3.2.3 Процедуры безопасности

Процедуры безопасности важны не менее, чем политики. Процедуры безопасности являются необходимым и важным дополнением к политикам безопасности. Политики безопасности только описывают, что должно быть защищено и каковы основные правила защиты. Процедуры безопасности определяют, как защитить ресурсы и каковы механизмы исполнения политики, то есть, как реализовывать политики безопасности.

По существу, процедуры безопасности представляют собой пошаговые инструк­ции для выполнения оперативных задач. Часто процедура является тем инструментом, с помощью которого политика преобразуется в реальное действие. Например, политика паролей формулирует правила создания паролей, правила о том, как защитить пароль и как часто менять его. Процедура управления паролями описывает процесс создания новых паролей, распределения их, а также процесс гаран­тированной смены паролей на критичных устройствах.

Процедуры безопасности детально определяют действия, которые нужно предпринять при реагировании на конкретные события. Процедуры безопасности обеспечивают быстрое реагирование в критической ситуации. Процедуры помогают устранить проблему единой точки отказа в работе, если, например, во время кризиса работник неожиданно покидает рабочее место или оказывается недоступен.

Многие процедуры, связанные с безопасностью, должны быть стандартными средствами в любом подразделении. В качестве примеров можно указать процедуры для резервного копирования и внесистемного хранения защищенных копий, а также процедуры для вывода пользователя из активного состояния и/или архи­вирования логина и пароля пользователя, применяемые сразу, как только данный пользователь увольняется из организации.

Рассмотрим несколько важных процедур безопасности, которые необходимы почти каждой организации.

Процедура реагирования на события.

Данная процедура является необходимым средством безопасности для большинства организаций. Организация особенно уязвима, когда обнаруживается вторжение в ее сеть или когда она сталкивается со стихийным бедствием. Нетрудно представить, что произойдет в последующие мину­ты и часы, если интеллектуальная собственность компании составляет миллионы или миллиарды долларов.

Процедуру реагирования на события иногда называют процедурой обработки событий или процедурой реагирования на инциденты. Практически невозможно указать отклики на все события нарушений безопасности, но нужно стремиться охватить основные типы нарушений, которые могут произойти.

Вот некоторые примеры событий нарушений безопасности: сканирование портов сети, атака типа «отказ в обслуживании», компрометация хоста, несанкционированный доступ и др.

Данная процедура определяет:

• обязанности членов команды реагирования;

• какую информацию регистрировать и прослеживать;

• как обрабатывать исследование отклонений от нормы и атаки вторжения;

• кого уведомлять и когда;

• кто может выпускать в свет информацию и какова процедура выпуска информации;

• как должен выполняться последующий анализ и кто будет в этом участвовать.

В команду реагирования могут быть включены должностные лица компании, менеджер маркетинга (для связи с прессой), системный и сетевой администраторы и представитель соответствующих правоохранительных органов. Процедура должна указать, когда и в каком порядке они вызываются.

Процедура управления конфигурацией.

Процедура управления конфигурацией обычно определяется на корпоративном уровне или уровне подразделения. Эта процедура должна определить процесс документирования и запроса изменений конфигурации на всех уровнях принятия решений. В принципе, должна существовать центральная группа, которая рассматривает все запросы на изменения конфигурации и принимает необходимые решения.

Процедура управления конфигурацией определяет:

• кто имеет полномочия выполнять изменения конфигурации аппаратного и программного обеспечения;

• как тестируется и инсталлируется новое аппаратное и программное обес­печение;

• как документируются изменения в аппаратном и программном обеспечении; О кто должен быть проинформирован, когда случаются изменения в аппарат­ном и программном обеспечении.

Процесс управления конфигурацией важен по нескольким причинам:

• он документирует сделанные изменения и обеспечивает возможность аудита;

• он документирует возможный простой системы;

• он дает способ координировать изменения так, чтобы одно изменение не по­мешало другому.