Политики и процедуры

Политики и процедуры превращают неформальные знания отдельных сотрудников в воспроизводимую практику, обязательную для соблюдения. Они определяют ожидаемое поведение, распределяют ответственность и предоставляют подтверждающие материалы, которые требуются аудиторам.

Если правило не записано, невозможно обеспечить его постоянное соблюдение или доказать, что оно соблюдается.

Документация по безопасности состоит из уровней:

• Политика: общие намерения и правила (что и зачем).
• Стандарт: конкретные обязательные требования.
• Процедура: пошаговое описание действий.
• Рекомендация: рекомендуемый оптимальный подход (необязательно).

Важно четко различать эти понятия:

• Политика устанавливает правило: пароли должны содержать не менее 12 символов.
• Процедура объясняет, как это сделать: точные шаги для настройки политики паролей в системе управления удостоверениями.

Политики остаются стабильными, а процедуры меняются вместе с инструментами.

Большинство программ включают следующие документы:

• Политика допустимого использования.
• Политика управления доступом и идентификацией.
• Классификация и обработка данных.
• Политика реагирования на инциденты.
• Непрерывность деятельности / восстановление после аварий.

AUP определяет, что пользователи могут и чего не могут делать с системами и данными компании. Она распространяется на электронную почту, интернет и устройства, устанавливает последствия нарушений и обычно подтверждается сотрудником при оформлении на работу.

Политика управления доступом закрепляет принцип минимальных привилегий и периодичность проверок.

• Как запрашивается и утверждается доступ.
• Определения ролей и разделение обязанностей.
• Как часто проверяется и отзывается доступ (например, при увольнении сотрудника).

Эта политика определяет, как организация обнаруживает, сообщает о инцидентах безопасности и обрабатывает их. В ней указаны роли, порядок эскалации и правила коммуникации, чтобы в кризисной ситуации действовать по плану, а не импровизировать.

Для каждой политики нужен владелец, отвечающий за поддержание ее актуальности, а также четко распределенные обязанности. Без ответственного владельца документы устаревают и теряют силу.

• Владелец утверждает документ и поддерживает его.
• Заинтересованные стороны внедряют документ и соблюдают его.

Документы должны быть официально утверждены и вестись с контролем версий.

• Указывайте автора, утвердившего документ, дату утверждения и номер версии.
• Отслеживайте изменения, чтобы аудиторы видели историю документа.
• Установите цикл проверки, обычно ежегодный.

Политика, которую никто не читает, бесполезна. Распространяйте документы, обучайте сотрудников и собирайте подтверждения ознакомления. Осведомленность превращает письменные правила в реальное поведение и предоставляет подтверждение их соблюдения.

Политики должны быть действенными. Определите последствия нарушений и по возможности подкрепите их техническими мерами контроля (например, применяйте стандарт паролей в системе управления удостоверениями, а не только фиксируйте его на бумаге). Последовательное применение правил поддерживает доверие к политике.

Отличите политику от процедуры.

Документация делает обеспечение безопасности воспроизводимым и доказуемым:

• Используйте иерархию: политика, стандарт, процедура, рекомендация.
• Политики устанавливают правила, а процедуры описывают шаги.
• Назначайте владельцев, утверждайте документы, ведите версии и регулярно проверяйте их.
• Информируйте, обучайте и обеспечивайте соблюдение правил, чтобы документы работали на практике.