6.3Політика безпеки

З практичної точки зору політику безпеки доцільно розглядати на трьох рівнях деталізації.

До верхнього рівня можна віднести рішення, що зачіпають організацію в цілому. Вони носять вельми загальний характер і, як правило, виходитимуть від керівництва організації. Зразковий список подібних рішень може включати наступні елементи:

• рішення сформувати або переглянути комплексну програму забезпечення інформаційної безпеки, призначення відповідальних за просування програми;

• формулювання цілей, які переслідує організація у області інформаційної безпеки, визначення загальних напрямів в досягненні цієї мети;

• забезпечення бази для дотримання законів і правил;

• формулювання адміністративних рішень з того питання реалізації програми безпеки, які повинні розглядатися на рівні організації в цілому.

Для політики верхнього рівня мети організації в області інформаційної безпеки формулюються у термінах цілісності, доступності і конфіденційності. Якщо організація відповідає за підтримку критично важливих баз даних, на першому плані може стояти зменшення числа втрат, пошкоджень або спотворень даних. Для організації, що займається продажею комп'ютерної техніки, ймовірно, важлива актуальність інформації про послуги і ціни, та її доступність максимальному числу потенційних покупців. Керівництво режимного підприємства в першу чергу піклується про захист від несанкціонованого доступу, тобто про конфіденційність.

На верхній рівень виноситься управління захисними ресурсами і координація використання цих ресурсів, виділення спеціального персоналу для захисту критично важливих систем і взаємодія з іншими організаціями, що забезпечують або контролюючими режим безпеки.

Політика верхнього рівня повинна чітко обкреслювати сферу свого впливу. Можливо, це будуть всі комп'ютерні системи організації (або навіть більше, якщо політика регламентує деякі аспекти використання співробітниками своїх домашніх комп'ютерів). Можлива, проте, і така ситуація, коли в сферу впливу включаються лише найбільш важливі системи.

У політику повинні бути визначені обов'язки посадовців по виробленню програми безпеки і проведенню її в життя. У цьому сенсі політика безпеки є основою підзвітності персоналу.

Політика верхнього рівня має справу з трьома аспектами законопокірності і виконавської дисципліни:

• організація повинна дотримувати існуючі закони;

• слід контролювати дії осіб, відповідальних за вироблення програми безпеки;

• необхідно забезпечити певний ступінь старанності персоналу, а для цього потрібно виробити систему заохочень і покарань.

Взагалі кажучи, на верхній рівень слід виносити мінімум питань. Подібне винесення доцільно, коли воно обіцяє значну економію засобів або коли інакше поступити просто неможливо.

Британський стандарт BS 7799:1995 рекомендує включати в документ, що характеризує політику безпеки організації, наступні розділи:

• ввідний, підтверджуючий заклопотаність вищого керівництва проблемами інформаційної безпеки;

• організаційний, що містить опис підрозділів, комісій, груп і т.д., що відповідають за роботи у області інформаційної безпеки;

• класифікаційний, що описує наявні в організації матеріальні і інформаційні ресурси і необхідний рівень їх захисту;

• штатний, що характеризує заходи безпеки, вживані до персоналу (опис посад з погляду інформаційної безпеки, організація навчання і перепідготовки персоналу, порядок реагування на порушення режиму безпеки і т.п.);

• розділ, який висвітлює питання фізичного захисту;

• керуючий розділ, який описує підхід до управління комп'ютерами і комп'ютерними мережами;

• розділ, що описує правила розмежування доступу до виробничої інформації;

• розділ, що характеризує порядок розробки і супроводу систем;

• розділ, що описує заходи, направлені на забезпечення безперервної роботи організації;

• юридичний розділ, підтверджуючий відповідність політики безпеки чинному законодавству.

