Как сформировать эффективную политику кибербезопасности?

[BAFL]

Каждый раз, заходя в вагон метро Вы должны помнить о том, что между платформой и поездом есть небольшой зазор, в который случайно оступившись можно с легкостью попасть. Этот шаг может иметь свои последствия: порванная одежда, легкая царапина, ушиб, перелом, смерть. Каждый человек должен соблюдать необходимые меры предосторожности и безопасности. Владельцы бизнеса также должны обеспечить необходимые условия для защиты себя, своего бизнеса и подопечных. Когда регламент кибербезопасности сформирован не эффективно, можно легко угодить в "трещину" - именно поэтому важно иметь полноценную политику кибербезопасности.

​

Из года в год, по всему миру происходит тысячи нарушений, которые становятся новой нормой и наличие регламента по кибербезопасности это уже не просто вопрос о сохранение бизнеса - это и экономия денег, сохранение конфиденциальной информации, личных данных и ценных ресурсов сотрудников.

Устойчивость и стабильное развитие бизнеса зависит от того, что делает каждый сотрудник, как внутри фирмы, так и за ее пределами. Злонамеренное или случайное действие одного человека, могут нанести значительный ущерб, привести к компрометации данных, как интеллектуальной собственности, так и финансовой.

С чего начать?
Политика кибербезопасности в одном случае может содержать в себе один лист информации, того, что следует выполнять и что не рекомендуется. В другом случае, подобная информация может занимать и 50 страниц документа, который будет охватывать все возможные аспекты начиная от чистоты на рабочем месте и заканчивая сетевой безопасностью.

Наиболее эффективный регламент компании по кибербезопасности должен быть задокументирован, регулярно пересматриваться и поддерживаться в актуальном виде, с учетом временных изменений. Даже наличие небольшого руководства, содержащего в себе наиболее важные области - имеет существенное значение для безопасности Вашего бизнеса. В реальности, многий малый и средний сегмент бизнеса не имеет даже краткого руководства, что разумеется является большой ошибкой.

Необходимо соответствовать
Предварительно, перед тем, как формировать политику кибербезопасности Вы должны убедиться, что действуете в рамках действующего законодательства - ознакомьтесь с правилами разработанными правительством и представителями отрасли.

Построение инфраструктуры
Эффективная и хорошо продуманная политика кибербезопасности определяет, какие системы необходимо реализовать для защиты информации от потенциальных атак. В дальнейшем информация передается в ИТ-отдел и за каждым сегментом закрепляется сотрудник принимающий и определяющий решения о том, как будет выполняться защита данных, какие элементы управления использовать, и кто будет отвечать за их соблюдение.

Политика кибербезопасности должна содержать информацию о таких элементах управления, как:

• резервное копирование данных (автоматическое или ручное, на зашифрованный облачный сервер или локальные устройства без доступа к сети и т.п.);
• программы для защиты (антивирусы, брандмауэры, спам-фильтры, защита от DDoS-атак и другие виды защиты);
• обновления устройств и ПО.

Помимо этого, в Вашем регламенте должны быть четко определены роли и обязанности сотрудников, которые будут:

• нести ответственность и контролировать соблюдение политики;
• обучать пользователей безопасности;
• отвечать за ПО и своевременное реагирование на инциденты по нарушению безопасности;
• иметь права администратора и доступ к защищенному сектору и т.п.

Сотрудники в компании
Одним из главных элементов в политики кибербезопасности является документальное подтверждение и распространение необходимой информации среди сотрудников в компании. Можно обеспечить безупречную техническую сторону безопасности, однако персонал в Вашей организации может все свести к нулю попавшись на фишинг или публикуя конфиденциальную информацию в социальных сетях.

Эффективный регламент по кибербезопасности должен иметь четкое определение для сотрудников о методах сохранения, обработки, распространения и защиты информации. Политика должна быть жесткая и в свою очередь, она должна предоставить надлежащий уровень свободы, необходимый для продуктивной работ персонала. Например, запрет на выход в интернет и доступ к социальным сетям, однозначно, поможет защитить Вашу фирму от кибератак, однако будет негативно отражаться на работе сотрудников.

Правила кибербезопасности могут включать информацию о том:

• как выходить в интернет (какие сайты можно посещать, при каких условиях и т.п.);
• как обнаружить методы социальной инженерии и другие виды мошенничества;
• что делать в случае выявленных проблем и к кому обращаться;
• какие меры поощрения или наказания ожидают сотрудника и т.п.

А что дальше?
Формирование и документирование политики кибербезопасности - только первый шаг в построении эффективной безопасности Вашего бизнеса. Впоследствии необходимо выработать стратегию согласно которой будет осуществляться применение регламента: обучение, соблюдение, контроль выполнения всех правил и норм.