Политика безопасности

Во первых, политика это свод формальных правил, которые должны неукоснительно соблюдаться для достижения ее целей.

Во вторых, безопасность это обеспечение условий необходимых как для существования ее объекта, так и для его развития. Ясно, что информационная безопасность это безопасность в информационной сфере. Под безопасностью информации принято понимать обеспечение ее конфиденциальности, целостности, доступности, а также таких свойств как неотказуемости, аутентичности, подотчетности и достоверности.

Таким образом, свободно политику информационной безопасности можно определить как свод формальных правил, которые необходимо соблюдать при работе с информацией для обеспечения существования и развития компании.

Основной целью политики ИБ является общее описание правил работы с информацией компании. Наличие сформулированных и закрепленных на бумаге правил обеспечения информационной безопасности позволит достичь:

1. Стабильность защиты.

2. Независимость защиты от личных и профессиональных качеств исполняющего персонала.

3. Возможность контроля как защиты так и процедур обработки информации.

Перед разработкой политики информационной безопасности должен быть проведен анализ активов, включающий их учет и оценку. Готовая политика должна иметь в своем составе отдельный раздел для каждого обнаруженного актива, группы взаимосвязанных активов или обособленной части актива компании в зависимости от ранее проведенного анализа их структуры и взаимосвязи.

Активы компании для которых разрабатывается политика ИБ могут принадлежать к следующим классам:

• Аппаратное обеспечение.

• Каналы связи.

• Программное обеспечение.

• Информация.

• Персонал.

• Процедуры.

В дополнение и исходя из политики ИБ могут быть разработаны другие документы, такие как руководства или стандарты. В отличии от политик они более конкретны, что выражается в привязке к определенному оборудованию, версиям программ или в точном указаний необходимой последовательности действий для достижения заданного результата. Кроме того, выполнение этих документов может не является обязательным, они могут носить информационный или рекомендательный характер.

Политика ИБ разрабатывается специалистами ИБ компании для использования остальными сотрудниками компании. По этому, она должна быть изложена максимально просто, на обычном языке с использованием минимума специальной лексики только там где это необходимо.

Политика информационной безопасности должна описывать в своем содержании:

1. Цель.

2. Область применения.

3. Требования к защите.

4. Ответственность за нарушение.

5. Расшифровка специальных терминов. При необходимости.

6. Периодичность и учет пересмотра (изменения).

Требования содержащиеся в политике информационной безопасности должны быть обоснованными и подходящими. Это значит что они должны устанавливаться исходя из уязвимостей, угроз и ценности защищаемых активов и не должны препятствовать их функционированию соответственно.

Кроме того, требования должны иметь общий характер и не зависеть от конкретных систем защиты. Наоборот, системы защиты выбираются исходя из политик информационной безопасности.

Также можно заметить, что требования политик информационной безопасности должны быть реализуемыми.

Политика ИБ является важным документом без которого невозможно обеспечить эффективную защиту информации. Однако политика это не самоцель, она всего лишь элемент процесса управления или менеджмента безопасности. Этот процесс также составляют подготовительный этап, этап внедрения защитных мер, этап мониторинга и этап улучшения.

Все перечисленные этапы составляют замкнутый цикл, который должен осуществляться непрерывно в течение создания, существования и уничтожения информационной системы.

Дата добавления: 2014-01-03