Sviluppo e implementazione di politiche di sicurezza documentate, standard, procedure e linee guida - dummies

Le politiche di sicurezza, gli standard, le procedure e le linee guida sono tutti diversi l'uno dall'altro, ma interagiscono tra loro in una varietà di modi. È importante comprendere queste differenze e relazioni e anche riconoscere i diversi tipi di politiche e le loro applicazioni.

Per sviluppare e implementare con successo politiche, standard, linee guida e procedure di sicurezza delle informazioni, è necessario assicurarsi che i propri sforzi siano coerenti con la missione, gli obiettivi e gli obiettivi dell'organizzazione.

Politiche, standard, procedure e linee guida lavorano tutti insieme come progetti per un programma di sicurezza delle informazioni di successo. Loro

• Stabiliscono la governance.
• Fornire indicazioni preziose e supporto decisionale.
• Aiuta a stabilire l'autorità legale.

Troppo spesso, le soluzioni di sicurezza tecnica vengono implementate senza questi importanti progetti. I risultati sono spesso controlli costosi e inefficaci che non sono applicati in modo uniforme e non supportano una strategia di sicurezza globale.

Governance è un termine che collettivamente rappresenta il sistema di politiche, standard, linee guida e procedure che aiutano a guidare le operazioni e le decisioni quotidiane di un'organizzazione.

Politiche

Una politica di sicurezza costituisce la base del programma di sicurezza delle informazioni di un'organizzazione. RFC 2196, Il Manuale sulla sicurezza del sito, definisce una politica di sicurezza come "una dichiarazione formale di regole con cui le persone a cui viene dato accesso alla tecnologia e alle risorse informative di un'organizzazione devono attenersi. “

I quattro principali tipi di politiche sono

• Senior Management: Una dichiarazione di gestione ad alto livello degli obiettivi di sicurezza di un'organizzazione, responsabilità organizzative e individuali, etica e credenze e requisiti generali e controlli.
• Regolamentazione: Politiche altamente dettagliate e concise di solito richieste da leggi federali, statali, industriali o altri requisiti legali.
• Avviso: Non obbligatorio, ma altamente raccomandato, spesso con sanzioni specifiche o conseguenze per mancato rispetto. La maggior parte delle politiche rientrano in questa categoria.
• Informativo: informa solo, senza requisiti espliciti per la conformità.

Gli standard, le procedure e le linee guida sono elementi di supporto di una politica e forniscono dettagli specifici sull'implementazione della politica.

ISO / IEC 27002, Tecnologia dell'informazione - Tecniche di sicurezza - Codice di condotta per la gestione della sicurezza delle informazioni, è uno standard internazionale per la politica di sicurezza delle informazioni.ISO / IEC è l'Organizzazione internazionale per la standardizzazione e la Commissione elettrotecnica internazionale. ISO / IEC 27002 consiste di 12 sezioni che in gran parte (ma non completamente) si sovrappongono agli otto domini di sicurezza (ISC) 2.

Gli standard (e le linee di base)

Gli standard sono requisiti specifici e obbligatori che definiscono e supportano ulteriormente le politiche di livello superiore. Ad esempio, uno standard potrebbe richiedere l'uso di una tecnologia specifica, ad esempio un requisito minimo per la crittografia dei dati sensibili che utilizza AES. Uno standard può spingersi fino al punto di specificare la marca, il prodotto o il protocollo esatto da implementare.

Baseline sono simili e correlati agli standard. Una linea di base può essere utile per identificare una base coerente per l'architettura di sicurezza di un'organizzazione, tenendo conto dei parametri specifici del sistema, come i diversi sistemi operativi. Dopo aver stabilito linee di base coerenti, è possibile definire standard appropriati in tutta l'organizzazione.

Alcune organizzazioni chiamano i loro documenti di configurazione standard (e altri ancora li chiamano ambienti operativi standard) anziché le linee di base. Questa è una pratica comune e accettabile.

Procedure

Procedure forniscono istruzioni dettagliate su come implementare politiche specifiche e soddisfare i criteri definiti negli standard. Le procedure possono includere procedure operative standard (SOP), libri di esecuzione e guide per l'utente. Ad esempio, una procedura può essere una guida dettagliata per la crittografia dei file sensibili utilizzando un prodotto di crittografia software specifico.

Le linee guida

Linee guida sono simili agli standard ma funzionano come raccomandazioni piuttosto che come requisiti obbligatori. Ad esempio, una linea guida può fornire suggerimenti o raccomandazioni per determinare la sensibilità di un file e se è richiesta la crittografia.