Политика информационной безопасности — это формализованный документ или набор документов, в которых закреплены правила, процедуры и стандарты обращения с информацией и информационными системами в организации. Это не техническая инструкция и не руководство по настройке межсетевого экрана. Политика определяет, что разрешено, что запрещено, кто за что отвечает и какие последствия наступают при нарушении правил.
Зачем нужен этот документ
Без политики безопасности действия сотрудников и IT-специалистов хаотичны. Один считает допустимым пересылать рабочие файлы на личную почту, другой хранит пароли в открытом текстовом файле, третий подключает к корпоративной сети личные устройства. Политика устанавливает единые правила, делает требования прозрачными и создаёт правовую основу для привлечения к ответственности в случае их нарушения. Кроме того, наличие политики является требованием регуляторов для многих отраслей.
Структура и содержание
Типичная политика безопасности включает общие положения с описанием целей и области применения, классификацию информации по уровням конфиденциальности, правила управления доступом, требования к парольной защите, порядок работы с съёмными носителями, правила использования электронной почты и интернета, процедуры реагирования на инциденты, порядок резервного копирования и восстановления. В крупных организациях политика разбивается на серию документов: общая политика, частные политики по отдельным направлениям, регламенты и инструкции.
Кто разрабатывает и утверждает
Разработкой политики обычно занимается служба информационной безопасности совместно с юридическим отделом и руководством. Утверждает документ первое лицо организации или уполномоченный заместитель. Важно, чтобы политика не создавалась исключительно для проверяющих органов: она должна отражать реальные бизнес-процессы и быть выполнимой на практике. Иначе сотрудники будут её игнорировать, а сам документ станет формальностью.
Внедрение и контроль
Подписание политики — это только начало. Каждый сотрудник должен быть ознакомлен с документом под подпись, а для новых работников ознакомление включается в процедуру приёма на работу. Периодически политика пересматривается и обновляется в связи с изменением технологий, законодательства или структуры организации. Контроль соблюдения осуществляется службой безопасности с помощью технических средств и выборочных проверок.
Типичные ошибки
Распространённая ошибка — скопировать чужую политику из интернета без адаптации к своей организации. Другая крайность — написать документ настолько детально и жёстко, что его невозможно выполнять в повседневной работе. В обоих случаях политика остаётся мёртвым текстом. Эффективная политика балансирует между безопасностью и удобством, учитывает специфику бизнеса и написана понятным языком.