Καλώς ήρθατε πίσω.
Έχουμε δει πώς να κάνουμε identify και mitigate το risk.
Αλλά πώς οι οργανισμοί
επισημοποιούν αυτές τις προστασίες και διασφαλίζουν ότι τηρούνται;
Σε αυτό το μάθημα, θα εξερευνήσουμε τις security policies και το governance,
τη ραχοκοκαλιά των συνεπών, υπεύθυνων πρακτικών cybersecurity.
Μια security policy είναι ένα επίσημο έγγραφο που ορίζει
πώς ένας οργανισμός προστατεύει τις πληροφορίες και τα συστήματά του.
Οι πολιτικές παρέχουν καθοδήγηση, κανόνες, και μηχανισμούς επιβολής σε τομείς
όπως κωδικοί πρόσβασης, χρήση συσκευών,
απομακρυσμένη πρόσβαση, ταξινόμηση δεδομένων.
Βοηθούν τους υπαλλήλους να κατανοήσουν τι αναμένεται
και δίνουν στις ομάδες ασφαλείας ένα πρότυπο προς επιβολή.
Ας εξετάσουμε μερικούς κοινούς τύπους security policies.
Acceptable Use Policy (AUP):
ορίζει πώς μπορούν να χρησιμοποιηθούν οι εταιρικές συσκευές και τα δίκτυα.
Access Control Policy:
θέτει κανόνες για τα δικαιώματα χρηστών.
Μεθόδους σύνδεσης και προνόμια λογαριασμού.
Data Retention Policy: καθορίζει
πόσο καιρό πρέπει να αποθηκεύονται τα δεδομένα και πότε πρέπει να διαγράφονται.
Αυτές οι πολιτικές υποστηρίζουν το compliance, τη μείωση risk, και τις καθημερινές λειτουργίες.
Το Security governance ορίζει
ποιος είναι υπεύθυνος για το cybersecurity και πώς διαχειρίζεται.
Διασφαλίζει ότι η ασφάλεια ευθυγραμμίζεται με τους επιχειρηματικούς στόχους.
Οι πολιτικές εφαρμόζονται με συνέπεια.
Η ηγεσία είναι υπόλογη.
Το Governance τυπικά περιλαμβάνει ηγέτες ασφαλείας, νομικές
και compliance ομάδες, και executive sponsors.
Χωρίς ισχυρό governance, ακόμη και οι καλές πολιτικές μπορεί να αγνοηθούν.
Οι Security policies περνούν από έναν κύκλο ζωής. 1.
Develop: σύνταξη της πολιτικής με συνεισφορά από βασικούς ενδιαφερόμενους. 2. Approve:
Λήψη επίσημης έγκρισης από την ηγεσία ή ένα συμβούλιο governance.
3. Communicate: εκπαίδευση προσωπικού και ευρεία κοινοποίηση της πολιτικής.
4. Enforce: παρακολούθηση συμμόρφωσης και ανταπόκριση σε παραβιάσεις.
5. Review: ενημέρωση της πολιτικής
τακτικά για να αντικατοπτρίζει νέες απειλές και αλλαγές.
Οι πολιτικές δεν είναι έγγραφα μιας χρήσης.
Εξελίσσονται μαζί με τον οργανισμό.
Μια καλή πολιτική δεν είναι απλώς ένα έγγραφο,
είναι μια γέφυρα μεταξύ στρατηγικής και καθημερινής δράσης.
Οι αποτελεσματικές πολιτικές είναι σαφείς: εύκολες στην κατανόηση.
Εφαρμόσιμες: μπορούν να επιβληθούν ρεαλιστικά.
Ευθυγραμμισμένες:
Ταιριάζουν με το risk profile και τους στόχους του οργανισμού.
Οι πολιτικές καθοδηγούν τα πάντα, από κανόνες κωδικών πρόσβασης μέχρι incident response,
και είναι βασικό συστατικό στην επιτυχία της ασφάλειας.
Έτοιμοι για ένα μικρό επαναληπτικό κουίζ;
Ερώτηση πρώτη.
Τι είναι μια security policy;
Α ένας τεχνικός έλεγχος όπως ένα firewall.
Β Η προσωπική άποψη ενός χρήστη σχετικά με την ασφάλεια.
Γ ένα επίσημο έγγραφο που ορίζει κανόνες και προσδοκίες ασφαλείας.
Δ ένα σύστημα αντιγράφων ασφαλείας για δεδομένα χρηστών.
Παύση για σκέψη.
Η σωστή απάντηση είναι Γ.
Οι Security policies είναι επίσημοι κανόνες που καθοδηγούν τη συμπεριφορά και ορίζουν τις προστασίες.
Ερώτηση δύο τι διασφαλίζει το security governance;
Α ότι το firewall είναι πάντα ενημερωμένο;
Β ότι τα εργαλεία ασφαλείας τρέχουν γρηγορότερα.
Γ ότι οι ευθύνες και η λογοδοσία είναι σαφώς καθορισμένες.
Δ ότι οι χρήστες δεν παραβιάζουν ποτέ τους κανόνες.
Παύση.
Η σωστή απάντηση είναι Γ το governance ορίζει
ποιος είναι υπεύθυνος για την επιβολή και την υποστήριξη της ασφάλειας.
Τελευταία ερώτηση τι ακολουθεί αμέσως αφότου μια security policy
εγκριθεί επίσημα;
Α η επιβολή ξεκινά.
Β τα firewalls επαναρρυθμίζονται.
Γ οι χρήστες εκπαιδεύονται και η πολιτική κοινοποιείται.
Δ το incident response ενεργοποιείται.
Σκεφτείτε το καλά.
Η σωστή επιλογή
απάντησης είναι Γ μετά την έγκριση.
Το επόμενο βήμα είναι η επικοινωνία της πολιτικής στους υπαλλήλους και τους stakeholders.
Εξαιρετική δουλειά.
Τώρα καταλαβαίνετε πώς οι security policies ορίζουν τις προσδοκίες, πώς το governance
τις επιβάλλει, και γιατί αυτά είναι βασικοί pillars του οργανωτικού cybersecurity.
Στη συνέχεια θα εξερευνήσουμε προγράμματα security awareness και εκπαίδευσης.
Επειδή ακόμα και η καλύτερη πολιτική δεν σημαίνει τίποτα αν οι άνθρωποί σας δεν την καταλαβαίνουν.
Ας συνεχίσουμε.