До середнього рівня можна віднести питання, що стосуються окремих аспектів інформаційної безпеки, але важливі для різних експлуатованих організацією систем. Приклади таких питань - відношення до передових (але, можливо, недостатньо перевірених) технологій, доступ в Internet (як сумістити свободу доступу до інформації із захистом від зовнішніх загроз?), використання домашніх комп'ютерів, застосування користувачами неофіційного програмного забезпечення і т.д.

Політика середнього рівня повинна для кожного аспекту освітлювати наступні теми:

Опис аспекту. Наприклад, якщо розглянути застосування користувачами неофіційного програмного забезпечення, останнє можна визначити як ПО, яке не було схвалене та/або куплене на рівні організації.

Область застосування. Слід визначити, де, коли, як, по відношенню до кого і чому застосовується дана політика безпеки. Наприклад, чи торкається політика, зв'язана з використанням неофіційного програмного забезпечення, організацій-субпідрядників? Чи зачіпає вона співробітників, що користуються портативними і домашніми комп'ютерами і вимушених переносити інформацію на виробничі машини?

Позиція організації за даним аспектом. Продовжуючи приклад з неофіційним програмним забезпеченням, можна уявити собі позиції повної заборони, виробітки процедури приймання подібного ПО тощо. Позиція може бути сформульована і в набагато більш загальному вигляді, як набір цілей, які переслідує організація в даному аспекті. Взагалі стиль документів, що визначають політику безпеки (як і їх перелік), в різних організаціях може сильно відрізнятися.

Ролі і обов'язки. У "політичний" документ необхідно включити інформацію про посадовці, відповідальні за реалізацію політики безпеки. Наприклад, якщо для використання неофіційного програмного забезпечення співробітникам потрібен дозвіл керівництва, повинно бути відомо, у кого і як його можна одержати. Якщо неофіційне програмне забезпечення використовувати не можна, слід знати, хто стежить за виконанням даного правила.

Законопокірність. Політика повинна містити загальний опис заборонених дій і покарань за них.

Точки контакту. Повинно бути відомо, куди слід звертатися за роз'ясненнями, допомогою і додатковою інформацією. Звичайно "точкою контакту" служить певний посадовець, а не конкретна людина.

Політика безпеки нижнього рівня відноситься до конкретних інформаційних сервісів. Вона включає два аспекти - цілі і правила їх досягнення, тому її деколи важко відокремити від питань реалізації. На відміну від двох верхніх рівнів, дана політика повинна бути визначена детальніше. Є багато речей, специфічних для окремих видів послуг, які не можна єдиним чином регламентувати в рамках всієї організації. В той же час, ці речі настільки важливі для забезпечення режиму безпеки, що рішення, які відносяться до них, повинні ухвалюватися на управлінському, а не технічному рівні. Приведемо декілька прикладів питань, на які слід дати відповідь в політиці безпеки нижнього рівня:

• хто має право доступу до об'єктів, підтримуваним сервісом?

• за яких умов можна читати і модифікувати дані?

• який організований видалений доступ до сервісу?

При формулюванні цілей політики нижнього рівня можна виходити з міркування цілісності, доступності і конфіденційності, але не можна на цьому зупинятися. Її цілі повинні бути конкретнішими. Наприклад, якщо йдеться про систему розрахунку заробітної платні, можна поставити мету, щоб тільки співробітникам відділу кадрів і бухгалтерії дозволялося вводити і модифікувати інформацію. У більш загальному випадку цілі повинні зв'язувати між собою об'єкти сервісу і дії з ними.

З цілей виводяться правила безпеки, які описують, хто, що і за яких умов може робити. Чим докладніше правила, чім формальніше вони викладені, тим простіше підтримати їх виконання програмно-технічними засобами. З іншого боку, дуже жорсткі правила можуть заважати роботі користувачів, ймовірно, їх доведеться часто переглядати. Керівництву належить знайти розумний компроміс, коли за прийнятну ціну буде забезпечений прийнятний рівень безпеки, а співробітники не опиняться надмірно зв'язані. Звичайно найформальніше задаються права доступу до об'єктів зважаючи на особливу важливість даного питання.