Policyer och procedurer

Håll skillnaden tydlig:

• En policy anger en regel: lösenord måste vara minst 12 tecken långa.
• En procedur förklarar hur: de exakta stegen för att konfigurera lösenordspolicyn hos identitetsleverantören.

Policyer är stabila, medan procedurer ändras när verktygen förändras.

De flesta säkerhetsprogram omfattar:

• Policy för godtagbar användning.
• Policy för åtkomstkontroll/identitet.
• Dataklassificering och datahantering.
• Policy för incidenthantering.
• Verksamhetskontinuitet/katastrofåterställning.

AUP definierar vad användare får och inte får göra med företagets system och data. Den omfattar e-post, internet, enheter och konsekvenser vid överträdelser, och bekräftas vanligtvis när nya medarbetare börjar.

En policy för åtkomstkontroll formaliserar principen om minsta privilegium och granskningsintervall.

• Hur åtkomst begärs och godkänns.
• Rollbeskrivningar och åtskillnad av arbetsuppgifter.
• Hur ofta åtkomst granskas och återkallas, till exempel när någon lämnar organisationen.

Den här policyn definierar hur organisationen upptäcker, rapporterar och hanterar säkerhetsincidenter. Den anger roller, eskaleringsvägar och kommunikationsregler, så att en kris hanteras enligt en plan i stället för genom improvisation.

Varje policy behöver en ansvarig som ansvarar för att hålla den aktuell, samt tydligt fördelade ansvarsområden. Utan en ansvarig blir dokument snabbt inaktuella och förlorar sin auktoritet.

• Den ansvarige godkänner och underhåller dokumentet.
• Berörda parter implementerar och följer det.

Dokument måste godkännas formellt och versionshanteras.

• Dokumentera författare, godkännare, godkännandedatum och versionsnummer.
• Spåra ändringar så att revisorer kan se historiken.
• Fastställ ett granskningsintervall, vanligtvis årligen.

En policy som ingen läser är värdelös. Distribuera dokument, utbilda personalen och samla in bekräftelser. Medvetenhet om reglerna omsätter skriftliga regler i faktiskt beteende och ger underlag för att de upprätthålls.

Policyer måste kunna upprätthållas. Definiera konsekvenser vid överträdelser och stöd dem med tekniska kontroller där det är möjligt, till exempel genom att tillämpa lösenordsstandarden i IdP och inte bara dokumentera den. Konsekvent upprätthållande gör policyn trovärdig.

Dokumentation gör säkerhetsarbetet konsekvent och verifierbart:

• Använd hierarkin: policy, standard, procedur och riktlinje.
• Policyer anger regler; procedurer beskriver stegen.
• Utse ansvariga, godkänn, versionshantera och granska regelbundet.
• Kommunicera, utbilda och upprätthåll reglerna så att dokumenten får verklig betydelse.