Политика безопасности организации

Политика  безопасности организации (англ. organizational security policies) — совокупность руководящих принципов, правил, процедур и практических приёмов в области безопасности, которые регулируют управление, защиту и распределение ценной информации.

В общем случае такой набор правил представляет собой некий функционал программного продукта, который необходим для  его использования в конкретной организации. Если подходить к политике безопасности более формально, то она  есть набор неких требований к  функционалу системы защиты, закрепленных в ведомственных документах. Например, в финансовых организациях зачастую принято, чтобы в продукте предусматривалось  присутствие нескольких административных ролей: администратор, аудитор и  оператор системы защиты. Такое ролевое  управление информационной безопасностью  —скорее дань традиции и теоретически позволяет избежать «сговора» администратора и злоумышленника из числа пользователей. Для того, чтобы включить данный функционал продукта в профиль защиты, целесообразнее всего ввести соответствующую политику безопасности.

Политика безопасности зависит:

• от конкретной технологии обработки информации;
• от используемых технических и программных средств;
• от расположения организации;

Главной причиной появления политики безопасности обычно является требование наличия такого документа от регулятора — организации, определяющей правила работы предприятий  данной отрасли. В этом случае отсутствие политики может повлечь репрессивные действия в отношении предприятия  или даже полное прекращение его  деятельности.

Кроме того, определенные требования (рекомендации) предъявляют  отраслевые или общие, местные или  международные стандарты. Обычно это  выражается в виде замечаний внешних  аудиторов, проводящих проверки деятельности предприятия. Отсутствие политики вызывает негативную оценку, которая в свою очередь влияет на публичные показатели предприятия — позиции в рейтинге, уровень надежности и т.д.

Еще одной  причиной является внутреннее осознание  руководством предприятия необходимости  структурированного подхода к обеспечению  определенного уровня безопасности. Обычно такое осознание наступает  после внедрений ряда технических  решений по безопасности, когда возникают  проблемы управления такими решениями. Иногда сюда добавляются вопросы  обеспечения безопасности персонала (Human Resources Security, куда входит как защита самих работников, так и защита от них), юридические аспекты и другие факторы, приводящие руководство предприятия к пониманию того, что обеспечение информационной безопасности выходит за рамки чисто технических мероприятий, проводимых ИТ-подразделением или другими специалистами.

Интересно, что, согласно исследованию по безопасности, проведенному компанией Deloitte в 2006 году, предприятия, которые имеют формализованные политики информационной безопасности, значительно реже подвергаются взлому. Это свидетельствует о том, что наличие политики является признаком зрелости предприятия в вопросах информационной безопасности. То, что предприятие внятно сформулировало свои принципы и подходы к обеспечению информационной безопасности означает, что в этом направлении была проделана серьезная работа.

Существуют две  системы оценки текущей ситуации в области информационной безопасности на предприятии. Они получили образные названия «исследование снизу вверх» и «исследование сверху вниз».

Первый метод  достаточно прост, требует намного  меньших капитальных вложений, но и обладает меньшими возможностями. Он основан на известной схеме : «Вы — злоумышленник. Ваши действия ?». То есть служба информационной безопасности, основываясь на данных о всех известных видах атак, пытается применить их на практике с целью проверки, а возможно ли такая атака со стороны реального злоумышленника.

Метод «сверху  вниз» представляет собой, наоборот, детальный анализ всей существующей схемы хранения и обработки информации. Первым этапом этого метода является, как и всегда, определение, какие  информационные объекты и потоки необходимо защищать. Далее следует  изучение текущего состояния системы  информационной безопасности с целью  определения, что из классических методик  защиты информации уже реализовано, в каком объеме и на каком уровне. На третьем этап производится классификация всех информационных объектов на классы в соответствии с ее конфиденциальностью, требованиями к доступности и целостности (неизменности).

Само по себе наличие документа, озаглавленного «Политика информационной безопасности», не принесет существенной пользы предприятию, кроме, быть может, формального аргумента в споре, присутствует или отсутствует у него данная политика. Нас интересует, разумеется, в первую очередь эффективная политика безопасности.

Опыт показывает, что неэффективные политики безопасности можно разделить на хорошо сформулированные, но не практичные и на практичные, но плохо сформулированные.

