Процедуры безопасности

Процедуры безопасности являются необходимым и важным дополнением к стратегиям безопасности. Стратегия безопасности только описывает, что должно быть защищено и каковы основные правила защиты. Процедуры безопасности определяют, как защищаь ресурсы и каковы механизмы исполнения стратегии, т. е. как реализовывать стратегии безопасности.

Процедуры безопасности представляют собой пошаговые инструкции для выполнения оперативных задач. Часто процедура является тем инструментом, с помощью которого стратегия преобразуется в реальное действие.

Процедуры безопасности детально определяют действия, которые нужно предпринять при реагировании на конкретные ситуации; помогают устранить проблему единой точки отказа в работе, если, например, во время кризиса работник неожиданно покидает рабочее место или оказывается недоступен.

Многие процедуры, связанные с безопасностью, должны быть стандартными средствами в любом подразделении.

Процедура реагирования на события является необходимым средством безопасности для большинства организаций. Организация особенно уязвима, когда обнаруживается вторжение в сеть или когда она сталкивается со стихийным бедствием.

Процедуру реагирования на события иногда называют процедурой обработки событий или реагирования на инциденты.

Данная процедура определяет:

• • обязанности членов команды реагирования;
• • какую информацию регистрировать и прослеживать;
• • как обрабатывать исследование отклонений от нормы и атаки вторжения;
• • кого и когда уведомлять;
• • кто может выпускать в свет информацию и какова процедура выпуска информации;
• • как должен выполняться последующий анализ и кто будет в этом участвовать.

В команду реагирования могут быть включены должностные лица компании, менеджер маркетинга (для связи с прессой), системный и сетевой администраторы и представитель соответствующих правоохранительных органов. Процедура должна указать, когда и в каком порядке они вызываются.

Процедура управления конфигурацией обычно определяется на корпоративном уровне или уровне подразделения. Эта процедура должна определить процесс документирования и запроса изменений конфигурации на всех уровнях принятия решений. В принципе должна существовать центральная группа, которая рассматривает все запросы на изменения конфигурации и принимает необходимые решения.

Процедура управления конфигурацией определяет:

• • кто имеет полномочия выполнить изменения конфигурации аппаратного и программного обеспечения;
• • как тестируется и инсталлируется программное обеспечение.