polityka ochrony treści

Polityka ochrony treści to zasady klasyfikowania i zabezpieczania informacji według stopnia ich poufności.

Klasyfikacja informacji według poziomu poufności

Polityka ochrony treści określa, w jaki sposób organizacja rozpoznaje, klasyfikuje i zabezpiecza informacje przechowywane na komputerach, laptopach, serwerach plików oraz w aplikacjach. Podstawą jest przypisanie treści do poziomu ochrony wynikającego z jej przeznaczenia i skutków nieuprawnionego ujawnienia. Przykładowy podział obejmuje informacje publiczne, wewnętrzne, poufne oraz ściśle poufne. Informacje publiczne mogą być udostępniane bez ograniczeń, natomiast treści poufne powinny być dostępne wyłącznie określonym osobom lub grupom.

Sama nazwa poziomu nie zapewnia ochrony. Polityka powinna wskazywać właściciela informacji, dozwolone miejsca przechowywania, zasady kopiowania, przesyłania, drukowania i usuwania oraz wymagany czas przechowywania. W praktyce etykieta klasyfikacyjna może być zapisana jako metadane dokumentu, prefiks nazwy pliku albo widoczny opis w nagłówku. Dzięki temu użytkownik wie, czy może wysłać plik pocztą elektroniczną, zapisać go na nośniku USB lub udostępnić przez usługę chmurową.

Kontrola dostępu do dokumentów i plików

Najważniejszym mechanizmem wynikającym z polityki jest ograniczenie dostępu do osób, które rzeczywiście potrzebują danej treści do wykonywania swoich obowiązków. Uprawnienia powinny być nadawane według roli, a nie automatycznie wszystkim użytkownikom komputera lub udziału sieciowego. W systemach plików można rozdzielać prawo odczytu, zapisu, modyfikowania i usuwania. Osobne uprawnienia ograniczają ryzyko przypadkowej zmiany dokumentu oraz utrudniają usunięcie śladów po nieautoryzowanej operacji.

Polityka powinna również wymagać przeglądu uprawnień po zmianie stanowiska, zakończeniu współpracy lub zmianie zakresu obowiązków. Konta współdzielone utrudniają ustalenie, kto otworzył albo skopiował plik, dlatego dostęp powinien być przypisany do indywidualnych kont. Dla treści o wyższym poziomie poufności stosuje się uwierzytelnianie wieloskładnikowe, szyfrowanie dysku oraz szyfrowanie transmisji. W systemach Windows funkcję szyfrowania całego dysku może realizować BitLocker, o ile komputer i jego edycja systemu obsługują ten mechanizm.

Bezpieczne przechowywanie, przesyłanie i niszczenie treści

Dokument sklasyfikowany jako poufny nie powinien być przechowywany bez kontroli na pulpicie, prywatnym dysku USB ani w przypadkowym katalogu synchronizowanym z chmurą. Polityka powinna określać zatwierdzone lokalizacje, sposób tworzenia kopii zapasowych oraz zasady szyfrowania. Kopia zapasowa również zawiera chronioną treść, dlatego musi podlegać takiej samej klasyfikacji jak plik źródłowy. Warto rozdzielić uprawnienia do odczytu danych od uprawnień do zarządzania kopiami zapasowymi.

Podczas przesyłania plików należy używać kanałów zapewniających poufność i integralność, na przykład połączeń HTTPS lub szyfrowanych połączeń VPN. Hasła nie powinny być przesyłane w tym samym kanale co zabezpieczony dokument. Jeżeli poufny plik jest wysyłany pocztą elektroniczną, odbiorca powinien zostać zweryfikowany, a zakres załączonych informacji ograniczony do niezbędnego minimum. Po zakończeniu okresu przechowywania treści nie wystarczy przenieść jej do kosza. Dyski, karty pamięci i nośniki USB należy bezpiecznie wymazać albo fizycznie zniszczyć, zależnie od rodzaju nośnika i poziomu ryzyka.

Wdrożenie zasad na komputerach użytkowników

Skuteczna polityka ochrony treści wymaga połączenia procedur organizacyjnych z ustawieniami komputerów. Należy stosować aktualne poprawki systemu, blokadę ekranu po bezczynności, ochronę przed złośliwym oprogramowaniem oraz ograniczenie instalowania niezatwierdzonych aplikacji. Użytkownicy powinni wiedzieć, jak oznaczać dokumenty, komu zgłaszać błędne udostępnienie pliku i co zrobić w przypadku zagubienia laptopa lub nośnika. Rejestrowanie dostępu do wrażliwych katalogów pomaga wykrywać nietypowe operacje i odtwarzać przebieg zdarzenia.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego podczas prac serwisowych istotne jest przekazanie wyłącznie danych potrzebnych do diagnostyki oraz wcześniejsze zabezpieczenie poufnych plików. Przed oddaniem sprzętu można wykonać kopię zapasową, wylogować konta, odłączyć nośniki z wrażliwymi treściami i przekazać serwisantowi opis objawów bez ujawniania zbędnych dokumentów. Po naprawie należy sprawdzić, czy system uruchamia się z właściwymi kontami, szyfrowanie nadal działa, a ustawienia udostępniania plików nie zostały rozszerzone.