PODROČJE: UPRAVLJANJE IN ODGOVORNOST – LEKCIJA 21/100
Varnostne politike niso samo dokumenti.
So dogovori o odgovornostih.
Številne organizacije imajo različne politike:
- politiko informacijske varnosti,
- politiko upravljanja dostopov,
- politiko sprejemljive uporabe,
- politiko odzivanja na incidente,
- politiko varnosti dobaviteljev,
- politiko klasifikacije podatkov.
Toda pravo vprašanje ni:
»Ali imamo politiko?«
Boljše vprašanje je:
»Ali ta politika jasno določa, kdo je za kaj odgovoren?«
Politika, ki je nihče ne bere, je šibka.
Politika, ki je nihče ne upošteva, je še šibkejša.
Politika, ki ne določa odgovornosti, pa je skoraj neuporabna.
Dobre varnostne politike bi morale odgovoriti na preprosta vprašanja:
- Kdo je lastnik procesa?
- Kdo odobrava izjeme?
- Kdo spremlja skladnost?
- Kdo poroča o težavah?
- Kdo sprejema odločitve?
- Kaj se zgodi, če se politika ne upošteva?
Novi CISO varnostnih politik ne bi smel obravnavati zgolj kot dokumentacijo.
Politike so orodje upravljanja.
Organizaciji pomagajo jasno določiti pričakovanja, še preden gre kaj narobe.
Med varnostnim incidentom, revizijo ali sprejemanjem zahtevnih poslovnih odločitev lahko nejasno določene odgovornosti hitro postanejo resen problem.
Dobre varnostne politike ne opisujejo le varnostnih kontrol.
Jasno določajo tudi odgovornosti.