Вирусы, трояны, кража важной информации, атаки типа «отказ в обслуживании» и вредоносное ПО в целом представляют собой угрозы, которые в последнее время становятся почти ежедневными инцидентами.
Данные об обнаруженных инцидентах и уязвимостях, по мнению CERT, совсем не многообещающие, за последние годы увеличившись вдвое. С другой стороны, и подтверждая опубликованные цифры, каждый день демонстрируется, что технических мер недостаточно для решения инцидентов, связанных с безопасностью, хотя внешний вид иногда может нас обмануть, и ситуация делает нас более уязвимыми из-за сенсации. и уверенность в достигнутой безопасности.
Политики и стандарты
В последние годы мы наблюдаем заметный успех различных стандартов для реализации моделей стратегической информационной безопасности; COBIT, COSO, CMMI или бином ISO 17799-ISO 27001 как один из самых успешных и широко признанных стандартов во всем мире. Если мы проанализируем некоторые из этих нормативных актов, одним из факторов, которые следует установить с самого начала, является набор политик, принципов и требований соответствия в Компании, которые сделают акцент на управлении безопасностью. Указанные документы должны быть опубликованы и известны всем сотрудникам, устанавливая посредством простой и понятной формулировки стандарты, которые считаются необходимыми для соответствия установленным требованиям, а также общие и особые обязанности с точки зрения управления безопасностью,включая механизм, которому нужно следовать, чтобы сообщить о любом инциденте. И последнее, но не менее важное: необходимо будет установить последствия нарушений политики и правил безопасности, утвержденных Управлением. Различные стандарты безопасности определяют в качестве ключевого момента установление ролей, обязанностей и функций для всех сотрудников, а также способ создания этих помещений безопасности для любого сотрудника, нанятого третьими сторонами с доступом к информации компании.Различные стандарты безопасности определяют в качестве ключевого момента установление ролей, обязанностей и функций для всех сотрудников, а также способ создания этих помещений безопасности для любого сотрудника, нанятого третьими сторонами с доступом к информации компании.Различные стандарты безопасности определяют в качестве ключевого момента установление ролей, обязанностей и функций для всех сотрудников, а также способ создания этих помещений безопасности для любого сотрудника, нанятого третьими сторонами с доступом к информации компании.
Несмотря на технические меры, необходимые ресурсы и любую политику или нормативные акты, которые Компания может разработать и обязать соблюдать, одним из наиболее важных активов при любом подходе к безопасности является сам персонал и любой работник, который обрабатывает информацию и управляет ресурсами. в соответствии с назначенными полномочиями и обязанностями. Это может показаться очевидным, не во всех организациях анализируется и рассматривается с той же актуальностью, что и внедрение любого технического инструмента, влияющего на системы, например межсетевой экран, антивирус или систему контроля доступа к CPD. Для обеспечения того, чтобы сотрудники выполняли как свои обязанности, так и установленные правила и политику, жизненно необходимы постоянные усилия по повышению осведомленности, обучению и обучению.Осведомленность должна постоянно напоминать людям о политике и обязанностях посредством публикации брошюр или информационных конференций, и ее цель состоит в том, чтобы люди могли распознавать проблемы и инциденты безопасности и реагировать в соответствии со своей ролью и должностью., Обучение должно быть сосредоточено на различных аспектах, таких как конкретная политика, юридическая ответственность, правильное использование ресурсов и технических мер, дисциплинарный процесс и т. Д. Любая организованная деятельность должна осуществляться в соответствии с профессиональным профилем или определенными ролями.и отвечать в соответствии с их ролью и должностью. Обучение должно быть сосредоточено на различных аспектах, таких как конкретная политика, юридическая ответственность, правильное использование ресурсов и технических мер, дисциплинарный процесс и т. Д. Любая организованная деятельность должна осуществляться в соответствии с профессиональным профилем или определенными ролями.и отвечать в соответствии с их ролью и должностью. Обучение должно быть сосредоточено на различных аспектах, таких как конкретная политика, юридическая ответственность, правильное использование ресурсов и технических мер, дисциплинарный процесс и т. Д. Любая организованная деятельность должна осуществляться в соответствии с профессиональным профилем или определенными ролями.
