Учет основных факторов, влияющих на эффективность ПБ, определяет успешность ее разработки и внедрения. Приведенные ниже рекомендации содержат основные принципы создания эффективных политик.
Минимизация влияния политики безопасности на производственный процесс
Внедрение ПБ практически всегда связано с созданием некоторых неудобств для сотрудников организации и снижением производительности бизнес процессов. (Однако правильная система мер ИБ повышает эффективность бизнес процессов организации за счет значительного повышения уровня ИБ, являющегося одним из основных показателей эффективности). Влияние мер ИБ на бизнес процессы необходимо минимизировать. В то же время не стоит стремиться сделать меры ИБ абсолютно прозрачными. Для того чтобы понять, какое влияние политика будет оказывать на работу организации, и избежать "узких мест", следует привлекать к разработке этого документа представителей бизнес подразделений, служб технической поддержки и всех, кого это непосредственно коснется.
ПБ – продукт коллективного творчества. Рекомендуется включать в состав рабочей группы следующих сотрудников организации:
· руководителя высшего звена;
· руководителя, ответственного для внедрения и контроля выполнения требований ПБ;
· сотрудника юридического департамента;
· сотрудника службы персонала;
· представителя бизнес пользователей;
· технического писателя;
· эксперта по разработке ПБ.
В состав рабочей группы может входить от 5 до 10 человек. Размер рабочей группы зависит от размера организации и широты проблемной области, охватываемой ПБ.
Непрерывность обучения
Обучение пользователей и администраторов информационных систем является важнейшим условием успешного внедрения ПБ. Только сознательное выполнение требований ПБ приводит к положительному результату. Обучение реализуется путем ознакомления всех пользователей с ПБ под роспись, публикации ПБ, рассылки пользователям информационных писем, проведения семинаров и презентаций, а также индивидуальной разъяснительной работы с нарушителями требований ПБ. В случае необходимости на нарушителей безопасности налагаются взыскания, предусмотренные ПБ и правилами внутреннего распорядка.
Пользователи информационных систем должны знать кого, в каких случаях и каким образом надо информировать о нарушениях ИБ. Однако это не должно выглядеть как доносительство. Контактная информация лиц, отвечающих за реагирование на инциденты, должна быть доступна любому пользователю.
Непрерывный контроль и реагирование на нарушения безопасности
Контроль выполнения правил ПБ может осуществляться путем проведения плановых проверок в рамках мероприятий по аудиту ИБ.
В организации должны быть предусмотрены меры по реагированию на нарушение правил ПБ. Эти меры должны предусматривать оповещение об инциденте, реагирование, процедуры восстановления, механизмы сбора доказательств, проведения расследования и привлечения нарушителя к ответственности. Система мер по реагированию на инциденты, должна быть скоординирована между ИТ-департаментом, службой безопасности и службой персонала.
Политики должны по возможности носить не рекомендательный, а обязательный характер. Ответственность за нарушение политики должна быть четко определена. За нарушение ПБ должны быть предусмотрены конкретные дисциплинарные, административные взыскания и материальная ответственность.
Постоянное совершенствование политик безопасности
ПБ не является набором раз и навсегда определенных прописных истин. Не следует пытаться путем внедрения ПБ решить сразу все проблемы ИБ. Политика является результатом согласованных решений, определяющих основные требования по обеспечению ИБ и отражающих существующий уровень понимания этой проблемы в организации. Для того чтобы оставаться эффективной ПБ должна периодически корректироваться. Должна быть определена ответственность за поддержание ПБ в актуальном состоянии и назначены интервалы ее пересмотра. Политика должна быть простой и понятной. Следует избегать усложнений, которые сделают политику неработоспособной. По этой же причине она не должна быть длинной. Иначе большинство пользователей не смогут дочитать ее до конца, а, если и дочитают, то не запомнят о чем в ней говорится.
Поддержка руководства организации
На этапе внедрения ПБ решающее значение имеет поддержка руководства организации. ПБ вводится в действие приказом руководителя организации и процесс ее внедрения должен находится у него на контроле. В ПБ должна быть явным образом прописана озабоченность руководства вопросами обеспечения ИБ. Со стороны координатора рабочей группы по разработке ПБ руководству организации должны быть разъяснены риски, возникающие в случае отсутствия ПБ, а предписываемые ПБ меры обеспечения ИБ должны быть экономически обоснованны [6].