Политика информационной безопасности: структура, правила и внедрение

Граница материала: Верхнеуровневые принципы, роли и обязательные правила ИБ. Детальные технические регламенты и политика конфиденциальности сайта отдельны. Сквозной пример — растущая компания впервые формализует единые требования для сотрудников и подрядчиков. Каждый раздел заканчивается решением или доказательством, которое можно проверить через показатель: охват областей, подтверждённые ознакомления, исключения, нарушения, срок пересмотра и выполнение контрольных процедур.

Определить цель и область действия: политика информационной безопасности

Доказательство безопасности должно пережить смену исполнителя. На этапе «определить цель и область действия» владелец актива хранит артефакт операции «определить цель и область действия» для темы «политика информационной безопасности»: свидетельство защиты по шагу «определить цель и область действия» с датой, источником и итогом теста в общей системе. Для случая «растущая компания впервые формализует единые требования для сотрудников и подрядчиков» воспроизведите проверку по инструкции. Если возникает «при действии «определить цель и область действия» в теме «политика информационной безопасности» возникает отклонение: для «определить цель и область действия» нет проверки в контуре «политика информационной безопасности»», процедуру нельзя считать рабочей.

• Процедура: «определить цель и область действия» в системе «политика информационной безопасности».
• Кто выполняет: владелец актива.
• Повторяемый тест: артефакт операции «определить цель и область действия» для темы «политика информационной безопасности»: свидетельство защиты по шагу «определить цель и область действия» с датой, источником и итогом теста.
• Зависимость от человека: при действии «определить цель и область действия» в теме «политика информационной безопасности» возникает отклонение: для «определить цель и область действия» нет проверки в контуре «политика информационной безопасности».

Связать требования и риски: политика информационной безопасности

Изменение защиты проходит управляемый выпуск. Для «связать требования и риски» руководитель безопасности прикладывает артефакт операции «связать требования и риски» для темы «политика информационной безопасности»: свидетельство защиты по шагу «связать требования и риски» с датой, источником и итогом теста, тест, план отката и окно наблюдения. В теме «политика информационной безопасности» сравните риск до и после. При условии «при действии «связать требования и риски» в теме «политика информационной безопасности» возникает отклонение: для «связать требования и риски» нет проверки в контуре «политика информационной безопасности»» выпуск останавливают.

• Изменение: «связать требования и риски» в системе «политика информационной безопасности».
• Кто выпускает: руководитель безопасности.
• Тест и откат: артефакт операции «связать требования и риски» для темы «политика информационной безопасности»: свидетельство защиты по шагу «связать требования и риски» с датой, источником и итогом теста.
• Стоп выпуска: при действии «связать требования и риски» в теме «политика информационной безопасности» возникает отклонение: для «связать требования и риски» нет проверки в контуре «политика информационной безопасности».

Назначить роли управления: политика информационной безопасности

Инцидентный сценарий проверяется заранее. Во время «назначить роли управления» архитектор защиты использует артефакт операции «назначить роли управления» для темы «политика информационной безопасности»: свидетельство защиты по шагу «назначить роли управления» с датой, источником и итогом теста и фиксирует время обнаружения, ограничения и восстановления. На примере «растущая компания впервые формализует единые требования для сотрудников и подрядчиков» проведите настольную тренировку. Риск «при действии «назначить роли управления» в теме «политика информационной безопасности» возникает отклонение: для «назначить роли управления» нет проверки в контуре «политика информационной безопасности»» становится задачей с датой.

• Сценарий: «назначить роли управления» в системе «политика информационной безопасности».
• Кто реагирует: архитектор защиты.
• Хронология: артефакт операции «назначить роли управления» для темы «политика информационной безопасности»: свидетельство защиты по шагу «назначить роли управления» с датой, источником и итогом теста.
• Неготовая роль: при действии «назначить роли управления» в теме «политика информационной безопасности» возникает отклонение: для «назначить роли управления» нет проверки в контуре «политика информационной безопасности».

