Политики за информационна сигурност в бизнеса

Получен фишинг имейл, изгубен служебен лаптоп или невъзможност да се отвори критична система често изглеждат като отделни IT проблеми. За ръководството обаче те поставят един и същ въпрос: кой взема решение, как се ограничават щетите и може ли организацията да докаже, че е действала разумно? Добре изградените политики за информационна сигурност дават този отговор още преди да настъпи инцидент.

Те не са папка с общи правила, подготвена единствено за одит. Политиките са управленска рамка, която определя как организацията защитава данните си, кой има достъп до тях, как се правят резервни копия, как се докладват рискове и как бизнесът продължава работа при проблем. Когато са приложими и поддържани, те превръщат сигурността от реакция след събитие в контролируем процес.

Какво представляват политиките за информационна сигурност

Политиката по информационна сигурност е официално прието правило на организацията. Тя поставя целите, обхвата, отговорностите и минималните изисквания за защита на информационните активи. Под информационни активи следва да се разбират не само сървъри и приложения, а и клиентски бази данни, договори, счетоводни документи, архиви, служебна електронна поща, хартиени досиета, мобилни устройства и знанията на служителите.

На практическо ниво една обща политика се подкрепя от по-конкретни правила и процедури. Например политика за контрол на достъпа определя принципите, а процедурата описва как се заявява нов профил, кой одобрява правата и какво се случва с тях при напускане на служител. Това разграничение е съществено: политиката казва какво и защо, а процедурата – как точно се изпълнява.

За малките и средните предприятия документите не трябва да имитират сложна корпоративна структура. По-полезна е ясна, пропорционална система, която съответства на реалния обем данни, броя служители, използваните облачни услуги и зависимостта от ключови доставчици. Политика от 40 страници, която никой не разбира, е по-слаба защита от кратки правила с ясни собственици и доказуемо изпълнение.

От кои рискове трябва да защитават

Изходната точка не е шаблонът, а оценката на риска. Фирма, която обработва здравни данни, има различен профил от търговска компания с няколко потребители на облачна счетоводна система. И в двата случая обаче обичайните заплахи включват компрометирани пароли, фишинг, неправомерен достъп, криптиращ зловреден софтуер, грешно изтрити файлове, повреда на оборудване и зависимост от един човек или един доставчик.

Ръководството трябва да знае кои процеси не могат да спрат и какви са приемливите срокове за възстановяване. Ако фактурирането не работи един ден, последицата може да е неудобство. Ако не работи система за обработка на поръчки, производствени данни или регулаторна отчетност, последицата може да бъде пряк финансов риск, нарушени договори или невъзможност за изпълнение на законово задължение.

Точно тук се вижда стойността на политиките. Те свързват техническите контроли с бизнес приоритетите. Многофакторната автентикация, криптирането и архивирането не са само IT мерки. Те са средства за защита на приходи, репутация, договорни отношения и непрекъсваемост.

Основните области, които да бъдат уредени

Няма универсален комплект документи, но повечето организации се нуждаят от правила в няколко взаимосвързани области:

• управление на активи и класификация на информацията;
• управление на потребители, пароли и привилегирован достъп;
• защита на крайни устройства, електронна поща и мрежи;
• резервно копиране, възстановяване и непрекъсваемост на дейността;
• управление на инциденти и уведомяване на отговорните лица;
• работа с външни доставчици, облачни услуги и дистанционен достъп;
• обучение на служителите и контрол върху спазването на правилата.

Класификация и контрол на достъпа

Когато всички данни се третират еднакво, критичната информация лесно се оказва в неподходящо място. Класификацията може да бъде проста – например публична, вътрешна, поверителна и строго поверителна. Важното е за всяка категория да има ясни правила за съхранение, изпращане, отпечатване, срокове за пазене и унищожаване.

Контролът на достъпа следва принципа на необходимото знание. Служителят получава само правата, нужни за конкретната му работа, а администраторските права се ограничават и проследяват. Особено рискови са споделените профили и пароли. Те изглеждат удобни при малък екип, но правят практически невъзможно установяването кой е извършил действие и увеличават риска при напускане на служител.

