Рекомендации специалистов по информационной безопасности

Каждая организация, крупная или мелкая, может извлечь пользу из рекомендаций, даваемых специалистами по безопасности. В идеале в штатном расписании организации должна быть предусмотрена соответствующая должность, и ее должен занимать опытный специалист. Для небольших организаций, однако, нанимать такого специалиста на постоянную работу невыгодно. В этом случае рекомендуется создать единую службу поддержки, чтобы обеспечить согласованность при принятии решений по вопросам безопасности и способствовать максимальному использованию знаний и опыта сотрудников.

Следует так подобрать специалистов по защите информации и сотрудников службы поддержки, чтобы обеспечить решение любой проблемы, касающейся информационной безопасности. Качество их оценок угроз системе безопасности и рекомендуемые ими меры противодействия будут определять эффективность программы обеспечения информационной безопасности в организации. Для обеспечения максимальной эффективности такой программы этим специалистам должен быть предоставлен прямой доступ к администраторам информационных систем и руководству организации.

В подозрительных случаях нарушения защиты следует как можно раньше обратиться к консультанту по вопросам обеспечения информационной безопасности или в службу поддержки, чтобы получить необходимые указания или ресурсы для расследования таких инцидентов. Хотя большинство внутренних расследований, связанных с нарушением защиты, обычно выполняется под контролем руководства, можно обратиться к консультанту по информационной безопасности как за советом, так и с предложением возглавить или провести необходимые расследования.

Сотрудничество между организациями

Следует поощрять контакты специалистов по защите информации из штата организации со специалистами из других организаций (промышленных или правительственных) по их усмотрению. Такое взаимодействие дает возможность обмена опытом и оценками угроз режиму безопасности, а также способствует разработке согласованных правил в промышленности, что помогает устранить препятствия на пути установления деловых отношений между организациями.

Важно также поддерживать соответсвующие контакты с правоохранительными органами, поставщиками информационных сервисов и телекоммуникационными органами, чтобы обеспечить своевременное установление контактов и получение рекомендаций в случае инцидента в системе безопасности.

Обмен информацией по вопросам безопасности должен быть ограничен, чтобы гарантировать, что конфиденциальная информация организации не попадет в руки лиц, не имеющих соответствующие полномочия.

Независимый анализ информационной безопасности

В документе о политике информационной безопасности (см. Документ о политике информационной безопасности) определяются обязанности по защите информации и формулируется соответствующая политика. Реальные процедуры обеспечения информационной безопасности должны быть подвергнуты независимому анализу, чтобы быть уверенным, что используемые организацией процедуры защиты соответствуют принятой политике безопасности, а также являются реализуемыми и эффективными.

Примечание. Кандидатами на выполнение такого анализа являются внутренняя аудиторская служба, независимый старший администратор или сторонняя организация, специализирующаяся на сертификации соответствия политике безопасности в тех случаях, когда они имеют надлежащую квалификацию и опыт.