Как разработать эффективную политику информационной безопасности?

Полноценная защита вашей организации и ее данных требует широкого, комплексного подхода. И нет лучшего фундамента для создания культуры информационной безопасности, чем хорошая политика информационной безопасности — комплекс мер, правил и принципов, которые регулируют деятельность сотрудников с информационными активами в целях их защиты.

В этой статье мы рассмотрим, что такое политика безопасности, узнаем, почему ее крайне важно внедрить, и рассмотрим некоторые лучшие практики для создания эффективной политики безопасности в вашей организации.

Политика безопасности (или политика информационной безопасности) обычно представляет собой комплекс документов, которые регламентируют деятельность организации в области защиты и безопасности информации. Политики безопасности существуют на разных уровнях — от высокоуровневых концепций, описывающих общие цели и принципы безопасности предприятия, до документов, посвященных конкретным вопросам, таким как удаленный доступ или использование Wi-Fi.

Политика безопасности определяет общую стратегию и позицию в области ИБ, а другие документы помогают выстроить структуру вокруг этой практики. Можно считать, что политика безопасности отвечает на вопросы «что» и «почему», а процедуры, стандарты и руководства — на вопросы «как».

Политика безопасности может показаться лишней бюрократической работой, но на самом деле она является жизненно важным компонентом любой программы информационной безопасности. Перечислим некоторые из преимуществ хорошо разработанной и внедренной политики безопасности:

1. Регулирует внедрение технических средств контроля

Политика безопасности не содержит конкретных технических указаний, но в ней прописаны цели и ожидания высшего руководства в отношении информационной безопасности. Сотрудники ИБ-отдела должны воплотить эти намерения в конкретные технические действия.

Например, в политике может быть указано, что доступ к служебной информации компании должен предоставляться только авторизованным пользователям. Конкретные системы аутентификации и правила контроля доступа, используемые для реализации этой политики, могут со временем меняться, но общий смысл остается неизменным.

2. Задает четкие требования

Без политики безопасности каждый пользователь будет решать, что уместно, а что нет, на свое усмотрение. Это может привести к серьезным последствиям, когда различные сотрудники будут применять разные стандарты.

Уместно ли использовать корпоративное оборудование в личных целях? Может ли менеджер делиться паролями со своими непосредственными подчиненными ради удобства? А как насчет установки несанкционированного программного обеспечения? Без четкой политики разные сотрудники могут ответить на эти вопросы по-разному. В политике безопасности также должно быть четко прописано, как контролируется и обеспечивается ее соблюдение.

3. Повышает эффективность организации и способствует достижению бизнес-целей

Хорошая политика безопасности может повысить эффективность организации. Ее принципы позволяют всем быть на одной волне, избежать дублирования действий и обеспечить последовательность в принимаемых решениях и контроле за их выполнением.

Для достижения этих преимуществ, помимо внедрения и соблюдения, политика должна быть согласована с бизнес-целями и культурой организации.

Политики безопасности могут различаться по объему, области применения и сложности в зависимости от потребностей различных организаций. Стоит отметить, что количество уровней иерархии документации в организации определяется спецификой организации и может быть различно. Наиболее часто встречается 3-х и 4-х уровневая иерархия документации.

Программная политика (общая) — это стратегические, высокоуровневые планы, которые определяют цель и объем программы информационной безопасности организации. Этот документ разрабатываются с участием высшего руководства и, как правило, в нем не прописаны конкретные технологии и механизмы. Программная политика реже всего обновляются, поскольку должна быть написана на достаточно высоком уровне, чтобы оставаться актуальной даже при технических и организационных изменениях.

Политика, ориентированная на задачи основывается на общей политике безопасности и содержит более конкретные рекомендации по определенным вопросам, касающимся сотрудников организации. В качестве примера можно привести политику сетевой безопасности или удаленной работы, политику в отношении использования социальных сетей. Эти документы могут касаться конкретных технологических областей, но обычно носят более общий характер.

В политике удаленного доступа может быть указано, что доступ вне офиса возможен только через одобренную компанией сеть VPN, но может быть не указан конкретный VPN-клиент. Это помогает компании менять поставщиков услуг без существенных обновлений политики.

