Teabe ja äritegevuse kaitsmine pole enam valikuline: see on tõhusa konkureerimise eeldus. VKE või suure organisatsiooni igapäevases tegevuses on selgete ja kohaldatavate turvapoliitikate olemasolu, mis on kõigile töötajatele teada, määravaks teguriks, kas töötada enesekindlalt või tegutseda pimesi küberrünnakute, andmetega seotud rikkumiste või teenusekatkestuste korral.
Käivitamise hõlbustamiseks töötavad paljud ettevõtted välja praktilisi dokumente – mõnikord koos allalaaditavate PDF- või Wordi-versioonide ja muudetavate kontrollnimekirjadega tehtud ja pooleliolevate toimingute registreerimiseks –, mis standardiseerivad riskidele reageerimise ja rakendatavate kontrollimeetmete võtmise viisi. Need poliitikad ei ole bürokraatlikud, vaid toimivad pigem „mängujuhendina“, mis viib juhtkonna, tehnilised meeskonnad ja töötajad omavahel vastavusse ning edendab vastavust nõuetele ja tugevdab ettevõtte mainet klientide ja partnerite silmis.
Mis on ettevõtte turvapoliitika?
Turvapoliitika on juhtdokument, mis sätestab tippjuhtkonna pühendumuse ja määratleb, kuidas ettevõtte põhiteavet ja varasid kaitstakse. Selle eesmärk on tagada andmete konfidentsiaalsus, terviklikkus ja kättesaadavus , kehtestades reeglid tehnoloogiliste ja organisatsiooniliste riskide maandamiseks. Muud konkreetsed poliitikad (juurdepääs, paroolid, seadmete kasutamine, intsidentidele reageerimine jne) tulenevad sellest ülddokumendist, seega peaks see olema selge, kokkuvõtlik ja kogu organisatsioonile kättesaadav.
Infoturbe juhtimissüsteemi (ISMS) raames aitab see poliitika järgida tunnustatud standardeid, näiteks ISO/IEC 27001 , mis nõuavad dokumendi ulatuse, vastutuse, hoolduse ja levitamise määratlemist. See mitte ainult ei suuna igapäevast tegevust, vaid tugevdab ka turu usaldust , parandab suhteid sidusrühmadega ning vähendab intsidentide tõenäosust ja mõju.
Tähtsus ja põhilised regulatiivsed nõuded
Põhjaliku turvapoliitika koostamine ja haldamine on oluline kahel põhjusel: esiteks struktureerib see riskijuhtimist ja teiseks loob see kogu teabe elutsükli jaoks ühise raamistiku. Rahvusvahelised standardid nõuavad muu hulgas, et poliitika oleks kooskõlas teiste sisemiste dokumentidega, sellel oleks selgelt määratud omanik, kes vastutab selle haldamise eest , ja see oleks kõigile töötajatele konsulteerimiseks hõlpsasti kättesaadav.
Lisaks on olemas ka väga kasulikke viiteid. Kui ISO/IEC 27001 reguleerib ISMS-i raamistikku, siis ISO/IEC 27002:2022 kirjeldab üksikasjalikult rakendatavaid turvakontrolle ja isegi ISO 27032 annab juhiseid küberturvalisuse kohta operatiivsemal tasandil. Lisaks on Hispaania äripraktikas oluline eristada LPRL-i (tööalaste riskide ennetamise seadus) nõutavat tööalaste riskide ennetamise plaani – mis on kohustuslik – ja laiemat, põhjalikumat turvaplaani (füüsiline turvalisus, küberturvalisus, äritegevuse järjepidevus, vastavus), mis on soovitatav ja üha vajalikum.
Digitaalse vastavuse osas peavad veebisaite haldavad ettevõtted arvestama privaatsuse ja küpsiste haldamisega. Nõuetekohased teated ja nõusoleku seaded tagavad vastutustundliku kasutamise ja ennekõike läbipaistvuse kasutajatega andmetöötluse osas . Sellised andmekaitse kaalutlused (sealhulgas isikuandmete kaitse üldmäärus) peavad kajastuma ja ühtlustatud olema sise-eeskirjades.
Tõhusa turvapoliitika põhikomponendid
Selleks, et poliitika ei jääks pelgalt teoreetiliseks, tuleb see teisendada konkreetseteks tegudeks. Oluliste elementide hulka kuuluvad kriitiliste varade (rakendused, süsteemid, seadmed, tundlikud andmed) tuvastamine, ohtude ja haavatavuste hindamine ning riskide prioriseerimine tõenäosuse ja mõju põhjal.
