Политики безопасности компании при работе в Интернет

Последний этап перед созданием первых черновых вариантов политики безопасности – определение всех областей, на которых фокусируется политика безопасности. Например, могут быть определены политики безопасности:

– категорирования информационных ресурсов,

– доступа к информационным ресурсам,

– использования паролей,

– использования шифрования и управления ключами,

– сетевой безопасности,

– физической безопасности,

– работы с электронной почтой,

– реагирования на инциденты в области безопасности,

– мониторинга и аудита безопасности,

– межсетевого экранирования,

– антивирусной защиты,

– управления системами и сетями,

– контроля действий сотрудников,

– резервного копирования,

– допуска сторонних организаций,

– разработки и внедрения приложений,

– управления конфигурациями,

– обнаружения вторжений и пр.

Шаблон политики безопасности. Компания Sun рекомендует использовать следующий шаблон политики безопасности:

•  разделы: делается краткий обзор основных разделов политики безопасности;

•  заявление о назначении: почему нужна политика безопасности;

•  область действия: какова область действия политики безопасности;

•  заявление политики: каковы специфические особенности политики безопасности;

•  обязанности: кто и что должен делать;

•  аудитория: на кого ориентирована политика безопасности;

•  внедрение: кто отвечает за внедрение политики безопасности; кто отвечает за нарушения политики безопасности;

•  исключения: описание возможных исключений;

•  другие соглашения: описание дополнительных соглашений;

•  доведение: кто отвечает за доведение политики безопасности до сотрудников; каков процесс доведения;

•  процесс пересмотра и обновления: кто отвечает за пересмотр и обновление политики безопасности; что представляет собой процесс пересмотра; по каким причинам это происходит; периодичность пересмотра политики безопасности (например, ежегодно или при возникновении проблемы);

•  осуществление политики: кто отвечает за осуществление политики безопасности; как это выполняется;

•  мониторинг соответствия: как выполняется мониторинг соответствия политики безопасности требованиям бизнеса.

2.2.2. Пример политики безопасности

Введение

...

Во введении должны быть описаны основные цели и задачи политики безопасности.

Основной целью настоящей политики безопасности является предоставление гарантий защиты информации на всех основных этапах жизненного цикла информационной системы компании. Политика безопасности применима ко всем компонентам информационной системы компании и содержит следующие разделы:

• Состав и структура информационных активов компании;

• Классификация и категорирование информационных активов;

• Определение владельцев информационных активов;

• Анализ угроз и информационных рисков;

• Выработка требований к защите конфиденциальной информации;

• Определение принципов, подходов и способов организации требуемого режима информационной безопасности;

• Создание требуемого режима информационной безопасности компании;

• Поддержка режима информационной безопасности компании.

...