskirti vykdytoją nuo tvirtintojo. Administratorius neturėtų savo nuožiūra suteikti sau neapribotos papildomos prieigos. Jei atskyrimas praktiškai neįmanomas, nustatykite papildomą veiksmų peržiūrą ir išsaugokite jos rezultatą.
Susiekite dokumentą su darbo eiga
Politikos punktas „prieiga suteikiama pagal poreikį“ tampa patikrinamas, kai prašyme privaloma nurodyti sistemą, vaidmenį, tikslą, savininko patvirtinimą ir galiojimo laiką. Darbuotojo išėjimo atveju aiškiai aprašykite, kas praneša IT ir kaip patikrinamas faktinis teisių panaikinimas, įskaitant vietines paskyras bei tiekėjų portalus.
Analogiškai saugumo žurnalų politika turi atsakyti, kas gauna įspėjimą ir kas jį peržiūri. Vien žurnalų kaupimas neužtikrina reakcijos. Veiklos tęstinumo planas padeda suderinti vadovybės prioritetus su realiomis atsarginėmis priemonėmis.
Patvirtinimas, išimtys ir peržiūra
Prieš pasirašant pateikite projektą žmonėms, kurie turės jį vykdyti. Paprašykite atlikti konkretų veiksmą pagal tekstą: suteikti prieigą, pranešti apie pamestą telefoną arba paprašyti laikinos išimties. Jei vykdytojas nežino, kur kreiptis, dokumente trūksta procedūros ar kontakto.
Išimties įraše nurodykite nukrypimą, būtinybę, alternatyvias apsaugos priemones, likusią riziką, tvirtintoją ir peržiūros datą. Neterminuota išimtis ilgainiui tampa nerašyta taisykle. Prieš pratęsdami patikrinkite, ar pirminė kliūtis tebeegzistuoja ir ar atsirado tinkamas techninis sprendimas.
Versijų istorijoje fiksuokite, ką pakeitėte ir kam reikia papildomo paaiškinimo. Peržiūrą inicijuokite pasikeitus infrastruktūrai, tvarkymo veiklai, reikšmingai rizikai ar po incidento. Periodinės peržiūros dažnį pasirinkite pagal organizacijos aplinkybes; jis nepakeičia reakcijos į esminius pokyčius.
Kaip įsitikinti, kad politika veikia
Pasirinkite nedidelę prasmingą imtį: naujo darbuotojo paskyrą, išėjusio darbuotojo prieigos panaikinimą, tiekėjo prisijungimą, incidento pranešimą ir vieną išimtį. Kiekvienam atvejui palyginkite dokumento reikalavimą su faktu. Neatitiktį įrašykite su atsakingu asmeniu, taisymo veiksmu ir priėmimo kriterijumi.
Politikos rezultatą vertinkite pagal taisyklių vykdymą. Pasirašiusių darbuotojų dalis parodo supažindinimą, tačiau neįrodo, kad visos sistemos laikosi nustatymų. Galutiniame rinkinyje turėkite patvirtintą politiką, susietas procedūras, neišspręstų išimčių sąrašą ir patikros įrodymus. Toks rinkinys leidžia vadovybei priimti konkretų sprendimą, kokią spragą taisyti toliau.
Kaip parašyti taisyklę, kurią galima vykdyti
Kiekvieną svarbų punktą sudarykite iš keturių dalių: kam jis taikomas, koks veiksmas privalomas, kas atsako už vykdymą ir kaip tikrinamas rezultatas. Pavyzdžiui, „išorinė prieiga turi būti saugi“ pakeiskite tikslesniu tekstu: „tiekėjo prieigą prie administravimo aplinkos prieš suteikiant patvirtina sistemos savininkas; administratorius suteikia vardinę paskyrą nustatytai užduočiai ir galiojimo laikui; pasibaigus darbui patikrinamas paskyros bei aktyvių sesijų panaikinimas“.
Nekelkite vienos darbo instrukcijos į visą organizaciją, nepatikrinę išimčių. Bendroji taisyklė gali reikalauti patvirtinto perdavimo kanalo, bet klinikos įrašų perdavimui ir viešam pristatymui reikalingos skirtingos apsaugos. Jei taisyklė numato kelis lygius, nurodykite, kas parenka lygį ir kur užrašo sprendimą. Darbuotojas neturėtų kiekvieną kartą pats spėti, ar informacija jautri.
Vartokite aiškius įpareigojimus. Žodžiai „paprastai“, „esant galimybei“ ir „pagal poreikį“ gali būti tinkami, tačiau prie jų reikalingas sprendimo kriterijus. Priešingu atveju politikos vykdymo nebus galima patikrinti: tas pats veiksmas vienam darbuotojui atrodys leidžiamas, kitam draudžiamas. Technines reikšmes, kurios dažnai keičiasi, laikykite valdomame priede ir nurodykite jo tvirtinimo tvarką.
