Вирусите, троянците, кражбите на критична информация, атаките за отказ на услуги и като цяло злонамереният софтуер са заплахи, които в последно време се превръщат в почти ежедневни инциденти.
Данните за откритите инциденти и уязвимости според CERT изобщо не са обещаващи, удвоявайки се през последните години. От друга страна и подкрепяйки публикуваните данни, всеки ден се показва, че техническите мерки не са достатъчни за разрешаване на инциденти, свързани със сигурността, въпреки че понякога външността може да ни заблуди и ситуацията ни прави по-уязвими поради усещането и увереност в постигнатата сигурност.
Политики и стандарти
През последните години сме свидетели на забележителния успех на различните стандарти за прилагане на стратегически модели за информационна сигурност; COBIT, COSO, CMMI или биномиалният ISO 17799-ISO 27001 като един от най-успешните и широко приети стандарти в световен мащаб. Ако анализираме някои от тези регламенти, един от факторите, които трябва да бъдат установени в самото начало, е набор от политики, принципи и изисквания за съответствие в компанията, които ще установят фокуса върху управлението на сигурността. Споменатите документи трябва да бъдат публикувани и известни от всички служители, като се установява чрез проста и разбираема формулировка стандартите, които се считат за необходими за спазване на установените изисквания, заедно с общите и специфични отговорности по отношение на управлението на сигурността,включително механизма, който да следвате, за да докладвате за всеки инцидент. Не на последно място, ще бъде необходимо да се установят последиците от нарушенията на политиката и правилата за сигурност, които Дирекцията одобри. Различните стандарти за сигурност определят като ключов момент установяването на роли, отговорности и функции за всички служители и начинът за създаване на тези помещения за сигурност за всеки служител, нает от трети лица с достъп до информация на компанията.Различните стандарти за сигурност определят като ключов момент установяването на роли, отговорности и функции за всички служители и начинът за създаване на тези помещения за сигурност за всеки служител, нает от трети лица с достъп до информация на компанията.Различните стандарти за сигурност определят като ключов момент установяването на роли, отговорности и функции за всички служители и начинът за създаване на тези помещения за сигурност за всеки служител, нает от трети лица с достъп до информация на компанията.
Въпреки техническите мерки, необходимите ресурси и всяка политика или наредба, която Дружеството може да разработи и задължава да спазва, един от най-важните активи във всеки подход за сигурност е самият персонал и всеки работник, който обработва информация и управлява ресурси. според възложените атрибуции и отговорности. Това може да изглежда очевидно, но не във всички Организации се анализира и се третира със същото значение като прилагането на всеки технически инструмент, който засяга системи, като защитна стена, антивирус или система за контрол на достъпа до CPD. За да се гарантира, че служителите поемат както своите отговорности, така и установените правила и политики, жизненоважно е непрекъснатото усилие за осъзнаване, образование и обучение.Информираността трябва постоянно да напомня на хората за политиката и отговорностите, било то чрез публикуване на брошури или информационни конференции, а целта й е хората да могат да разпознават проблеми и инциденти със сигурността и да реагират според своята роля и длъжност., Обучението трябва да се фокусира върху различни аспекти, като специфични политики, правни отговорности, правилно използване на ресурсите и техническите мерки, дисциплинарен процес и др. Всяка организирана дейност трябва да се извършва въз основа на професионални профили или определени роли.и отговарят според тяхната роля и длъжност. Обучението трябва да се фокусира върху различни аспекти, като специфични политики, правни отговорности, правилно използване на ресурсите и техническите мерки, дисциплинарен процес и др. Всяка организирана дейност трябва да се извършва според професионални профили или определени роли.и отговарят според тяхната роля и длъжност. Обучението трябва да се фокусира върху различни аспекти, като специфични политики, правни отговорности, правилно използване на ресурсите и техническите мерки, дисциплинарен процес и др. Всяка организирана дейност трябва да се извършва според професионални профили или определени роли.
