и вынужденных переносить информацию на производственные машины?
Позиция организации по данному
аспекту. Продолжая пример с неофициальным программным обеспечением, можно
представить себе позиции полного запрета, выработки процедуры приемки подобного
ПО и т.п. Позиция может быть сформулирована и в гораздо более общем виде, как
набор целей, которые преследует организация в данном аспекте. Вообще стиль
документов, определяющих политику безопасности (как и их перечень), в разных
организациях может сильно отличаться.
Роли и обязанности. В
"политический" документ необходимо включить информацию о должностных
лицах, ответственных за реализацию политики безопасности. Например, если для
использования неофициального программного обеспечения сотрудникам требуется
разрешение руководства, должно быть известно, у кого и как его можно получить.
Если неофициальное программное обеспечение использовать нельзя, следует знать,
кто следит за выполнением данного правила.
Законопослушность. Политика
должна содержать общее описание запрещенных действий и наказаний за них.
Точки контакта. Должно быть
известно, куда следует обращаться за разъяснениями, помощью и дополнительной
информацией. Обычно "точкой контакта" служит определенное должностное
лицо, а не конкретный человек, занимающий в данный момент данный пост.
Политика безопасности нижнего уровня относится к
конкретным информационным сервисам. Она включает в себя два аспекта — цели и
правила их достижения, поэтому ее порой трудно отделить от вопросов реализации.
В отличие от двух верхних уровней, рассматриваемая политика должна быть определена
более подробно. Есть много вещей, специфичных для отдельных видов услуг,
которые нельзя единым образом регламентировать в рамках всей организации. В то
же время, эти вещи настолько важны для обеспечения режима безопасности, что
относящиеся к ним решения должны приниматься на управленческом, а не
техническом уровне. Приведем несколько примеров вопросов, на которые следует
дать ответ в политике безопасности нижнего уровня:
·
кто
имеет право доступа к объектам, поддерживаемым сервисом?
· при
каких условиях можно читать и модифицировать данные?
· как
организован удаленный доступ к сервису?
При формулировке целей политики нижнего уровня
можно исходить из соображений целостности, доступности и конфиденциальности,
но
нельзя на этом останавливаться. Ее цели должны быть более конкретными.
Например, если речь идет о системе расчета заработной платы, можно поставить
цель, чтобы только сотрудникам отдела кадров и бухгалтерии позволялось вводить
и модифицировать информацию. В более общем случае цели должны связывать между собой
объекты сервиса и действия с ними.
Из целей выводятся правила
безопасности, описывающие, кто, что и при каких условиях может делать. Чем
подробнее правила, чем более формально они изложены, тем
Главная / безопасность пк / методы защиты информации 