Zasady i procedury

Polityki i procedury zmieniają bezpieczeństwo z nieformalnie przekazywanej wiedzy w powtarzalną i egzekwowalną praktykę. Określają oczekiwane zachowania, przypisują odpowiedzialność i dostarczają dowodów wymaganych przez audytorów.

Jeśli coś nie zostało zapisane, nie można tego konsekwentnie egzekwować ani udowodnić.

Dokumentacja bezpieczeństwa ma strukturę warstwową:

• Polityka: ogólne założenia i reguły (co i dlaczego).
• Standard: konkretne wymagania obowiązkowe.
• Procedura: instrukcja krok po kroku.
• Wytyczna: zalecana dobra praktyka (opcjonalna).

Należy wyraźnie rozróżniać te pojęcia:

• Polityka określa regułę: hasła muszą mieć co najmniej 12 znaków.
• Procedura wyjaśnia, jak ją zastosować: podaje dokładne kroki konfiguracji zasad haseł u dostawcy tożsamości.

Polityki są stabilne, natomiast procedury zmieniają się wraz z narzędziami.

Większość programów obejmuje:

• Politykę dozwolonego użytkowania.
• Politykę kontroli dostępu i tożsamości.
• Klasyfikację i przetwarzanie danych.
• Politykę reagowania na incydenty.
• Plan ciągłości działania i odtwarzania po awarii.

AUP określa, co użytkownicy mogą, a czego nie mogą robić za pomocą firmowych systemów i danych. Obejmuje pocztę e-mail, internet, urządzenia oraz konsekwencje naruszeń. Zwykle zapoznanie się z nią i jej akceptacja następują podczas wdrażania nowego pracownika.

Polityka kontroli dostępu formalizuje zasadę najmniejszych uprawnień i częstotliwość przeglądów.

• Określa sposób wnioskowania o dostęp i jego zatwierdzania.
• Definiuje role i rozdział obowiązków.
• Określa, jak często dostęp jest przeglądany i odbierany (np. podczas odchodzenia pracownika).

Ta polityka określa, jak organizacja wykrywa, zgłasza i obsługuje incydenty bezpieczeństwa. Wskazuje role, ścieżki eskalacji i zasady komunikacji, dzięki czemu kryzys jest obsługiwany zgodnie z planem, a nie improwizowany.

Każda polityka musi mieć właściciela odpowiedzialnego za jej aktualność oraz jasno przypisane obowiązki. Bez właściciela dokumenty dezaktualizują się i tracą znaczenie.

• Właściciel zatwierdza dokument i utrzymuje go w aktualności.
• Interesariusze wdrażają go i stosują się do jego zapisów.

Dokumenty muszą być formalnie zatwierdzane i objęte kontrolą wersji.

• Należy zapisywać autora, osobę zatwierdzającą, datę zatwierdzenia i numer wersji.
• Należy śledzić zmiany, aby audytorzy mogli zobaczyć historię dokumentu.
• Należy ustalić cykl przeglądów, zazwyczaj coroczny.

Polityka, której nikt nie czyta, jest bezwartościowa. Należy udostępniać dokumenty, szkolić pracowników i zbierać potwierdzenia zapoznania się z nimi. Świadomość przekłada zapisane reguły na rzeczywiste zachowania i dostarcza dowodów ich egzekwowania.

Polityki muszą mieć realną moc. Należy określić konsekwencje naruszeń i w miarę możliwości wesprzeć je mechanizmami technicznymi (np. egzekwować standard haseł w IdP, a nie tylko zapisywać go na papierze). Konsekwentne egzekwowanie sprawia, że polityka pozostaje wiarygodna.

Dokumentacja sprawia, że bezpieczeństwo można powtarzalnie wdrażać i udowadniać:

• Należy stosować hierarchię: polityka, standard, procedura, wytyczna.
• Polityki określają reguły, a procedury podają kroki.
• Należy wyznaczać właścicieli, zatwierdzać dokumenty, nadawać im wersje i regularnie je przeglądać.
• Należy komunikować zasady, szkolić pracowników i je egzekwować, aby dokumenty miały realne znaczenie.