Однажды, когда менеджер и его сотрудники были на собрании, оборудование было похищено. Ключа тоже найти не удалось. Отдел безопасности предпринял расследование, которое, однако, успехом не увенчалось. После чего решался вопрос о наказании менеджера, ответственного за хранение ключа.

Просуммируем результаты внедрения данной политики:

· Было потеряно дорогостоящее оборудование

· У менеджеров и сотрудников организации сложилось крайне негативное отношение к любым мерам и политикам обеспечения безопасности

· Ворам удалось избежать ответственности

· Дорогостоящие меры защиты не принесли положительного результата

· Данная ПБ потерпела неудачу, потому что она была неудобной для сотрудников организации, и требования этой политики было легко обойти

Разработчики данной политики не учли ее влияние на производительность труда. Этой ошибки можно было бы избежать, если бы они вовлекли в процесс ее разработки сотрудников организации.

Отдел безопасности также не заметил (или не пожелал заметить) тот факт, что требования данной ПБ не соответствовали бизнес-процессам организации. Наличие внутреннего контроля над внедрением данной ПБ позволил бы выявить это противоречие и разработать более эффективную политику [6].

3. Пример управленческой политики организации

В предыдущем разделе я показал как нужно разрабатывать, внедрять и сопровождать политики безопасности. Далее я приведу пример управленческой политики в виде ролей и обязанностей персонала, который непосредственно связан с ИБ.

Роли и обязанности (общие положения)

Детально их обязанности будут описаны ниже.

― Руководители подразделений отвечают за доведение поло­жений политики безопасности до пользователей и за контак­ты с пользователями.

― Администраторы локальной сети обеспечивают непрерывное функционирование сети и отвечают за реализацию техничес­ких мер, необходимых для проведения в жизнь политики безопасности.

― Администраторы сервисов отвечают за конкретные сервисы и, в частности, за то, что их защита построена в соответствии с общей политикой безопасности.

― Пользователи обязаны использовать локальную сеть в соот­ветствии с политикой безопасности; подчиняться распоря­жениям лиц, отвечающих за отдельные аспекты безопаснос­ти, ставить в известность руководство обо всех подозритель­ных ситуациях.

Роли и обязанности (детальное изложение)

Руководители подразделений обязаны:

― Постоянно держать в поле зрения вопросы безопасности. Следить за тем, чтобы то же делали их подчиненные.

― Проводить анализ рисков, выявляя активы, требующие за­щиты, и уязвимые места систем, оценивая размер возможно­го ущерба от нарушения режима безопасности и выбирая эффективные средства защиты.

― Организовать обучение персонала мерам безопасности. Об­ратить особое внимание на вопросы, связанные с антивирус­ным контролем.

― Информировать администраторов локальной сети и админи­страторов сервисов об изменении статуса каждого из подчи­ненных (переход на другую работу; увольнение и т. п.).

― Обеспечить, чтобы каждый компьютер в их подразделениях имел хозяина или системного администратора, отвечающего за его безопасность и имеющего достаточную квалификацию для выполнения этой роли.

Администраторы локальной сети обязаны:

― Информировать руководство об эффективности существую­щей политики безопасности и о технических мерах, которые могут улучшить защиту.

― Обеспечить защиту оборудования локальной сети, в том чис­ле интерфейсов с другими сетями.

― Оперативно и эффективно реагировать на события, таящие угрозу. Информировать администраторов сервисов о попыт­ках нарушения защиты. Оказывать помощь в отражении уг­розы, выявлении нарушителей и предоставлении информа­ции для их наказания.

― Использовать проверенные средства аудита и обнаружения подозрительных ситуаций.

― Ежедневно анализировать регистрационную информацию, отно­сящуюся к сети в целом и к файловым серверам в особенности.

Пользователи обязаны:

― Знать и соблюдать законы, правила, принятые в норматив­ных документах, политику безопасности, процедуры безо­пасности.

― Использовать доступные защитные механизмы для обеспе­чения конфиденциальности и целостности своей информа­ции.

― Использовать механизм защиты файлов и должным образом задавать права доступа.

― Выбирать хорошие пароли; регулярно менять их. Не записы­вать пароли на бумаге, не сообщать их другим лицам (стратегически важным решением будет разработка отдельной политики управления паролями, руководствуясь которой пользователи бы выбирали свои пароли).

― Помогать другим пользователям соблюдать меры безопасно­сти. Указывать им на замеченные упущения с их стороны.

― Информировать администраторов или руководство о нару­шениях безопасности и иных подозрительных ситуациях.

― Не использовать слабости в защите сервисов и локальной сети в целом.

― Не совершать неавторизованной работы с данными, не создавать помех другим пользователям.

― Всегда сообщать корректную идентификационную и аутентификационную информацию, не пытаться работать от имени других пользователей.

― Обеспечивать резервное копирование информации с жестко­го диска своего компьютера.

― Знать принципы работы зловредного программного обеспе­чения, пути его проникновения и распространения, слабос­ти, которые при этом могут использоваться.

― Знать и соблюдать процедуры для предупреждения проник­новения зловредного кода, для его обнаружения и уничто­жения.

― Знать слабости, которые используются для неавторизован­ного доступа.

― Знать способы выявления ненормального поведения конк­ретных систем, последовательность дальнейших действий, точки контакта с ответственными лицами.

― Знать и соблюдать правила поведения в экстренных ситуа­циях, последовательность действий при ликвидации послед­ствий аварий [1].

Заключение

Эффективные ПБ определяют необходимый и достаточный набор требований безопасности, позволяющих уменьшить риски ИБ до приемлемой величины. Они оказывают минимальное влияние на производительность труда, учитывают особенности бизнес-процессов организации, поддерживаются руководством, позитивно воспринимаются и исполняются сотрудниками организации. Для того чтобы ПБ оставалась эффективной, необходимо осуществлять непрерывный контроль ее исполнения, повышать осведомленность сотрудников организации в вопросах ИБ и обучать их выполнению правил, предписываемых ПБ. Регулярный пересмотр и корректировка правил ПБ необходимы для поддержания ее в актуальном состоянии.

Разработка и внедрение ПБ в организации – процесс коллективного творчества, в котором должны участвовать представители всех подразделений, затрагиваемых производимыми изменениями. Координатором этого процесса является специалист, на которого руководство организации возлагает ответственность за обеспечение ИБ. Этот специалист координирует деятельность рабочей группы по разработке и внедрению ПБ на протяжении всего жизненного цикла, включающего в себя проведение аудита безопасности, разработку, согласование, внедрение, обучение, контроль исполнения, пересмотр и корректировку ПБ.