Hipotetinis pavyzdys: naujas išorinis aptarnavimo tiekėjas
Organizacija perduoda dalį klientų pagalbos užduočių tiekėjui. Pirmiausia proceso savininkas nustato, kokias užklausas tiekėjas spręs ir kokių laukų jam reikia. IT pasiūlo ribotą vaidmenį, kuris neleidžia eksportuoti visos klientų bazės. Atsakingas specialistas patikrina sutartinius duomenų tvarkymo klausimus, o DAP konsultuoja dėl poveikio asmenims ir informavimo.
Politika šiam projektui turi duoti aiškią eigą: prieiga nesuteikiama iki patvirtinimo, kiekviena tiekėjo paskyra susiejama su konkrečiu naudotoju, neįprastas eksportas registruojamas, o pasibaigus sutarčiai grąžinami ar pašalinami sutartyje numatyti duomenys. Priėmimo metu atliekamas vienas normalus aptarnavimo scenarijus ir vienas draudžiamos prieigos bandymas. Tai leidžia patikrinti ir paslaugos veikimą, ir ribų laikymąsi.
Jei tiekėjo įrankis nepalaiko reikiamo prieigos atskyrimo, tai valdymo sprendimas, kurio negalima paslėpti bendrame politikos tekste. Galima mažinti perduodamų laukų apimtį, pakeisti darbo eigą, pasirinkti kitą paslaugą arba pateikti vadovybei pagrįstą rizikos bei alternatyvų vertinimą. Dokumentas turi parodyti, kas nuspręsta ir kodėl.
Darbuotojų supažindinimas pagal vaidmenį
Administratoriams reikia paaiškinti privilegijuotų veiksmų ir išimčių kontrolę, pagalbos komandai – tapatybės patikrą bei incidentų eskalavimą, vadovams – teisių tvirtinimą. Visiems išsiųsta ilga politika nebūtinai išmoko konkretaus veiksmo. Prie bendro dokumento pateikite trumpas, iš realių situacijų sudarytas instrukcijas ir vietą, kur darbuotojas gali gauti atsakymą.
Supaprastinimas neturi pakeisti taisyklės. Trumpa atmintinė ir patvirtinta politika turi vartoti tuos pačius kontaktus, sąvokas bei veiksmų seką. Pasikeitus procedūrai nurodykite, kurioms žmonių grupėms reikia naujo paaiškinimo. Išsaugokite versiją ir supažindinimo faktą, tačiau mokymo rezultatą vertinkite pagal tai, ar darbuotojas geba atpažinti situaciją ir pasirinkti teisingą kanalą.
Vadovybės peržiūros medžiaga
Vadovybei pateikite trumpą sprendimų sąrašą: neveikiančios priemonės, pasibaigusios išimtys, didžiausi nepatikrinti procesai ir reikalingi ištekliai. Šalia kiekvienos problemos pateikite poveikį, alternatyvą ir siūlomą atsakingą asmenį. Taip peržiūra baigiasi sprendimu, o ne vien dokumento versijos pakeitimu.
Rodiklius rinkitės taip, kad jie nepaslėptų problemos. Vidutinis prieigos panaikinimo laikas gali atrodyti geras, nors viena svarbi administratoriaus paskyra liko aktyvi. Kartu pateikite reikšmingus pavienius atvejus, patikrintos imties apimtį ir nepatikrintas sistemas. Tai leidžia suprasti, ką išvados iš tikrųjų įrodo.
Politikos ir sutarties santykis
Kai darbą atlieka išorinis paslaugos teikėjas, patikrinkite, kurios politikos taisyklės jam perduotos ir kurios įtrauktos į sutartinį susitarimą. Vidinis dokumentas pats savaime nepakeičia tiekėjo įsipareigojimų. Jei jūsų politika reikalauja greito incidento eskalavimo, sutartyje ir kontaktų lape turi būti įgyvendinamas informavimo kelias.
Taip pat aptarkite įrodymų prieinamumą. Organizacija gali neturėti tiesioginės prieigos prie tiekėjo techninės aplinkos, todėl reikia suprasti, kokius patikros dokumentus ji gaus, kokią apimtį jie apima ir kokios išimtys lieka. Politikoje netvirtinkite, kad tikrinate visus tiekėjo veiksmus, jeigu realiai gaunate tik ribotą periodinę ataskaitą. Išvadose aiškiai atskirkite pačių patikrintus faktus ir tiekėjo pateiktą informaciją.