Классифицировать информацию: политика информационной безопасности

Исключение не должно становиться постоянным обходом. Для шага «классифицировать информацию» администратор системы записывает артефакт операции «классифицировать информацию» для темы «политика информационной безопасности»: свидетельство защиты по шагу «классифицировать информацию» с датой, источником и итогом теста, причину, компенсирующую меру и срок закрытия. В «политика информационной безопасности» регулярно ищите просроченные исключения. Ошибка: при действии «классифицировать информацию» в теме «политика информационной безопасности» возникает отклонение: для «классифицировать информацию» нет проверки в контуре «политика информационной безопасности».

• Исключение: «классифицировать информацию» в системе «политика информационной безопасности».
• Кто принимает: администратор системы.
• Компенсация: артефакт операции «классифицировать информацию» для темы «политика информационной безопасности»: свидетельство защиты по шагу «классифицировать информацию» с датой, источником и итогом теста.
• Просрочка: при действии «классифицировать информацию» в теме «политика информационной безопасности» возникает отклонение: для «классифицировать информацию» нет проверки в контуре «политика информационной безопасности».

Задать правила доступа: политика информационной безопасности

После «задать правила доступа» пересмотрите модель «политика информационной безопасности». владелец данных сопоставляет артефакт операции «задать правила доступа» для темы «политика информационной безопасности»: свидетельство защиты по шагу «задать правила доступа» с датой, источником и итогом теста с показателем «охват областей, подтверждённые ознакомления, исключения, нарушения, срок пересмотра и выполнение контрольных процедур» и обновляет правила по факту. Отдельно сохраните удачные и неудачные решения. При риске «при действии «задать правила доступа» в теме «политика информационной безопасности» возникает отклонение: для «задать правила доступа» нет проверки в контуре «политика информационной безопасности»» назначьте повторную проверку.

• Урок: «задать правила доступа» в системе «политика информационной безопасности».
• Кто закрепляет: владелец данных.
• Новое правило: артефакт операции «задать правила доступа» для темы «политика информационной безопасности»: свидетельство защиты по шагу «задать правила доступа» с датой, источником и итогом теста.
• Повторная проверка: при действии «задать правила доступа» в теме «политика информационной безопасности» возникает отклонение: для «задать правила доступа» нет проверки в контуре «политика информационной безопасности».

Описать устройства и удалённую работу: политика информационной безопасности

Для контроля «политика информационной безопасности» сначала определите защищаемый объект. На операции «описать устройства и удалённую работу» аналитик SOC оформляет артефакт операции «описать устройства и удалённую работу» для темы «политика информационной безопасности»: свидетельство защиты по шагу «описать устройства и удалённую работу» с датой, источником и итогом теста. Проверьте сценарий «растущая компания впервые формализует единые требования для сотрудников и подрядчиков» с обычным пользователем и нарушителем. Риск «при действии «описать устройства и удалённую работу» в теме «политика информационной безопасности» возникает отклонение: для «описать устройства и удалённую работу» нет проверки в контуре «политика информационной безопасности»» означает, что мера существует только формально.

• Актив: «описать устройства и удалённую работу» в системе «политика информационной безопасности».
• Владелец: аналитик SOC.
• Доказательство: артефакт операции «описать устройства и удалённую работу» для темы «политика информационной безопасности»: свидетельство защиты по шагу «описать устройства и удалённую работу» с датой, источником и итогом теста.
• Пробел: при действии «описать устройства и удалённую работу» в теме «политика информационной безопасности» возникает отклонение: для «описать устройства и удалённую работу» нет проверки в контуре «политика информационной безопасности».

Установить порядок инцидентов: политика информационной безопасности

Шаг «установить порядок инцидентов» оценивают по снижению реального риска. В контуре «политика информационной безопасности» координатор изменений сохраняет артефакт операции «установить порядок инцидентов» для темы «политика информационной безопасности»: свидетельство защиты по шагу «установить порядок инцидентов» с датой, источником и итогом теста, границу действия и известные исключения. Сопоставьте угрозу, стоимость меры и показатель «охват областей, подтверждённые ознакомления, исключения, нарушения, срок пересмотра и выполнение контрольных процедур». Если остаётся «при действии «установить порядок инцидентов» в теме «политика информационной безопасности» возникает отклонение: для «установить порядок инцидентов» нет проверки в контуре «политика информационной безопасности»», решение возвращают на уточнение.

