Политика безопасности

Что это значит

Политика безопасности - основной документ, в котором руководство фирмы устанавливает, как защищаются информация и ИТ-системы. Он описывает цели, ответственность и главные правила и ссылается на более подробные положения, например о паролях, резервном копировании или использовании личных устройств. Это не техническое руководство, а решение руководства о том, что фирма считает важным.

Обычно она охватывает управление доступом, классификацию информации, резервное копирование и восстановление, безопасность почты и устройств, включая BYOD, работу с поставщиками, обучение работников и реагирование на инциденты. Хорошая политика коротка и понятна и человеку вне ИТ.

Политика - первый документ, который запрашивает аудитор по ISO 27001, надзорный орган по NIS2, а также банк, крупный заказчик или страховщик при киберстраховании. Без неё фирме трудно доказать, что она управляет безопасностью, а не решает её, только когда что-то сломалось.

Как это работает на практике

Для небольшой фирмы достаточно политики на две-три страницы и нескольких коротких положений. Важно, чтобы её утвердил директор, чтобы у каждого правила было ясно названо ответственное лицо и чтобы политику раз в год пересматривали, например при смене систем или после инцидента.

В бухгалтерской фирме политика безопасности - ещё и вопрос доверия клиентов: мы обрабатываем зарплаты, банковские выписки и персональные данные. Поэтому в ней должно быть ясно, у кого есть доступ к каким клиентским папкам, как пересылаются чувствительные документы и как долго они хранятся.

Сама политика ничего не защищает, если люди её не знают. Вместе с ней мы советуем обучение при приёме на работу и раз в год и простой способ сообщить о подозрительном письме или потерянном телефоне. Работник, который боится признаться в ошибке, сообщит о ней поздно или никогда.

На что обратить внимание

Самая частая ошибка - политика, скачанная из интернета, которая описывает процессы, которых у фирмы на самом деле нет. При проверке или страховом случае быстро обнаруживается расхождение между бумагой и реальностью, и страховщик может возразить, что фирма не соблюдала собственные правила.

Вторая ошибка - политика без владельца. Если никто не отвечает за её обновление, через два года она описывает системы, которыми фирма уже не пользуется, и не охватывает новые, например облачные приложения или генеративный ИИ, куда работники могут вводить чувствительные данные.