Правни изисквания
Един от необходимите подходи в областта на сигурността се намира в задължителните законови изисквания, които засягат компаниите при използването на нови технологии и при обработката на данни и информация, като например LOPD (закон Органична защита на данните), за да се гарантира всичко, свързано с обработката на лични данни или SOX (Sarbanes-Oxley), което позволява да се гарантира правилното обработване на информация, транзакции и разрешен достъп до финансова информация на компании, изброени в Американска фондова борса. Регламентът за мерките за сигурност (RMS) от 1999 г., чиято цел е създаването на технически и организационни мерки за защита на автоматизирани файлове, съдържащи лични данни,формулира механизмите за определяне на отговорностите при обработката на данните чрез член 9 (Функции и задължения на персонала), който чрез първата си точка задължава дружествата да определят профилите и функциите, възложени на всяка от тях в достъпът до информационни системи и чрез втората точка установява задължението за осигуряване на необходимите механизми, така че персоналът да знае определените характеристики и последствията, които биха могли да възникнат в случай на неспазване. Установяването на отговорности и тяхната ефективна комуникация с служителите трябва да бъде една от първите стъпки във веригата на сигурност, която засяга крайния потребител, който работи с информацията.че чрез първата си точка задължава дружествата да определят профилите и функциите, възложени на всяка от тях в достъпа до информационни системи, а през втората точка установява задължението да предоставят необходимите механизми, така че персоналът е запознат с определените признаци и последиците, които биха могли да възникнат в случай на неспазване. Установяването на отговорности и тяхната ефективна комуникация с служителите трябва да бъде една от първите стъпки във веригата на сигурност, която засяга крайния потребител, който работи с информацията.че чрез първата си точка задължава дружествата да определят профилите и функциите, възложени на всяка от тях в достъпа до информационни системи, а през втората точка установява задължението да предоставят необходимите механизми, така че персоналът е запознат с определените признаци и последиците, които биха могли да възникнат в случай на неспазване. Установяването на отговорности и тяхната ефективна комуникация с служителите трябва да бъде една от първите стъпки във веригата на сигурност, която засяга крайния потребител, който работи с информацията.установява задължението за осигуряване на необходимите механизми на персонала да знае определените характеристики и последствията, които биха могли да възникнат в случай на неспазване. Установяването на отговорности и тяхната ефективна комуникация с служителите трябва да бъде една от първите стъпки във веригата на сигурност, която засяга крайния потребител, който работи с информацията.установява задължението за осигуряване на необходимите механизми, така че персоналът да е запознат с определените признаци и последствията, които могат да възникнат в случай на неспазване. Установяването на отговорности и тяхната ефективна комуникация с служителите трябва да бъде една от първите стъпки във веригата за сигурност, която засяга крайния потребител, който работи с информацията.
Като част от договорните задължения служителите трябва да приемат и подпишат условията на трудовия си договор, които следва да определят техните отговорности, както и тези на Дружеството по отношение на безопасността. Условията и условията на трудовия договор, във всяка от неговите форми, трябва да съдържат:
- Общата политика, дефинирана и одобрена от ръководството Ангажимент за поверителност и неразгласяване на информацията, с която те ще се занимават по време на работата си в компанията Специфични отговорности, свързани с регулациите, които засягат Дружеството (LOPD, LPI и др.) Отговорности за класифицирането на информация и нейното третиране Отговорности за работа с информация, получена от други компании или трети страни Отговорности за обработката на информация извън обичайните съоръжения Действия, които да предприемете в случай на неспазване на изискванията за сигурност от част от служителя
Заключения
Както с правните, така и с доброволните разпоредби, които позволяват установяването на отговорности в областта на безопасността на работното място, ясно е, че системите, колкото и сложни и безопасни да изглеждат, са в ръцете на потребителите. Трябва да бъдат създадени механизми за оповестяване на общите правила и задължителни изисквания, но без да се забравя, че потребителят обработва информацията и който трябва да притежава съответните знания и специфично обучение, за да можем да поверим всички процедури и технологии, придобити от Организацията за постигане на надеждна и безопасна среда.
