Retningslinjer og prosedyrer

Skill tydelig mellom dem:

• En policy fastsetter en regel: passord må være på minst 12 tegn.
• En prosedyre forklarer hvordan: de nøyaktige trinnene for å konfigurere passordpolicyen i identitetsleverandøren.

Policyer er stabile, mens prosedyrer endres når verktøyene endres.

De fleste programmer omfatter:

• Policy for akseptabel bruk.
• Policy for tilgangskontroll / identitet.
• Dataklassifisering og -håndtering.
• Policy for hendelseshåndtering.
• Virksomhetskontinuitet / katastrofegjenoppretting.

AUP definerer hva brukere kan og ikke kan gjøre med virksomhetens systemer og data. Den omfatter e-post, internett, enheter og konsekvenser ved brudd, og bekreftes vanligvis ved oppstart.

En policy for tilgangskontroll formaliserer prinsippet om minste privilegium og intervallene for gjennomgang.

• Hvordan tilgang forespørres og godkjennes.
• Rolldefinisjoner og arbeidsdeling.
• Hvor ofte tilganger gjennomgås og tilbakekalles (for eksempel når en ansatt slutter).

Denne policyen definerer hvordan organisasjonen oppdager, rapporterer og håndterer sikkerhetshendelser. Den angir roller, eskaleringsveier og kommunikasjonsregler, slik at en krise følger en plan i stedet for improvisasjon.

Hver policy trenger en eier som har ansvar for å holde den oppdatert, samt tydelig tildelte ansvarsområder. Uten eierskap blir dokumenter utdaterte og mister sin autoritet.

• Eieren godkjenner og vedlikeholder dokumentet.
• Interessentene implementerer og følger den.

Dokumenter må godkjennes formelt og versjonsstyres.

• Registrer forfatter, godkjenner, godkjenningsdato og versjonsnummer.
• Spor endringer slik at revisorer kan se historikken.
• Fastsett en gjennomgangssyklus, vanligvis årlig.

En policy ingen leser, er verdiløs. Distribuer dokumenter, gi ansatte opplæring og samle inn bekreftelser. Bevisstgjøring gjør skriftlige regler til faktisk atferd og gir dokumentasjon på at de håndheves.

Policyer må ha konsekvenser. Fastsett konsekvenser ved brudd og støtt dem med tekniske kontroller der det er mulig (for eksempel ved å håndheve passordstandarden i IdP, ikke bare på papiret). Konsekvent håndheving holder policyen troverdig.

Dokumentasjon gjør sikkerhet gjentakbar og etterprøvbar:

• Bruk hierarkiet: policy, standard, prosedyre, retningslinje.
• Policyer fastsetter regler, mens prosedyrer beskriver trinnene.
• Tildel eiere, godkjenn, versjonsstyr og gjennomgå regelmessig.
• Kommuniser, gi opplæring og håndhev reglene for å gjøre dokumentene virkelige.