Selle põhjal määratletakse riskide vähendamiseks turvameetmed (tehnilised ja organisatsioonilised): alates tulemüüridest, IDS/IPS-ist ja viirusetõrjetarkvarast kuni identiteedi- ja juurdepääsuhalduse (IAM) protseduuride, krüpteerimise, varundamise ja võrgu segmenteerimiseni. Oluline on määrata selged vastutusvaldkonnad nii tehnilistele meeskondadele kui ka protsesside omanikele.
Oluline on peatükk paroolide, juurdepääsukontrolli ja seadmete kasutamise (sh isiklike seadmete BYOD-poliitikate alusel) kohta , nagu ka teabe klassifitseerimise kriteeriumid. Seda lähenemisviisi täiendavad jälgimis-, tuvastamis- ja reageerimisprotsessid koos indikaatoritega kontrollimeetmete tõhususe mõõtmiseks.
Lõpuks peab poliitika nõudma ja edendama teadlikkust ja regulaarset koolitust (näiteks Fundae kursuste kaudu ). Küberturvalisuse kultuuri ei saa rakendada ringkirjaga: see nõuab sessioone, kampaaniaid ja meeldetuletusi, mis integreerivad parimad tavad igapäevatöösse.
Kuidas seda kirjutada ja hallata: soovitatavad sammud
Alustage dokumendi eesmärgi, ulatuse ja kehtivusaja määratlemisest . Eesmärk on kooskõlas otstarbega (kaitsta teavet, järgida eeskirju, vähendada riske), ulatus määrab osakonnad, protsessid ja varad, mis kaasatakse, ning kehtivusaeg määrab, millal seda kohaldatakse ja kuidas seda läbi vaadatakse.
Jätkake rollide ja vastutuse kindlaksmääramist . Standard nõuab funktsioonide määratlemist vastavuse tagamiseks. Keegi juhib ISMS-i, keegi rakendab tehnilisi kontrolle ja keegi jälgib ärivaldkondades nõuete täitmist. See rollide selgus väldib halle alasid, mis sageli viivad turvanõrkusteni.
Määrake väljastav, läbivaatav ja avaldav asutus. Tavaliselt kiidab poliitika heaks tippjuhtkond ja ISMS-i juht koordineerib perioodilisi ülevaateid. Dokumenteerige see vastutusahel ja vajadusel koguge juhtkomitee heakskiidu kohta tõendid (käsitsi kirjutatud või sertifitseeritud digitaalallkiri).
Määrake kõrgel tasemel ettevõtte rakendatavad turvameetmed : intsidentide haldamine, andmekaitse, juurdepääsu kontroll, varade vastuvõetav kasutamine, varukoopiad, äritegevuse järjepidevus jne. Tegevuslikud üksikasjad (protseduurid, juhendid, käsiraamatud) võivad asuda sõltuvates dokumentides, et vältida üldise poliitika ülekoormamist.
Planeerige suhtlus ja juurdepääs . Laadige poliitika üles intranetisse, vikisse või turvalisse hoidlasse ja teavitage kõiki töötajaid. Hea tava on küsida lugemiskviitungeid ja isegi läbi viia lühike küsimustik, lisades selle sammu uute töötajate sisseelamisprotsessi.
Valmistuge pidevaks läbivaatamiseks ja ajakohastamiseks . Tehnoloogilised muutused (migratsioonid, ühinemised, uued süsteemid), regulatiivsed erinevused või intsidentidest saadud õppetunnid peavad kajastuma nii kiiresti kui võimalik. Poliitika ei ole staatiline: see peab arenema kooskõlas ettevõtte ja kaasnevate riskidega.
Dokumendist plaanini: otsast lõpuni infoturve
Üldine poliitika toimib infoturbeplaani katusematerjalina , milles seejärel kirjeldatakse projekte, vastutusalasid, tähtaegu ja näitajaid. See plaan hõlmab ennetamist, tuvastamist, reageerimist ja taastamist ning tugineb küberturvalisuse meetmete kavandamiseks tavaliselt sellistele raamistikele nagu ISO 27032 .
