Создание благоприятной среды

Мы пришли к выводу, что эффективность защитной политики пропорциональна поддержке, которую она получает в организации. Таким образом, критически важным условием для успеха в области защиты организации становится организация работы и создание в организации атмосферы, благоприятной для создания и поддержания высокого приоритета информационной безопасности. Чем крупнее организация, тем более важной становится поддержка сотрудников. Далее будет предложено несколько вещей, которые могут быть сделаны для гарантии полной поддержки ПБ руководством организации, что должно существенно увеличить эффективность политики.

Поддержка управления

Я уже упоминал об этом ранее, но готов подчеркнуть снова. Самое трудное, с чем мы можем столкнуться в процессе становления защитной политики – это убедить руководство нашей организации в необходимости компьютерной безопасности и вовлечь их в этот процесс, заставить быть причастными к созданию защитной политики (пока гром не грянет, мужик не перекрестится, т.е. в данном случае руководство денег не даст). Здесь невозможно предложить универсального метода, все в данном случае зависит от вашей убедительности и способности к ведению переговоров. Примером может послужить вопрос такого плана: Готов ли Бизнес существенно потратится на защиту информации о самом себе и на защиту сервиса, на котором основано управление компанией [7]? Может быть, помочь в качестве аргументов могут предпринятые вами тестовые проверки уязвимости, или даже демонстрация при руководстве уязвимости компьютерной защиты. В любом случае, без поддержки высокого руководства политика не может преуспеть, поэтому в случае отказа не стоит даже пытаться делать это на свой страх и риск – эта затея обречена на провал.

Организационная структура

Независимо от размеров организации, защитная политика должна всегда иметь владельца. В то время как права, обязанности и даже название должности могут меняться от организации к организации, его роль должна быть неизменна. Давайте, для примера, назовем этого человека «руководитель охраны» или «security officer». Это – ответственный руководитель, в обязанности которого входит наблюдать за созданием, распределением, и выполнением политики безопасности. В этом смысле «руководитель охраны» выполняет роль посредника между управлением и пользовательской массой. Очевидно, что этот человек должен подчиняться только высшему руководству компании – генеральному директору, президенту или совету директоров.

Поскольку «руководитель охраны» в конечном счете несет общую ответственность за информационную безопасность всей компании, для того чтобы иметь возможность отстаивать интересы информационной безопасности в ряде случаев он(она) даже может быть членом правления. Как правило, большинство маленьких или средних организаций не могут позволить себе отдельную должность «руководителя охраны», и в этом случае возможно совмещение должностей. Однако, независимо от размеров организации, роль «руководителя охраны» должна быть ясно назначена и его обязанности должны быть четко сформулированы.

Финансовая поддержка

Процесс создания системы безопасности всегда требовал и будет требовать инвестиций временных затрат, человеческих ресурсов и финансов. Без достаточного финансового обеспечения любое, даже самое правильное и перспективное усилие в данной области потерпит неудачу. Эта же истина относится и к созданию защитной политики.