Резервни копия, които могат да бъдат възстановени

Архивирането често се приема за приключен въпрос, след като е настроен автоматичен процес. Това е непълна защита. Политиката трябва да посочва кои системи и данни се архивират, колко често, колко дълго се съхраняват копията, къде се пазят и кой проверява успешното изпълнение.

Критичният въпрос е не дали има резервно копие, а дали може да се възстанови в нужния срок. Тестовете за възстановяване трябва да бъдат планирани и документирани. При инцидент с криптиращ софтуер например копие, свързано постоянно със същата компрометирана среда, може също да бъде засегнато. Затова са нужни разделени, защитени и наблюдавани копия, съобразени с реалните цели за възстановяване.

Реакция при инцидент

При съмнение за пробив служителят не бива да разсъждава дали проблемът е достатъчно сериозен, за да бъде докладван. Политиката трябва да посочи единен канал за сигнализиране, отговорни лица и първи действия: изолиране на устройство при необходимост, запазване на доказателства, ограничаване на достъпа и информиране на ръководството.

Тук е необходима и координация с GDPR. Не всеки технически проблем е нарушение на сигурността на личните данни, но всяко подозрение трябва да се оцени своевременно. При определени случаи администраторът има задължение за уведомяване на надзорния орган в кратък срок. Без предварително определени роли, регистър на обработванията и ясна процедура организацията губи ценно време в установяване на фактите.

Как регулациите влияят върху съдържанието

ISO 27001 предлага систематична основа за управление на риска, контролите, вътрешния одит и непрекъснатото подобрение. Сертифицирането не е необходимо за всяка организация, но принципите на стандарта са приложими и при по-малък мащаб: определен обхват, оценени рискове, контролни мерки, доказателства за изпълнение и периодичен преглед.

GDPR изисква подходящи технически и организационни мерки според риска за правата и свободите на физическите лица. Това означава, че политиките не могат да бъдат само технически. Те трябва да уреждат отговорности, достъп до лични данни, работа с обработващи, срокове за съхранение и реакция при нарушения.

NIS2 поставя по-високи изисквания към управлението на киберриска за засегнатите сектори и организации, а DORA е приложим за субекти от финансовия сектор и техни специфични зависимости. Точният обхват зависи от дейността, размера и националното прилагане на изискванията. Погрешно е да се приема, че всяка фирма има еднакви задължения. Правилният подход е да се направи проверка на приложимостта и политиките да се адаптират към конкретния риск и регулаторен статус.

Как да внедрите правилата, без да блокирате работата

Започнете с кратка инвентаризация: кои данни са критични, в кои системи се намират, кой има достъп, какви доставчици участват и какво би се случило при недостъпност за 24 часа. След това определете собственик за всяка ключова политика. Собственикът не е задължително IT специалист, но носи отговорност правилото да е актуално, разбрано и изпълнявано.

Следва да се определят измерими минимални изисквания. Вместо обща фраза за силни пароли, запишете изискване за многофакторна автентикация при отдалечен достъп и административни профили. Вместо изискване за редовни архиви, задайте честота, срок за съхранение, отговорник и период на тестово възстановяване. Така правилата могат да бъдат проверени при вътрешен контрол, клиентски въпросник или одит.

Обучението също не трябва да бъде формално. Кратки, периодични инструкции с примери от реалната работа са по-ефективни от еднократна презентация. Служителите трябва да могат да разпознаят подозрителна заявка за плащане, да знаят къде да съхраняват документи и да реагират правилно при загубено устройство.

Външен партньор е разумен избор, когато организацията няма вътрешен капацитет да поддържа едновременно инфраструктура, архивиране, киберзащита, документация и регулаторни изисквания. Буллсофт работи именно по този интегриран модел – технологичните контроли се обвързват с политики, регистри, процедури и доказателства за изпълнение, а не остават като отделни решения без управленска рамка.

Политиките трябва да се преглеждат поне веднъж годишно и при всяка съществена промяна: нова облачна услуга, сливане на екипи, дистанционна работа, нов вид лични данни или настъпил инцидент. Най-полезният документ не е този, който изглежда най-официално, а този, който помага на хората да вземат правилното решение в момент, когато времето и информацията не достигат.