Tüüpilised eesmärgid hõlmavad järgmist: kriitiliste varade kaitsmine ; tundlike andmete konfidentsiaalsuse ja terviklikkuse tagamine; süsteemi käideldavuse säilitamine; juurdepääsu kontrollimine kontrollitud identiteetide abil; tegevuste registreerimine, auditeerimine ja jälgimine; määruste ja õigusaktide järgimine ; taastumiseks ja küberturvalisuse tagamiseks ettevalmistumine; sisemise teadlikkuse suurendamine ; ning maine ja äritegevuse järjepidevuse kaitsmine.
Selle elluviimiseks algab plaan varade tuvastamise ja klassifitseerimisega, jätkub riskihindamisega, määratleb tehnilised poliitikad ja kontrollimeetmed , kirjeldab üksikasjalikult intsidentidele reageerimist, loob koolitusprogrammi ning seab sisse järelevalve- ja parendusmehhanismid. Kõik see tehakse olemasolevate võimekuste küpsuse realistliku hindamisega.
Olulised tehnilised ja organisatsioonilised kontrollimeetmed
Tehnilisel tasandil hõlmab see perimeetrite ja lõpp-punktide kaitsmist tulemüüride, pahavaratõrje ja sissetungimise tuvastamise abil ; võrkude segmenteerimist; andmete krüpteerimist nii edastamisel kui ka salvestatud olekus; paranduste ja haavatavuste haldamist; ning MFA, EDR ja identiteedi- ja privileegide halduslahenduste rakendamist. Poliitikas tuleks täpsustada eeldatav kaitsetase ja mõõdikud, mis näitavad selle tõhusust.
Organisatsiooni tasandil on soovitatav rakendada muudatuste juhtimist, teabe klassifitseerimist ja käitlemist, BYOD-poliitikaid , pidevat teadlikkuse programmi ja regulaarseid siseauditeid. Intsidentidele reageerimise plaani määratlemine ei ole läbiräägitav: kes mida teeb, kuidas intsidentidest teatatakse, milline on eskalatsiooniahel ja kuidas parandusmeetmeid rakendatakse.
Regulatiivsete nõuete järgimine tugineb kontrollimeetmetele ja tõenditele. ISO/IEC 27002:2022 pakub parimate tavade kataloogi, mis on kasulik kontrollimeetmete ja riskide ühtlustamiseks. Samal ajal kehtestavad isikuandmete seadusliku ja turvalise töötlemise standardid isikuandmete kaitse üldmäärus ja kohalikud andmekaitsealased õigusaktid.
Põhjalik turvalisus: füüsiline, tööalane, kriisi- ja järjepidevusjulgeolek
Lisaks IT-le hõlmab terviklik lähenemisviis füüsilist turvalisust (juurdepääsu kontroll, videovalve, alarmid), töötervishoidu ja -ohutust (TTO), kriisi- ja hädaolukordade ohjamist ning äritegevuse järjepidevust. TTO seadus nõuab ennetusplaani, mis hõlmab riskihindamist, ennetusmeetmeid, koolitust ja hädaolukordade protokolle, samas kui terviklik ettevõtte plaan ühendab kõik eelneva küberturvalisuse ja vastavusega.
Tehnoloogia on valdkondadeülene liitlane: alates töötervishoiu ja tööohutuse tarkvarast ja kontrollide haldamisest kuni füüsilise ja digitaalse turvalisuse reaalajas jälgimisplatvormideni . Hinnangute, planeerimise ülevaadete ja aruannete genereerimise automatiseerimine vähendab tegevuskoormust ja kiirendab otsuste langetamist.
5 poliitikat, mida iga turvaosakond peaks jõustama
Vähim privileegid . Privileegide piiramine ainult hädavajalikuga vähendab rünnaku pinda. Administraatorikontode eraldamine, privilegeeritud juurdepääsu halduse (PAM) lahenduste kasutamine ja ebavajalike kohalike õiguste eemaldamine lõpp-punktides hoiab ära õiguste eskaleerumise ja piirab mõju, kui konto satub ohtu.
Range paranduste haldamine . Süsteemide ja rakenduste ajakohasena hoidmine leevendab valdavat enamust ärakasutatavatest ohtudest. Sellised juhtumid nagu WannaCry näitasid õigeaegselt paranduste tegemata jätmise hinda. Kontrollitud ajakava, eelnev testimine ja hästi planeeritud hooldusaknad tasakaalustavad seisakuaja ja turvalisuse riske.