• Угроза: «установить порядок инцидентов» в системе «политика информационной безопасности».
• Кто решает: координатор изменений.
• Оценка меры: артефакт операции «установить порядок инцидентов» для темы «политика информационной безопасности»: свидетельство защиты по шагу «установить порядок инцидентов» с датой, источником и итогом теста.
• Остаточный риск: при действии «установить порядок инцидентов» в теме «политика информационной безопасности» возникает отклонение: для «установить порядок инцидентов» нет проверки в контуре «политика информационной безопасности».

Включить поставщиков и обучение: политика информационной безопасности

Не доверяйте одному сигналу. Для действия «включить поставщиков и обучение» группа реагирования собирает артефакт операции «включить поставщиков и обучение» для темы «политика информационной безопасности»: свидетельство защиты по шагу «включить поставщиков и обучение» с датой, источником и итогом теста минимум из двух независимых источников. На примере «растущая компания впервые формализует единые требования для сотрудников и подрядчиков» проверьте ложноположительный и пропущенный случаи. При риске «при действии «включить поставщиков и обучение» в теме «политика информационной безопасности» возникает отклонение: для «включить поставщиков и обучение» нет проверки в контуре «политика информационной безопасности»» автоматическое решение ограничивают.

• Сигнал: «включить поставщиков и обучение» в системе «политика информационной безопасности».
• Кто проверяет: группа реагирования.
• Два источника: артефакт операции «включить поставщиков и обучение» для темы «политика информационной безопасности»: свидетельство защиты по шагу «включить поставщиков и обучение» с датой, источником и итогом теста.
• Ошибка детектора: при действии «включить поставщиков и обучение» в теме «политика информационной безопасности» возникает отклонение: для «включить поставщиков и обучение» нет проверки в контуре «политика информационной безопасности».

Управлять исключениями и контролем: политика информационной безопасности

Разделите предупреждение и блокировку. В системе «политика информационной безопасности» операция «управлять исключениями и контролем» получает владельца владелец исключения, правило реакции и артефакт операции «управлять исключениями и контролем» для темы «политика информационной безопасности»: свидетельство защиты по шагу «управлять исключениями и контролем» с датой, источником и итогом теста. Сначала протестируйте наблюдение, затем влияние на работу. Признак остановки: при действии «управлять исключениями и контролем» в теме «политика информационной безопасности» возникает отклонение: для «управлять исключениями и контролем» нет проверки в контуре «политика информационной безопасности».

• Режим реакции: «управлять исключениями и контролем» в системе «политика информационной безопасности».
• Кто включает: владелец исключения.
• Запись события: артефакт операции «управлять исключениями и контролем» для темы «политика информационной безопасности»: свидетельство защиты по шагу «управлять исключениями и контролем» с датой, источником и итогом теста.
• Влияние на работу: при действии «управлять исключениями и контролем» в теме «политика информационной безопасности» возникает отклонение: для «управлять исключениями и контролем» нет проверки в контуре «политика информационной безопасности».

Утвердить и пересматривать документ: политика информационной безопасности

Права на шаге «утвердить и пересматривать документ» выдаются под конкретную функцию и срок. Для «политика информационной безопасности» независимый аудитор подтверждает артефакт операции «утвердить и пересматривать документ» для темы «политика информационной безопасности»: свидетельство защиты по шагу «утвердить и пересматривать документ» с датой, источником и итогом теста. Проверьте отзыв после смены роли и аварийный доступ. Ситуация «при действии «утвердить и пересматривать документ» в теме «политика информационной безопасности» возникает отклонение: для «утвердить и пересматривать документ» нет проверки в контуре «политика информационной безопасности»» требует немедленного разбора.

• Минимальное право: «утвердить и пересматривать документ» в системе «политика информационной безопасности».
• Кто одобряет: независимый аудитор.
• Срок доступа: артефакт операции «утвердить и пересматривать документ» для темы «политика информационной безопасности»: свидетельство защиты по шагу «утвердить и пересматривать документ» с датой, источником и итогом теста.
• Лишняя привилегия: при действии «утвердить и пересматривать документ» в теме «политика информационной безопасности» возникает отклонение: для «утвердить и пересматривать документ» нет проверки в контуре «политика информационной безопасности».

Матрица контроля и владения

Что изучить дальше

• аудит ИИ-систем
• инциденты с ИИ
• маскирование данных
• персональные данные в ИИ
• маскирование данных
• качество данных

Чек-лист запуска