IT-безопасность: стоит ли рисковать корпорацией?

Если обязанности не будут закреплены официально, то ничего не будет делаться. И будет не с кого спросить за возникшие проблемы.

После четкого определения ролей вы должны добиться того, чтобы каждая группа делала то, чего от нее хотят. Проследите это! В нашей истории предполагалось, что группа обеспечения безопасности отвечает за политики и процедуры. И все же они не обновляли процедуры, не писали их правильно и понятно для каждого и не сделали их легкодоступными. Короче, они не выполнили своей работы. Кто-то должен был это заметить и проследить, чтобы такая работа была проделана.

Не надеяться на чудо

Системные администраторы, отвечавшие за настройку безопасности, не знали, как это делать. Из-за плохого состояния процедур в такой неразберихе действительно виноваты не они. Их вина тем не менее была в том, что, вместо того чтобы сообщить о проблеме руководству и работать над ее решением, они ничего не делали. Может быть, они ждали, когда на их серверы сойдет небесная благодать?

Если в вашей компании политики и процедуры четко не определены, то нужно искать пути по внесению в них ясности. Если необходимо, обратитесь за помощью к руководству. Не сидите и не ждите чуда.

Пересматривать процессы

Одним из вопросов, которого мы действительно не касались в данном аудите, был вопрос о том, должна ли была группа обеспечения безопасности писать политики и процедуры для музея. Это само собой подразумевалось, так как обычно всегда этим занимаются именно они.

Я думаю, вы слышали рассказ об отрезанном куске говядины. Некая домохозяйка всегда отрезала конец куска мяса, перед тем как его готовить. Однажды муж спросил ее, зачем она это делает. «Я не знаю. Моя мать всегда так делала», — отвечала она и спросила свою мать об этом. Та ей ответила: «Я не знаю. Моя мать всегда так делала». Наконец, прабабушка рассказала женщине: «После этого кусок помещается в сковородку». Оказалось, что у старой женщины была только одна сковорода, и она была слишком мала, чтобы вместить кусок говядины стандартного размера. Разумеется, у ее потомков были сковородки всех размеров. Они просто выбрасывали лучшую часть куска по традиции, так как не хотели пересмотреть процесс.

Может быть, пять лет назад при установке системы и было лучшим вариантом поручить написать политики и процедуры группе обеспечения безопасности. Но это не означает, что такой выбор все еще остается лучшим. Найдите время для периодического изучения того, достались ли все роли и обязанности людям, способным лучшим образом сделать работу. Не оправдывайте свои действия тем, что ваши предшественники поступали так же.

Иногда — просто сдаться

В компаниях все варится в одном котле — и плохое, и хорошее. Даже если мы захотим казаться выше всего этого, то все равно мелочные политиканы будут продолжать копошиться. Иногда лучше дать одной из сторон взять верх, когда битва не так уж значительна или когда участие в ней отвлекает вас от настоящей работы. Если такая борьба становится более важной, чем защита информации, то победителем в настоящей войне окажется хакер.

Выполнять свои обязанности

Если вы являетесь системным администратором, то вы отвечаете за установку и поддержку средств безопасности вашей системы. Эта ответственность лежит на вас, даже если в вашей компании есть подразделение по обеспечению безопасности, следящее за вторжениями, средствами контроля, политиками и процедурами. В конечном счете, когда что-то пойдет не так, все повернется к вам (и против вас). Всегда помните об этом.

Контрольный список

Используйте этот список для определения того, правильно ли используются в вашей компании политики и процедуры для повышения безопасности.

— Легко ли читать и понимать политики?

— Есть ли у каждого сотрудника экземпляр политик или знает ли каждый, по крайней мере, где политики находятся?

— Несет ли кто-нибудь личную ответственность за политики и процедуры?

— Посещает ли этот сотрудник конференции по вопросам безопасности или же другим способом держит себя в курсе современного состояния вопросов безопасности?

— Обновляются ли на регулярной основе политики и процедуры?

— Планируются ли профилактические аудиты политик и процедур?

— Осуществляют ли руководители всех уровней поддержку политик и процедур?

— Обучаются ли новые сотрудники политикам и процедурам безопасности?

— Имеется ли справочный материал по политикам и процедурам?

Заключительные слова

В рассказанной истории руководители обеих групп должны были помогать решению проблемы — для этого руководство и существует. К сожалению, эти менеджеры «зависли» на своих политических амбициях. Вдохновляйте ваших менеджеров на то, чтобы они оглядывали всю панораму (безопасности информации), а затем начинали действовать, опираясь на полученные факты.