Политика, ориентированная на системы — это наиболее подробный вид политики безопасности, направленный на определенный тип систем, таких как брандмауэр или веб-сервер, или даже на отдельный компьютер. ИТ-отделы и службы безопасности принимают активное участие в создании, внедрении и обеспечении соблюдения системных политик, но ключевые решения и правила все равно принимаются высшим руководством.

Политика безопасности — это важный компонент программы информационной безопасности, который необходимо правильно разработать, внедрить и обеспечить соблюдение. Эффективная политика безопасности должна содержать следующие элементы:

1. Четкие цели и задачи
Это особенно важно для программных политик. Помните, что многие сотрудники могут не иметь представления об угрозах безопасности и будут воспринимать любой вид контроля как обузу. Четкая формулировка миссии или цели, прописанная на верхнем уровне политики безопасности, должна помочь всей организации понять важность информационной безопасности.

2. Область применения
Каждая политика безопасности должна иметь область применения, которая четко указывает на кого распространяется данная политика. Это может быть географический регион, бизнес-подразделение, должность или любая другая организационная структура.

3. Поддержка со стороны высшего руководства
Политики безопасности должны отражать намерения высшего руководства, без этой поддержки любая программа безопасности, скорее всего, потерпит неудачу. Чтобы добиться успеха, ваши политики должны быть доведены до сведения сотрудников, регулярно обновляться и неуклонно соблюдаться. Отсутствие поддержки со стороны руководства значительно усложняет процесс.

4. Реалистичные и выполнимые политики
Есть большой соблазн создать идеальные политики безопасности, основанные на лучших образцах, однако вы должны помнить, что ваши сотрудники скорее всего тяжело воспримут слишком обременительные политики. Аналогичным образом, политика, не имеющая механизма обеспечения соблюдения, может быть легко проигнорирована большинством сотрудников. Важно соблюдать баланс в реалистичности политик и контролем за их исполнением.

5. Четкие определения важных терминов
Помните, что аудитория политик безопасности может быть слабо подкована с технической точки зрения. Важно использовать лаконичный и не жаргонный язык, а все технические термины в документе должны быть четко определены.

6. Определение рисков
Чтобы разработать надлежащие процедуры реагирования на риски, ваша организация должна определить потенциальные риски. Многие организации делают это с помощью оценки рисков. Будьте открыты для новых средств контроля безопасности. Например, в для аудита и анализа неструктурированных данных, а также учета и контроля прав доступа сотрудников используют современные DCAP-решения, такие как Makves DCAP.

7. Актуальная информация
Обновление политики безопасности имеет решающее значение для поддержания ее эффективности. Несмотря на то что программная политика не нуждается в частых изменениях, ее все равно следует пересматривать время от времени. Частные и системные политики необходимо обновлять чаще, поскольку меняются технологии, тенденции организации трудовой деятельности и прочее. Со временем может возникнуть необходимость и в новых политиках.

Политики безопасности нужно не только разработать и правильно внедрить. Все сотрудники компании должны знать основные положения из политики безопасности и как они действуют. Это значит, что они должны быть доступны каждому.

Можно использовать разные способы, чтобы рассказать сотрудникам о политиках безопасности: тренинги, инструкции, презентации, электронные письма, баннеры. Важно, чтобы сотрудники понимали, что от них ожидают, и какую информацию они должны предоставить.

Если компания применяет правила безопасности на практике, это показывает, насколько она заботится о безопасности. Оценка эффективности внедренной политики информационной безопасности должна быть регулярной и осуществляться путем проведения аудита. Это позволяет оценить выполнение задач по обеспечению безопасности информационного периметра и внести необходимые коррективы.

Современным компаниям не обойтись без политики информационной безопасности, ведь в ней предусмотрены средства контроля и процедуры, которые гарантируют, что сотрудники будут работать с информационными активами надлежащим образом, а для любой угрозы и внештатной ситуации разработан набор защитных действий. Поэтому особенно важно реализовать политику безопасности наиболее эффективно.

В реализации политики безопасности помогает целых комплекс программных решений: IaM, PAM и DCAP решения среди множества других. Современная система Makves DCAP контролирует соблюдение пользователями принятых политик безопасности, оповещает об аномальных действиях с файлами, учетными записями и корпоративной электронной почтой, а также помогает оперативно разобраться с потенциально опасными инцидентами.