Первая категория  чаще всего встречается в случаях, когда специалисты по безопасности предприятия недолго думая берут готовую политику (скажем, из Internet) и, проведя минимальные изменения, утверждают ее для своего предприятия. Поскольку общие принципы безопасности у разных предприятий, даже различных отраслей, могут быть весьма схожи, такой подход достаточно широко распространен. Однако его использование может привести к проблемам, если от политики верхнего уровня понадобится спуститься к документам нижнего уровня — стандартам, процедурам, методикам и т.д. Поскольку логика, структура и идеи исходной политики были сформулированы для другого предприятия, возможно возникновение серьезных затруднений, даже противоречий в остальных документах.

Политики второй категории обычно появляются в случаях, когда возникает необходимость  решить сиюминутные задачи. Например, сетевой администратор, устав бороться с попытками пользователей нарушать работу сети, в течение десяти минут  набрасывает список из нескольких «можно»  и «нельзя», называет его «Политикой»  и убеждает руководство в необходимости  его утверждения. Потом этот документ может годами использоваться на предприятии, создавая порой существенные проблемы, например при внедрении новых  систем, и порождая огромное количество исключений для случаев, когда его  нарушение допускается.

Далее следует выяснение насколько серьезный ущерб может принести фирме раскрытие или иная атака на каждый конкретный информационный объект. Этот этап носит название «вычисление рисков». В первом приближении риском называется произведение «возможного ущерба от атаки» на «вероятность такой атаки». Существует множество схем вычисления рисков, остановимся на одной из самых простых.

Ущерб от атаки  может быть представлен неотрицательным  числом в приблизительном соответствии со следующей таблицей :

Вероятность атаки  представляется неотрицательным числом в приблизительном соответствии со следующей таблицей :

Необходимо отметить, что классификацию ущерба, наносимого атакой, должен оценивать владелец информации, или работающий с нею  персонал. А вот оценку вероятности  появления атаки лучше доверять техническим сотрудникам фирмы.

[править] Риск предприятия

Следующим этапом составляется таблица рисков предприятия. Она имеет следующий вид :

На этапе анализа  таблицы рисков задаются некоторым  максимально допустимым риском, например значением 7. Сначала проверяется  каждая строка таблицы на не превышение риска этого значения. Если такое  превышение имеет место, значит, данная строка – это одна из первоочередных целей разработки политики безопасности. Затем производится сравнение удвоенного значения (в нашем случае 7*2=14) с  интегральным риском (ячейка «Итого»).

Если интегральный риск превышает допустимое значение, значит, в системе набирается множество  мелких огрешностей в системе безопасности, которые в сумме не дадут предприятию эффективно работать. В этом случае из строк выбираются те, которые дает самый значительный вклад в значение интегрального риска и производится попытка их уменьшить или устранить полностью.

Создание эффективной  политики

Как же разработать  эффективную, практичную и хорошо сформулированную политику информационной безопасности, которая позволит предприятию не просто создать стройную систему  нормативных документов, но и принесет определенные финансовые преимущества, например, сохранив инвестиции или  предотвратив неэффективные вложения средств?

Обеспечение комплексной  безопасности является необходимым  условием функционирования любой компании. Комплексная безопасность подразумевает  под собой сбалансированный набор  взаимосвязанных мер, направленных на обеспечение сохранности и  ограниченном доступе к информации компании. Набор данных мер определяется в политике безопасности предприятия. 
 

Политика  информационной безопасности предприятия

Рассмотрим административный уровень информационной безопасности предприятия, то есть меры, предпринимаемые  руководством организации. В основе всех мероприятий административного  уровня лежит документ, часто называемый политикой информационной безопасности предприятия. Под политикой информационной безопасности понимается совокупность документированных управленческих решений и разработанных превентивных мер, направленных на защиту информационных ресурсов.

Разработка политики информационной безопасности - вопрос отнюдь не тривиальный. От тщательности ее проработки будет зависеть действенность  всех остальных уровней обеспечения  информационной безопасности - процедурного и программно-технического. Сложность  разработки данного документа определяется проблематичностью использования  чужого опыта, поскольку политика безопасности основывается на производственных ресурсах и функциональных зависимостях данного предприятия. Кроме того, Россия как государство не имеет подобного типового документа. Наиболее близким по идее можно назвать "Доктрину информационной безопасности РФ", однако, на мой взгляд, она носит слишком общий характер.

В связи с  этим для разработки политики информационной безопасности целесообразно использовать зарубежный опыт. Наиболее детально этот аспект проработан в "Общих критериях  оценки безопасности информационных технологий", версия 2.0 от 22 мая 1998 г. Британского  стандарта BS7799:1995. В нем рекомендуется  включать в документ, характеризующий  политику информационной безопасности организации, следующие пункты:

- вводный, подтверждающий заинтересованность высшего руководства проблемами информационной безопасности;