Сказки о безопасности: Блокирование выхода в Интернет

Печать

Комментарии

Ссылка на статью: [URL=http://www.pcweek.ru/security/article/detail.php?ID=175833]Сказки о безопасности: Блокирование выхода в Интернет[/URL]

"Не обучил, не принял зачеты"...
Это что ещё за новая форма обеспечения безопасности?!
На предприятии должен быть разработанный и утверждённый документ "Политика безопасности компании" и его часть "Политика ИТ-безопасности", где  цели и задачи безопасности, а на их основе разрабатывается комплекс организационно-технических мер и соответствующие документы. Часть правил включается в обязанности пользователей, часть отдельным документом. Сотрудник обязан ознакомится и поставить подпись. После подписи - никого не волнует, как усвоен материал - ответственность в том числе юридическая. Собственно усваивать особо нечего. Если вам ограничили доступ, то вы за его рамки не выйдите,  если нет, то всё. что не запрещено - разрешено. Вышли за рамки - это уже инцидент, после расследования которого, помимо пользователя, уестествляют соответствующих начальников в обязанности, которых вменяются обеспечение безопасности - в том числе в ИТ-отделе.

Это вы так придумали?
А теперь смотрим стандарт ISO 27001-2013 Раздел 7 "Поддержка"

7.2 Компетенции
Организация должна:
a) определять необходимую компетентность персонала, который самостоятельно выполняет работу, что влияет на результативность информационной безопасности;
b) обеспечить то, что этот персонал обладает необходимыми компетенциями на основе соответствующего обучения, тренингов или опыта;
c) при необходимости принять меры для получения необходимых компетенций и оценить эффективность принятых мер;
d) сохранять соответствующую документированную информацию в качестве доказательств наличия компетенций.
ПРИМЕЧАНИЕ Соответствующие меры могут включать, например: проведение тренинга, наставничество или переаттестацию действующих сотрудников; или наем/привлечение по контракту компетентных лиц.  
7.3 Осведомленность
Персонал, выполняющий работы в рамках организации, должен быть осведомлен:
a) о политике информационной безопасности;
b) о вкладе в повышение результативности системы менеджмента информационной безопасности, включая выгоды от улучшения состояния информационной безопасности;
c) о последствиях в результате не выполнения требований системы менеджмента информационной безопасности.

Государственный стандарт РФ
ГОСТ ИСО/МЭК 27001 – 2006
П.5 Ответственность руководства
Руководство организации должно предоставлять доказательства выполнения своих обязательств в отношении ….
d) доведения до всех сотрудников организации информации…
5.2.2 Подготовка осведомленность и квалификация персонала
А) определения требуемого уровня знаний и навыков для персонала, который выполняет работу, влияющую на СМИБ
B) организации обучения персонала ….
С) оценки результативности принятых действий
d) ведения записей об образовании, подготовке, опыте и квалификации сотрудников (см 4.3.3)

О, Боже…
Вы ещё процитируйте 10 заповедей и сошлитесь на притчи Христовы среди местного населения, как пример разъяснительной работы в массах. 2 тысячи лет коту под хвост. На чём нынче держится остатки морали и нравственности? На заповедях и притчах? Нет. Порядок держится на законах в виде конкретных правовых актов, а так же методах и средствах контроля в виде соответствующих – органов государственных и техсредств в помощь им.
Вам ли не знать замечательную фразу – Устав не догма, но руководство к действию. Всю нормативную информацию при составлении документов по политике безопасности мы естественно учитываем и я, в части касающейся, знаю их и без ваших цитат.
Речь не теории, а о суровой практике и буднях. Вы можете сколь угодно долго вести душещипательные беседы с персоналом, КПД – 0,1%. Абсолютно не эффективно в корпоративной среде. Для домашних пользователей – приятно и полезно. Я понимаю, как вам дорого слово «тренинг», а меня тошнит от него.
А теперь почитайте название вашей статья, свой последний абзац и то, что написал я.
«Ошибка же была в том, что он не рассказал персоналу, как себя вести.»
Я же ясно написал о конкретных документах в организации, которые доводятся до личного состава под роспись.
«В результате пользователи обижаются» - на что они обижаются если они во-первых ПРОЧИТАЛИ соответствующие инструкции, в том числе о том, что можно и что нельзя при пользовании Интернетом и, во-вторых – РАСПИСАЛИСЬ. Роспись, кроме всего прочего, это ещё и юридическая ответственность.
А если вы эти «бумажные» дела подкрепили конкретными организационными и техническими  решениями, по категориям пользователей, то разговор может быть лишь о том, насколько хорошо вы это сделали.
Вы прописали во соответствующем документе запрет на посещение социальных сетей в рабочее время и технически запретили доступ – какие и кто вам задаст вопросы если, первое - люди ознакомились с правилами и второе – не смогли туда попасть? Вы технически помогли пользователям избежать наказания за нарушение правил организации, кроме всего прочего.
Нет у меня в организации «обиженных». Тихо недовольные есть… А где их нет?!

Повторяю еще раз. Для особо упрямых.
Мне по большому счету все равно как вы обеспечиваете безопасность в вашей компании.
Более того, ваше руководство должно решать соответствуете вы своему месту или нет.
Но есть стандарт. И если вы хотите соответствовать государственному стандарту, то придется. Ну а если вы считаете что законы и стандарты не для вас, то вам и отвечать

А с чего вы взяли, что мой отдел не обеспечивает безопасность в компании в соответствии со стандартами? )))
"Принимать зачёты"  у сотрудников компании??? Это государственный стандарт?! Боже правый.
Где вы видели зачётные листы у сотрудников компании, теоретик вы наш. Кто будет их проверять? Какая государственная структура?
И не надо сразу переходить на компетенцию - дурно попахивает.
Я вам больше скажу - мы сами приглашаем компании занимающиеся аудитом для проверки. Уже было две таких проверки - и бреда в виде зачётов у сотрудников никто даже близко не собирался уточнять. Но вот то, что все без исключения сотрудники ознакомлены с правилами, причём, под роспись - вот это ставят в плюс, разработанный документ по политике безопасности и соответствующие правила и инструкции на его основе тоже в плюс идут. Да нам помогали их дорабатывать с фактической и юридической точек зрения.
И не надо этих дешёвых вставок про компетенцию - дурно пахнет.

Я понимаю, вам очень хочется быть правым. Да пожалуйста. Какой ГОСТ вы нарушаете? Я написал.

Только зарегистрированные пользователи могут оставлять комментарий.

Регистрация
Авторизация