Правовые требования
Один из необходимых подходов в области безопасности находится в обязательных юридических требованиях, которые влияют на Компании при использовании новых технологий и обработке данных и информации, таких как LOPD (Закон Organic Data Protection) для обеспечения всего, что касается обработки личных данных или SOX (Sarbanes-Oxley), что обеспечивает правильную обработку информации, транзакции и авторизованный доступ к финансовой информации компаний, перечисленных на Фондовая биржа США. Постановление о мерах безопасности (RMS) 1999 года, целью которого является установление технических и организационных мер для защиты автоматизированных файлов, содержащих персональные данные,формулирует механизмы для определения ответственности при обработке данных в статье 9 (Функции и обязанности персонала), которая в своем первом пункте обязывает компании определять профили и функции, назначенные каждой из них в доступ к информационным системам, а через второй пункт устанавливает обязательство по предоставлению необходимых механизмов, чтобы персонал знал определенные атрибуты и последствия, которые могут возникнуть в случае несоблюдения. Установление ответственности и их эффективное взаимодействие с сотрудниками должно быть одним из первых шагов в цепочке безопасности, которая влияет на конечного пользователя, работающего с информацией.который в первом пункте обязывает компании определять профили и функции, назначенные каждой из них при доступе к информационным системам, а во втором пункте устанавливает обязательство по предоставлению необходимых механизмов, чтобы Персонал осведомлен об определенных атрибутах и последствиях, которые могут возникнуть в случае несоблюдения. Установление ответственности и их эффективное взаимодействие с сотрудниками должно быть одним из первых шагов в цепочке безопасности, которая влияет на конечного пользователя, работающего с информацией.который в первом пункте обязывает компании определять профили и функции, назначенные каждой из них при доступе к информационным системам, а во втором пункте устанавливает обязательство по предоставлению необходимых механизмов, чтобы персонал осведомлен об определенных атрибутах и последствиях, которые могут возникнуть в случае несоблюдения. Установление ответственности и их эффективное взаимодействие с сотрудниками должно быть одним из первых шагов в цепочке безопасности, которая влияет на конечного пользователя, работающего с информацией.устанавливает обязательство по обеспечению необходимых механизмов, чтобы сотрудники знали об определенных полномочиях и о последствиях, которые могут возникнуть в случае несоблюдения. Установление ответственности и их эффективное взаимодействие с сотрудниками должно быть одним из первых шагов в цепочке безопасности, которая влияет на конечного пользователя, работающего с информацией.устанавливает обязательство по обеспечению необходимых механизмов, чтобы сотрудники знали об определенных полномочиях и о последствиях, которые могут возникнуть в случае несоблюдения. Установление ответственности и их эффективное взаимодействие с сотрудниками должно быть одним из первых шагов в цепочке безопасности, которая влияет на конечного пользователя, работающего с информацией.
В рамках договорных обязательств сотрудники должны принять и подписать условия своего трудового договора, в которых должны быть определены их обязанности, а также обязанности Компании в отношении безопасности. Условия трудового договора в любой его форме должны содержать:
- Общая политика, определенная и одобренная руководством Обязательство по соблюдению конфиденциальности и неразглашения информации, с которой они будут иметь дело в ходе своей работы в Компании Особые обязанности, связанные с нормативными актами, которые влияют на Компанию (LOPD, LPI и т. Д.) Обязанности по классификации информация и ее обработка Обязанности по обработке информации, полученной другими компаниями или третьими сторонами Обязанности по обработке информации за пределами обычных объектов Действия, которые следует предпринять в случае несоблюдения требований безопасности со стороны часть сотрудника
Выводы
После того, как юридические и добровольные правила, позволяющие устанавливать обязанности в области безопасности на рабочем месте, были разграничены, становится ясно, что системы, какими бы сложными и безопасными они ни казались, находятся в руках пользователей. Должны быть созданы механизмы для публикации общих правил и обязательных требований, но не забывая, что именно пользователь обрабатывает информацию и должен иметь соответствующие знания и специальную подготовку, чтобы мы могли доверить все приобретенные процедуры и технологии. Организацией в достижении надежных и безопасных условий.
