Цель анализа информационных потоков – определить все критичные точки обработки данных компании. Например, в системе обработки транзакций данные могут перемещаться через Web-браузеры, серверы данных и межсетевые экраны и могут храниться в базах данных, на магнитных носителях и на бумаге. Отслеживая информационные потоки, можно определить состав и структуру соответствующих средств защиты информации.
определение основных угроз и модели нарушителя;
Разработка модели угроз и модели нарушителя позволяет решить, какие типы угроз существуют в информационных системах компании, какова вероятность реализации угроз и каковы их последствия, а также стоимость восстановления.
определение сервисов безопасности;
Определение сервисов безопасности компании, например журналирования, авторизации, идентификации, аутентификации и пр., позволяет правильно выработать политику безопасности.
создание шаблона политики безопасности;
Структура политики безопасности может быть различна. Этот шаг используется для четкого определения разделов политики безопасности компании.
определение области действия политики безопасности.
Последний этап перед созданием первых черновых вариантов политики безопасности – определение всех областей, на которых фокусируется политика безопасности. Например, могут быть определены политики безопасности:
– категорирования информационных ресурсов,
– доступа к информационным ресурсам,
– использования паролей,
– использования шифрования и управления ключами,
– сетевой безопасности,
– физической безопасности,
– работы с электронной почтой,
– реагирования на инциденты в области безопасности,
– мониторинга и аудита безопасности,
– межсетевого экранирования,
– антивирусной защиты,
– управления системами и сетями,
– контроля действий сотрудников,
– резервного копирования,
– допуска сторонних организаций,
– разработки и внедрения приложений,
– управления конфигурациями,
– обнаружения вторжений и пр.
Шаблон политики безопасности. Компания Sun рекомендует использовать следующий шаблон политики безопасности:
• разделы: делается краткий обзор основных разделов политики безопасности;
• заявление о назначении: почему нужна политика безопасности;
• область действия: какова область действия политики безопасности;
• заявление политики: каковы специфические особенности политики безопасности;
• обязанности: кто и что должен делать;
• аудитория: на кого ориентирована политика безопасности;
• внедрение: кто отвечает за внедрение политики безопасности; кто отвечает за нарушения политики безопасности;
• исключения: описание возможных исключений;
• другие соглашения: описание дополнительных соглашений;
• доведение: кто отвечает за доведение политики безопасности до сотрудников; каков процесс доведения;
• процесс пересмотра и обновления: кто отвечает за пересмотр и обновление политики безопасности; что представляет собой процесс пересмотра; по каким причинам это происходит; периодичность пересмотра политики безопасности (например, ежегодно или при возникновении проблемы);
• осуществление политики: кто отвечает за осуществление политики безопасности; как это выполняется;
• мониторинг соответствия: как выполняется мониторинг соответствия политики безопасности требованиям бизнеса.
2.2.2. Пример политики безопасности
Введение
...
Во введении должны быть описаны основные цели и задачи политики безопасности.
Основной целью настоящей политики безопасности является предоставление гарантий защиты информации на всех основных этапах жизненного цикла информационной системы компании. Политика безопасности применима ко всем компонентам информационной системы компании и содержит следующие разделы:
• Состав и структура информационных активов компании;
• Классификация и категорирование информационных активов;
• Определение владельцев информационных активов;
• Анализ угроз и информационных рисков;
• Выработка требований к защите конфиденциальной информации;
• Определение принципов, подходов и способов организации требуемого режима информационной безопасности;
• Создание требуемого режима информационной безопасности компании;
• Поддержка режима информационной безопасности компании.
...
Далее следует краткое изложение политики безопасности. Здесь важно показать позицию руководства компании по вопросу организации режима информационной безопасности.
Настоящая политика безопасности определяет общие цели и задачи компании по обеспечению информационной безопасности и управлению информационными рисками. Утверждается руководством компании и является обязательной для исполнения всеми сотрудниками, партнерами и клиентами компании. Вводная часть политики безопасности может быть описана следующим утверждением: "Доступ к конфиденциальной информации компании предоставляется только авторизованным сотрудникам и пользователям компании для выполнения своих служебных обязанностей".
Нарушение политики и ответственность
...
В этом пункте описывается, что является нарушением политики безопасности, а также степень ответственности за нарушения политики безопасности.
Нарушение настоящей политики безопасности может привести к тяжелым последствиям для компании, в частности к невозможности предоставлять услуги, поддерживать целостность, конфиденциальность и доступность данных и пр.
Преднамеренные действия сотрудников компании, которые привели к нарушению настоящей политики безопасности, влекут за собой дисциплинарные наказания. Преднамеренные или повторяющиеся нарушения политики безопасности, имеющие тяжелые последствия, могут быть приняты как основание к увольнению сотрудника или расторжению контракта, если нарушение произошло по вине клиента или вендора. Все сотрудники компании обязаны строго выполнять требования настоящей политики безопасности.
Область действия политики безопасности
...
Область действия политики безопасности определяется руководством компании и описывает границы ее применимости.
Действие настоящей политики безопасности распространяется на:
• сотрудников компании с полной и частичной занятостью, обладающих правами доступа к конфиденциальным ресурсам компании;
• вендоров, обладающих правами доступа к конфиденциальным ресурсам компании;
• клиентов и партнеров, обладающих правами доступа к конфиденциальным ресурсам компании.
Использование информации
...
Кратко описывается порядок использования информации.
Все сотрудники компании, обладающие правами доступа к конфиденциальной информации компании, должны ее обрабатывать в соответствии с требованиями настоящей политики безопасности. Для надлежащей защиты информации должны быть использованы механизмы идентификации, аутентификации и авторизации.
Каждый сотрудник, ответственный за сохранение конфиденциальной информации компании, должен обеспечить надлежащую маркировку информации и использовать рекомендуемые средства защиты информации.
Передача информации
...
Кратко описывается порядок передачи информации по сети.
Передача данных по сети компании осуществляется в соответствии с требованиями настоящей политики безопасности.
Хранение информации
...
Описывается подход к хранению информации.
Хранение данных в сети компании осуществляется в соответствии с требованиями настоящей политики безопасности.
Уничтожение носителей информации
...
Описывается подход к уничтожению носителей информации.
Уничтожение носителей информации осуществляется в соответствии с процедурой отдела безопасности компании.
Утверждения политики безопасности
...
Этот пункт содержит детальное описание основных положений политики информационной безопасности компании.
Цели
...
Цели описывают административные задачи политики безопасности и почему она необходима.
Цели создания этой политики:
• разработать и довести до сотрудников компании требования по защите конфиденциальной информации компании;
• гарантировать безопасность, целостность и доступность конфиденциальных данных компании;
• установить базовый уровень защиты информации в компании.
Состав и структура информационной системы
...
Содержится описание состава и структуры информационной системы компании.
Обязанности по защите информации