Политики безопасности компании при работе в Интернет

При каких обстоятельствах следует предпочесть стратегию «выследить и осудить»:

• активы и системы хорошо защищены;

• имеются хорошие резервные копии;

• угроза активам организации меньше потенциального ущерба от будущих повторных вторжений;

• имеет место согласованная атака, повторяющаяся с большой частотой и настойчивостью;

• организация притягивает злоумышленников и, следовательно, подвергается частым атакам;

• организация готова идти на риск, позволяя продолжить вторжение;

• действия злоумышленника можно контролировать;

• доступны развитые средства отслеживания, так что преследование нарушителя имеет хорошие шансы на успех;

• обслуживающий персонал обладает достаточной квалификацией для успешного выслеживания;

• руководство организации желает осудить злоумышленника;

• системный администратор знает, какого рода информация обеспечит успешное преследование;

• имеется тесный контакт с правоохранительными органами;

• в организации есть человек, хорошо знающий соответствующие законы;

• организация готова к искам собственных пользователей по поводу программ и данных, скомпрометированных во время выслеживания злоумышленника.

Толкование политики безопасности. Важно определить, кто будет интерпретировать политику безопасности. Это может быть отдельное лицо или комитет. Вне зависимости от того, насколько хорошо она написана, политика безопасности время от времени нуждается в разъяснении, а заодно и в пересмотре.

Гласность политики безопасности. После того как положения политики безопасности записаны и одобрены, необходимо начать активный процесс, гарантирующий, что политика воспринята и обсуждена. Почтовую рассылку нельзя признать достаточной мерой. Прежде чем политика вступит в силу, следует отвести время для дискуссий, чтобы все заинтересованные пользователи могли высказать свое мнение и указать на недостатки политики. В идеале политика должна соблюдать баланс между безопасностью и производительностью труда.

Целесообразно провести собрания, чтобы выслушать пожелания пользователей и заодно убедиться в правильном понимании ими предложенной политики. (Творцы политики порой бывают несколько косноязычны.) В собраниях должны участвовать все – от высшего руководства до младших специалистов. Безопасность – забота общая.

Помимо усилий по оглашению политики на начальном этапе, необходимо постоянно напоминать о ней. Опытные пользователи нуждаются в периодических напоминаниях, новичкам ее нужно разъяснять, вводя в курс дела. Прежде чем допускать сотрудника к работе, разумно получить его подпись под свидетельством о том, что он прочитал и понял политику безопасности. В ситуациях, чреватых судебным разбирательством после нарушения политики, бумага с подписью может оказаться весьма кстати.

Выработка процедур для предупреждения нарушений безопасности Политика безопасности определяет, что нуждается в защите. В данной главе обсуждаются процедуры безопасности, специфицирующие, каким образом политика будет проводиться в жизнь.