Осведомлённость и связь
На всех этапах процесса обеспечения ИБ коммуникация является ключевым элементом для достижения поставленных целей. Недопонимания и пробелы в знаниях и умениях являются наиболее частыми причинами возникающих проблем по взаимодействию внутри команды внедрения. В связи с этим на всех уровнях и во всех подразделениях компании необходимо обеспечить бесперебойный информационный поток о событиях и мерах в области ИБ. Как минимум в компании должно быть обеспечено:
- отчётность перед руководством. Руководству компании необходимо периодически предоставлять информацию о важных проблемах, результатах проверок и аудитов, а также о новых тенденциях, изменяющихся условиях или возможностях для улучшения, чтобы оно могло надлежащим образом выполнять свои управленческие функции. Для принятия верных решений при управлении и регулировании процесса обеспечения ИБ руководству компании требуется представлять ключевые показатели состояния ИБ, по другому их называют – метрики ИБ. Эти показатели должны быть представлены в управленческих отчётах, которые подразделение по ИБ должно регулярно предоставлять руководству в соответствующей форме. Руководство, ознакомившись с управленческими отчётами, при необходимости, должно предпринимать требуемые управленческие действия. В компании следует создать комитет по ИБ и его решения направлять на утверждение руководству компании;
- информационный поток. Недостаточная коммуникация и отсутствие информации могут приводить как к проблемам ИБ, так и к неправильным решениям или ненужным рабочим шагам с потерей драгоценного времени. Сотрудников нужно информировать о смысле и цели мер защиты, особенно если они влекут за собой дополнительную нагрузку или приводят к дополнительным неудобствам. Кроме того, сотрудники должны быть осведомлены о связанных с их работой правовых сторон ИБ и защиты данных. Сотрудников также следует включать в планирование реализации требований безопасности, чтобы они могли вносить собственные идеи и оценивать их практическую применимость, имели возможность давать обратную связь, обсуждать проекты локальных актов, связанных с вопросами ИБ. Для этого в компании должен быть создан отдельный информационный ресурс по ИБ;
- классификация информации. Чтобы обеспечить надлежащую защиту информации, её значимость для компании должна быть чётко определена. Для более простого обмена информацией о ценности различных видов информации, как внутри компании, так и с другими организациями, требуется схема классификации и маркирования, описывающая уровни конфиденциальности (ценности информации). Для этого в компании должен быть утверждён перечень защищаемой информации;
- документирование. Для обеспечения непрерывности и последовательности всего процесса обеспечения ИБ необходимо его постоянно документировать. Только так различные шаги процесса и принятые решения становятся контролируемые, и за их неисполнение может наступить юридическая ответственность. Кроме того, полная документация гарантирует, что аналогичные работы выполняются должным образом, делая процессы измеримыми и воспроизводимыми. Документация также помогает выявлять основные слабости в процессе и избегать повторения ошибок. Необходимая документация выполняет различные функции в различных мероприятиях по ИБ и ориентирована на разные целевые аудитории. Можно выделить следующие виды документации:
- Техническая документация и документация рабочих процессов (целевая аудитория — эксперты, техники). При сбоях или инцидентах должна быть возможность восстановить желаемое состояние бизнес-процессов и соответствующих ИТ-систем. Технические детали и рабочие процессы должны быть задокументированы таким образом, чтобы это можно было сделать в разумные сроки и как можно с наименьшей квалификацией персонала, чтобы даже уборщица, в случае необходимости могла восстановить работоспособность;
- Отчёты для руководства (целевая аудитория — высшее руководство, руководство безопасностью). Вся информация, необходимая руководству для выполнения своих управленческих и контрольных функций, должна фиксироваться с требуемой степенью детализации (например, результаты аудитов, измерения эффективности, отчёты об инцидентах безопасности);
- Документирование управленческих решений (целевая аудитория — высшее руководство). Высшее руководство должно документировать и обосновать выбранную стратегию ИБ. Кроме того, решения, касающиеся аспектов безопасности, должны быть задокументированы на всех уровнях, чтобы они были прослеживаемые, контролируемые и воспроизводимы в любое время.
Формальные требования к документации
Документация не обязательно должна вестись исключительно в бумажной форме. Выбор средства документирования должен определяться в соответствии с конкретными потребностями. Так, для нужд кризисного управления целесообразно использование удалённого программного обеспечения (защищённого облачного ресурса), позволяющего заблаговременно фиксировать все необходимые мероприятия и контактные лица, что обеспечивает его мобильную доступность в чрезвычайных ситуациях, например, на переносном ноутбуке с доступом к этому ресурсу. Однако, в зависимости от характера кризисного события, предпочтительной может оказаться удобная бумажная справочная документация.
Следует учитывать законодательные или договорные требования к документированию, например, в отношении сроков хранения и детализации содержания. Документация выполняет свою функцию лишь при условии регулярного составления и поддержания её актуальности. Кроме того, она должна быть структурирована и систематизирована для обеспечения доступности при необходимости. Авторство и даты создания различных элементов документации должны быть видны. При наличии ссылок на другие документы, их источники должны быть явно указаны, а сами документы должны быть доступны.
Документация, имеющая отношение к вопросам ИБ, может содержать конфиденциальную информацию и, соответственно, требует надлежащей защиты. Помимо потребности в защите, должны быть утверждены регламенты хранения и уничтожения. В описаниях процессов и процедур следует определять необходимость анализа документации, её пересмотра, ответственных лиц, а также круг лиц, имеющих доступ к ней. Документация, содержащая конфиденциальную информацию, не может располагаться на внутреннем информационном ресурсе по ИБ компании, а должна храниться только в защищённых от несанкционированного доступа местах.
Продолжение следует…
Свои комментарии вы можете оставлять в наших социальных сетях. Для соблюдения федерального закона о персональных данных, на данном сайте комментирование закрыто.
Внимание! Материал охраняется авторским правом на основании статьи 1259 ГК РФ.
Третьи лица не вправе использовать с целью создания каких-либо средств обработки представленной информации и размещённых на данной странице результатов интеллектуальной деятельности каким-либо образом без письменного согласия ИП Гордеев С.А. (ОГРНИП: 326527500084187). Распространение настоящей информации возможно только при указании ссылки на данную страницу.
Использование результатов интеллектуальной деятельности, если такое использование осуществляется без письменного согласия ИП Гордеев С.А. (ОГРНИП: 326527500084187), является незаконным и влечёт ответственность, установленную действующим законодательством РФ.
Платная поддержка оказывается через платформу “Спонсор” (https://sponsr.ru/vk_ib_cibez/about/).