Koolitus ja simulatsioonid . Inimfaktor on nõrgim lüli. Kvartalipõhised programmid, andmepüügiõppused ja abivajajate juhendamine loovad kindlad harjumused. Poliitikas tuleb selgelt öelda, et põhipraktikate korduv eiramine võib kaasa tuua distsiplinaarkaristuse, sest turvalisus on igaühe vastutus.
Hädaolukorra õppused . Varukoopiate taastamise, katastroofidejärgsete taastamisplaanide ja tõrkesiirde testimine realistlikes stsenaariumides paljastab nõrkused enne, kui tegelik intsident ilmneb . Vähemalt kord kvartalis harjutamine aitab meeskonnal sujuvalt reageerida olukordades, kus iga minut on oluline.
Dokumenteerimine, aruandlus ja auditeerimine . Otsuste, tõendite ja kontrollitulemuste dokumenteerimine võimaldab mõõta edusamme ja tagada vastutuse. Siseauditid, isegi etteteatamata , tõstavad pideva vastavuse lati ja avastavad kõrvalekaldeid varakult.
Tõhusate poliitikate samm-sammult rakendamine
Tuvastage kriitilised varad ja kaardistage protsessid. Seejärel viige läbi riskihindamine , mis arvestab sisemiste ja väliste ohtudega, tehnoloogiliste ja inimriskidega ning vajadusel ka haavatavuste testimisega. Prioriseerige mõju ja tõenäosuse järgi, et otsustada, kus kõigepealt tegutseda.
Valige sobivad kontrollimeetmed ja määrake tegevuskava koos määratud vastutusalade, tähtaegade ja tulemuslikkuse põhinäitajatega (KPI-dega). Määrake SMART-eesmärgid (nt "Vähendada andmepüügijuhtumeid 20% 12 kuu jooksul") ja viige need vastavusse ärivajaduste ja kohaldatava vastavusraamistikuga.
Töötage välja selged poliitikad ja protseduurid (juurdepääs, paroolid, krüpteerimine, interneti ja e-posti kasutamine, varunduspoliitika, IT-järjepidevus, andmekaitse, kolmandad osapooled, intsidentidele reageerimine) ning avaldage need ligipääsetavates hoidlates. Lisaks korraldage regulaarseid koolitusi ja teadlikkuse tõstmise kampaaniaid.
Looge pidev jälgimissüsteem koos teadete, mõõdikute ja regulaarsete ülevaadetega. Lisage pidev täiustamine: vaadake üle poliitikad, kohandage kontrollimeetmeid, ajakohastage riskianalüüsi ja andke edusammudest juhtkonnale aru kindlaksmääratud ajakava alusel.
Millal toetuda välistele spetsialistidele
Paljude organisatsioonide jaoks kiirendab ekspertide tugi juurutamist ja pakub kindlustunnet. Spetsialiseerunud meeskond saab auditeerida riske, pakkuda välja kontrollimeetmeid, konfigureerida tööriistu , jälgida ohte ja koolitada töötajaid, samuti abistada poliitika rakendamisel ja intsidentidele reageerimisel. See tugi on eriti väärtuslik VKEdele ja kasvavatele ettevõtetele , kes peavad oma turvalisust professionaalsemaks muutma ilma sisemist struktuuri paisutamata.
Praktilised ressursid: mallid ja kontrollnimekirjad
PDF- või Wordi- vormingus poliitikamallid ja muudetavad kontrollnimekirjad on suurepärane otsetee ülesannete standardiseerimiseks, vastavuse dokumenteerimiseks ning lõpule viidud ja pooleliolevate toimingute jälgimiseks. Mõistlikult kasutades aitavad need tööriistad poliitikat rakendada ja plaani igapäevases tegevuses õigel teel hoida.
Kõige tõhusam viis reaalsete riskide vähendamiseks ja vastupanuvõime suurendamiseks on vastu võtta tugevad turvapoliitikad, mis on kooskõlas selliste standarditega nagu ISO/IEC 27001 ja 27002, integreeritud töötervishoiu ja tööohutuse ning äritegevuse järjepidevusega ning rakendatud kontrollide, koolituse, õppuste ja auditite kaudu. Olenemata sellest, kas rakendate viit või viitteist konkreetset poliitikat, on tegelik erinevus see, et need on organisatsiooni sisse põimitud, neid mõistetakse, mõõdetakse ja pidevalt täiustatakse.
