Шаблоны политики безопасности

Политика безопасности организации — это документ, описывающий специфические требования или правила, которые должны выполнятся. В области информационной и сетевой безопасности политики обычно специфичны и области применения. Ведущие организации, занимающиеся вопросами обеспечения информационной безопасности, разработали шаблоны ПБ. Например, институт SANS (System Administration? Networking? And Security), разработал серию шаблонов различных ПБ.

В число этих шаблонов входят, например, следующие политики:

• 1) допустимая политика шифрования — определяют требования к криптографическим алгоритмам, используемые в организации;
• 2) допустимая политика использования — определяет использование компьютерных служб для защиты пользователей, ресурсов организации и собственно информации;
• 3) антивирусная защитаопределяет основные принципы эффективного уменьшения угрозы компьютерных вирусов для сети организации;
• 4) политика оценки приобретений — определяет возможности покупок средств защиты организацией и определяет минимальные требования к оценке покупок, выполняемых группой информационной безопасности;
• 5) политика аудита сканирования уязвимостей — определяет требования и назначение ответственного для сопровождения аудита и оценки риска, чтобы удостоверится в целостности информационных ресурсов, исследовать инциденты, устанавливать соответствие политикам безопасности или проводить мониторинг пользовательской или системной активности;
• 6) политика автоматически передаваемой почты — документируемые требования того, что никакая почта не может быть автоматически перенаправлена внешнему источнику без соответствующей санкции менеджера или директора;
• 7) политика кодирования полномочий к базе данных (БД) — определяет требования для безопасного хранения и извлечения имен пользователей и пролей к БД.
• 8) политика доступа по телефонной линии — определяет соответствующий доступ и его использование автоматизированными персонами;
• 9) политика безопасности демилитаризованной зоны — определяет стандарты для всех сетей и оборудования, применяемых в лаборатории, расположенной в демилитаризованной зоне или во внешних сетевых сегментах.
• 10) политика критической информации — определяет требования к классификации и безопасности информации организации путем присвоения соответствующих уровней конфиденциальности;
• 11) политика защиты паролей — определяет стандарты создания, защиты и смены паролей;
• 12) политика удаленного доступа — определяет стандарты соединения с сетью организации из любого хоста или сети, являющихся внешними для организации;
• 13) политика оценки риска — определяет требование и назначает ответственного за идентификации, оценки и уменьшения риска информационной инфраструктуры организации, ассоциированной с сопровождением бизнеса;
• 14) политика безопасности маршрутизатора — определяет стандарты конфигурации минимальной безопасности для маршрутизаторов и коммутаторов внутри сети организации или используемых для работы;
• 15) политика безопасности сервера — определяет стандарты конфигурации минимальной безопасности для серверов внутри сети организации или используемых как продукция;
• 16) политика безопасности VPN — определяет требования для удаленного доступа IPSeс или L2TP VPN соединений с сетью организации;
• 17) политика беспроводных соединений — определяет стандарты для беспроводных систем, используемых для соединения с сетью организации.

Поэтому исходя из специфики построения и функционирования организации формируется соответствующий набор политик безопасности организации. Для обеспечения безопасности межсетевого взаимодействия особую роль играет сетевая политика безопасности.