Политики безопасности компании при работе в Интернет
Шрифт:
Как видно из рис. 2.5, разработка политики является одним из этапов по управлению информационными рисками.
Методология, используемая при разработке политики, базируется на стандарте ISO 17799:2005 (BS 7799).
Рекомендуемая компанией Microsoft политика безопасности включает в себя:
• определение целей безопасности;
• важность обеспечения безопасности;Рис. 2.5. Этапы управления информационными рисками
• определение требуемого уровня безопасности;
• стандарты безопасности, включая стратегии их мониторинга и аудита;
• роли и ответственность по обеспечению безопасности;
• цели и задачи офицера по безопасности;
• определение процессов по защите индивидуальных компонентов архитектуры;
• определение программ обучения вопросам безопасности.
Примерами декларируемых целей безопасности являются:
• достижение максимально возможного уровня качества, надежности и конфиденциальности информации;
• сохранение репутации компании;
• недопущение повреждения или утери информации, процессов, собственности компании и обеспечение таким образом непрерывной работы компании;
• сохранение ценности информации, интеллектуальной собственности и технологических ресурсов.Для разработки целей безопасности создается комитет по информационной безопасности. Комитет состоит из сотрудников с опытом работы в области безопасности, технических сотрудников и представителей других подразделений под руководством офицера по безопасности. Комитет решает следующие задачи:
• разработка и управление жизненным циклом политики безопасности;
• создание процессов, обеспечивающих достижение целей безопасности;
• создание процессов и планов по реализации стандартов, описанных в политике;
• помощь в организации программ ознакомления с вопросами безопасности;
• консультирование персонала по вопросам безопасности;
• определение бюджета и требуемых ресурсов по обеспечению безопасности.2.5. Подход компании Symantec
Руководящие документы в области безопасности (политики, стандарты, процедуры и метрики безопасности), как полагают в Symatec, являются основой любой успешной программы обеспечения информационной безопасности компании (см. рис. 2.6).
Рис. 2.6. Жизненный цикл обеспечения информационной безопасности организации
Наглядно проявления различий политик, стандартов и процедур безопасности представлены на рис. 2.7.
Рис. 2.7. Различия политики, стандартов и процедур безопасности
Политика информационной безопасности определяет, почему компания защищает свою информацию. Стандарты – что компания намерена предпринимать для реализации и управления безопасностью информации. Процедуры описывают, как компания будет выполнять требования, описанные в высокоуровневых документах (политике и руководствах). Руководства представляют собой рекомендации, которым сотрудникам желательно следовать.
2.5.1. Описание политики безопасности
Основные этапы разработки политики безопасности. Компания Symantec выделяет следующие основные этапы разработки политики безопасности:
• определение и оценка информационных активов – какие активы необходимо защищать и как их защищать с учетом целей и задач бизнеса;
• определение угроз безопасности – выявление потенциальных источников проблем в области безопасности компании. Оценка вероятности реализации угрозы и оценка возможного ущерба. При этом выделяют внешние и внутренние угрозы безопасности;
• оценка информационных рисков – представляет собой один из самых сложных этапов процесса разработки политики безопасности. На этом этапе необходимо определить вероятность реализации угроз и выделить те из них, что нанесут наибольший ущерб. Ущерб выражается не только количественно, например в денежном эквиваленте, но и качественно, для отражения ущерба, вызванного потерей имиджа компании, потерей конфиденциальности взаимоотношений с определенными стратегически важными клиентами и партнерами;
• определение ответственности – выбор команды разработчиков, способной определить потенциальные угрозы во всех областях деятельности компании. В идеале в процессе разработки политики безопасности должны принимать участие представители всех ключевых подразделений компании. Ключевые члены команды – представители руководства, отдела кадров, юридического отдела, отдела по связям с общественностью, сетевые администраторы, эксперты в области информационной безопасности;
• создание комплексного документа – создание политики со ссылками на такие дополнительные документы, как процедуры, руководства, стандарты и контракты сотрудников. Эти документы должны содержать требования к конкретным информационным системам, технологиям, а также определять степень ответственности сотрудников. В результате становится возможным производить изменения в документах, не затрагивая саму политику информационной безопасности. Политика информационной безопасности подписывается руководителем компании;
• реализация – политика безопасности должна четко определять ответственность за обеспечение информационной безопасности и ответственных за информационные системы и защиту информации. Компания может потребовать от сотрудников подписи в том, что они ознакомлены с политикой безопасности и обязуются соблюдать ее требования. Ответственность реализуется с помощью определения:
– процедуры соответствия – для определения ответственности за выполнение требований политики безопасности;
– состава и структуры подразделения офицеров безопасности – определяет сотрудников, которые несут ответственность за обеспечение режима информационной безопасности. Здесь необходимо предусмотреть проблемы, связанные с конфликтом интересов;
– процедуры выделения необходимых ресурсов – гарантирует выделение необходимых ресурсов для соответствия требованиям политики информационной безопасности;
• управление программой безопасности – определяет внутренние процедуры для реализации требований политики.