Термін
Політика безпеки
Основний внутрішній документ, що визначає правила інформаційної безпеки у фірмі: хто до чого має доступ, як поводитися з паролями, пристроями й даними, як робити резервні копії й хто займається інцидентами. Її вимагають NIS2, ISO 27001, банки й страховики.
Оновлено
Що це означає
Політика безпеки - основний документ, у якому керівництво фірми встановлює, як захищаються інформація та ІТ-системи. Він описує цілі, відповідальність і головні правила та посилається на детальніші положення, наприклад про паролі, резервне копіювання чи використання власних пристроїв. Це не технічний посібник, а рішення керівництва про те, що фірма вважає важливим.
Зазвичай вона охоплює керування доступом, класифікацію інформації, резервне копіювання й відновлення, безпеку пошти й пристроїв, включно з BYOD, роботу з постачальниками, навчання працівників і реагування на інциденти. Добра політика коротка й зрозуміла й людині поза ІТ.
Політика - перший документ, який запитує аудитор за ISO 27001, наглядовий орган за NIS2, а також банк, великий замовник чи страховик під час кіберстрахування. Без неї фірмі важко довести, що вона керує безпекою, а не вирішує її лише тоді, коли щось зламалося.
Як це працює на практиці
Для невеликої фірми досить політики на дві-три сторінки й кількох коротких положень. Важливо, щоб її затвердив директор, щоб кожне правило мало ясно названу відповідальну особу і щоб політику раз на рік переглядали, наприклад під час зміни систем чи після інциденту.
У бухгалтерській фірмі політика безпеки - ще й питання довіри клієнтів: ми обробляємо зарплати, банківські виписки й персональні дані. Тож у ній має бути ясно, хто має доступ до яких клієнтських тек, як пересилаються чутливі документи і як довго вони зберігаються.
Сама політика нічого не захищає, якщо люди її не знають. Разом із нею радимо навчання під час прийняття на роботу й раз на рік і простий спосіб повідомити про підозрілий лист чи загублений телефон. Працівник, який боїться визнати помилку, повідомить про неї пізно чи ніколи.
На що звернути увагу
Найчастіша помилка - політика, завантажена з інтернету, яка описує процеси, яких у фірми насправді немає. Під час перевірки чи страхового випадку швидко виявляється розбіжність між папером і реальністю, і страховик може заперечити, що фірма не дотримувалася власних правил.
Друга помилка - політика без власника. Якщо ніхто не відповідає за її оновлення, через два роки вона описує системи, якими фірма вже не користується, і не охоплює нових, наприклад хмарних застосунків чи генеративного ШІ, куди працівники можуть вводити чутливі дані.
Потрібно пояснити термін на вашій конкретній ситуації? Консультації від 55 € / година без ПДВ, залежно від теми та складності.