polityki bezpieczeństwa

Polityki bezpieczeństwa to zbiór dokumentów opisujących zasady ochrony systemów i danych organizacji.

Zakres i cel polityk bezpieczeństwa

Polityki bezpieczeństwa to uporządkowany zestaw dokumentów, które określają, w jaki sposób organizacja chroni komputery, urządzenia sieciowe, aplikacje, konta użytkowników oraz informacje przechowywane i przesyłane w systemach informatycznych. Dokumenty te powinny wskazywać zakres ochrony, osoby odpowiedzialne za poszczególne działania, wymagane zabezpieczenia oraz sposób postępowania w typowych i awaryjnych sytuacjach. Sama polityka nie jest programem antywirusowym ani pojedynczym ustawieniem zapory sieciowej. Jest regułą organizacyjną, na podstawie której dobiera się konfigurację techniczną, uprawnienia i procedury.

Praktyczna polityka powinna być jednoznaczna i możliwa do sprawdzenia. Zamiast ogólnego zapisu o konieczności „odpowiedniej ochrony” może określać, że konta użytkowników mają działać bez uprawnień administratora, aktualizacje systemu operacyjnego są instalowane według ustalonego harmonogramu, a kopie zapasowe są okresowo testowane przez odtworzenie wybranych plików. Ważnym elementem jest również wskazanie właściciela dokumentu, daty zatwierdzenia, zakresu obowiązywania i terminu przeglądu. Polityka powinna być aktualizowana po zmianie infrastruktury, systemu operacyjnego, sposobu pracy lub poziomu ryzyka.

Kontrola dostępu do systemów i danych

Jednym z podstawowych obszarów polityk bezpieczeństwa jest kontrola dostępu. Użytkownik powinien otrzymywać wyłącznie uprawnienia potrzebne do wykonywania swoich zadań, zgodnie z zasadą najmniejszych uprawnień. Konta administratorów powinny być oddzielone od zwykłych kont do codziennej pracy, ponieważ uruchomienie złośliwego programu w sesji administracyjnej może zwiększyć zakres potencjalnych zmian w systemie. Polityka może też określać sposób zakładania, blokowania i usuwania kont, a także obowiązek natychmiastowego odebrania dostępu osobie, która przestała wykonywać określone zadania.

Reguły uwierzytelniania powinny obejmować unikalne hasła, ochronę przed wielokrotnymi próbami logowania oraz, tam gdzie system to umożliwia, uwierzytelnianie wieloskładnikowe. Drugi składnik może być oparty na aplikacji generującej kody jednorazowe, kluczu sprzętowym albo innym mechanizmie zatwierdzonym dla danego systemu. Polityka powinna rozróżniać uwierzytelnianie od autoryzacji: pierwsze potwierdza tożsamość użytkownika, a drugie decyduje, do jakich zasobów i operacji użytkownik ma dostęp. Dla systemów przechowujących informacje techniczne warto rejestrować udane i nieudane logowania, zmiany uprawnień oraz operacje administracyjne.

Aktualizacje, kopie zapasowe i reagowanie na incydenty

Polityka aktualizacji powinna określać, które elementy podlegają utrzymaniu: systemy operacyjne, sterowniki, przeglądarki, aplikacje, urządzenia sieciowe i oprogramowanie zabezpieczające. Istotne jest rozróżnienie aktualizacji bezpieczeństwa od zmian funkcjonalnych oraz ustalenie sposobu sprawdzania, czy poprawka została faktycznie zainstalowana. W środowisku z wieloma urządzeniami można prowadzić ewidencję sprzętu i wersji oprogramowania, aby wykrywać komputery pozbawione wymaganych poprawek. Przed wdrożeniem większej zmiany należy określić możliwość wycofania konfiguracji i sposób odtworzenia działania systemu.

Polityka kopii zapasowych powinna wskazywać, jakie dane są kopiowane, jak często to następuje, jak długo kopie są przechowywane oraz kto może je odtworzyć. Kopia zapisana na tym samym dysku co dane źródłowe nie zapewnia ochrony przed awarią tego dysku, a stale podłączony nośnik może zostać zaszyfrowany razem z komputerem przez ransomware. Dlatego dokument powinien uwzględniać co najmniej różne nośniki lub lokalizacje oraz okresowe testy odtwarzania. Osobna procedura reagowania na incydent powinna opisywać zgłoszenie zdarzenia, odłączenie zagrożonego urządzenia od sieci, zabezpieczenie logów, ocenę zakresu problemu i przywrócenie pracy z użyciem sprawdzonych kopii.

Wdrożenie zasad na laptopach i komputerach PC

Na komputerach użytkowników polityki bezpieczeństwa przekładają się na konkretne ustawienia: blokadę ekranu po bezczynności, szyfrowanie nośnika, zaporę sieciową, ochronę przed złośliwym oprogramowaniem, automatyczne aktualizacje oraz ograniczenie instalowania niezatwierdzonych programów. W przypadku laptopów znaczenie ma także ochrona urządzenia poza biurem. Dostęp do sieci publicznej powinien być traktowany jako potencjalnie niezaufany, a przesyłanie poufnych informacji powinno odbywać się przez szyfrowane połączenia. Polityka może określać, że dane robocze nie są przechowywane wyłącznie lokalnie oraz że zgubienie sprzętu należy niezwłocznie zgłosić osobie odpowiedzialnej za bezpieczeństwo.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego podczas diagnostyki urządzenia można sprawdzić między innymi stan dysku, poprawność aktualizacji, działanie zabezpieczeń systemowych oraz objawy wskazujące na infekcję lub nieprawidłową konfigurację. Polityka bezpieczeństwa powinna jednak jasno oddzielać czynności serwisowe od decyzji organizacyjnych: technik może usunąć usterkę, przywrócić system lub pomóc w konfiguracji, natomiast właściciel sprzętu i administrator ustalają, jakie dane wolno przechowywać, kto otrzymuje dostęp oraz jak długo informacje mają być zachowane. Suchy, zatwierdzony dokument ułatwia późniejszą weryfikację, ogranicza przypadkowe odstępstwa i pozwala porównać rzeczywistą konfigurację komputera z wymaganym stanem.