Polityka i procedury bezpieczeństwa w firmie

Polityka bezpieczeństwa definiuje prawa i obowiązki poszczególnych pracowników, a także wyznacza procedury, pozwalające na odpowiednią ochronę danych przetwarzanych w firmie. Dobrze opracowana, a następnie właściwie wdrożona polityka skutecznie minimalizuje ryzyko utraty danych i wiążących się z tym strat ekonomicznych czy wizerunkowych.

Kiedy wszystko idzie zgodnie z planem, organizacja działa jak dobrze naoliwiona maszyna. Czasem wystarczy jednak jedno nieoczekiwane zdarzenie i wszystko się sypie. Polityka bezpieczeństwa w firmie pozwala uniknąć takiej sytuacji – polega na opracowaniu scenariuszy dla różnych potencjalnych sytuacji związanych z naruszeniem firmowych systemów.

Można by ją definiować na różne sposoby, ale ostatecznie sprowadza się to tak naprawdę do tego, że polityka bezpieczeństwa IT w firmie jest zbiorem procedur opisujących sposób funkcjonowania organizacji pod kątem ochrony zasobów informatycznych, dokumentów i wszystkich przetwarzanych danych.

Dalsza część artykułu pod materiałem wideo

Polityka bezpieczeństwa powinna ustalać między innymi:

• uprawnienia dostępu do informacji dla poszczególnych pracowników,
• procedury przy używaniu zewnętrznych nośników informacji,
• poziom poufności poszczególnych typów informacji,
• metody zabezpieczenia firmowej infrastruktury IT,
• procedury w przypadku naruszenia ochrony danych osobowych,
• prowadzenie ewidencji naruszeń i sposobów ich eliminacji.

Jej opracowanie powinno zaś zostać poprzedzone analizą poszczególnych elementów systemu przetwarzania informacji oraz systemu informatycznego. Należy ustalić, z jakimi zagrożeniami ma się do czynienia w kontekście infrastruktury sieciowej, sprzętu komputerowego, procesów przetwarzania danych, jak i zasobów ludzkich.

Polityka bezpieczeństwa w firmie powinna wyznaczać sposoby działania w czasie "spokoju", ale też zawierać szczegółowo opracowane plany działania na wypadek niechcianych zdarzeń. Chodzi o scenariusze na wypadek takich wydarzeń jak wyciek lub kradzież danych, kradzież lub zgubienie urządzeń, nieautoryzowany dostęp czy też awaria sprzętu lub systemu.

Podstawowa zasada jest taka, że procedury składające się na politykę bezpieczeństwa, powinny być możliwie precyzyjne. Chodzi o to, by jasno określały, kto co powinien robić i w jaki sposób cała organizacja powinna działać w takiej lub innej sytuacji.

Polityka bezpieczeństwa w firmie powinna być też regularnie poddawana audytom. Pomogą one w wyłapywaniu jej mankamentów i takiej optymalizacji procesów, by nie tylko zwiększać bezpieczeństwo, ale też usprawniać pracownikom wykonywanie swoich obowiązków. Zresztą przyjazna polityka sprzyja temu, by personel w pełni ją respektował. Trudno o to, jeśli procedury będą poważnie utrudniać albo wręcz uniemożliwiać normalną prace.

Najważniejsze zasady są takie, że poprawnie zdefiniowana polityka bezpieczeństwa:

• uwzględnia każde urządzenie, każdą osobę i każdy typ informacji,
• jednoznacznie przypisuje uprawnienia dostępu każdemu z pracowników,
• szczegółowo definiuje poziom poufności danych: od powstania, do usunięcia,
• ustala precyzyjne zasady dotyczące korzystania z wewnętrznych i zewnętrznych urządzeń,
• jednoznacznie definiuje scenariusze i procedury dla poszczególnych sytuacji,
• jest na bieżąco weryfikowana i poddawana audytom bezpieczeństwa IT,
• jest zgodna z obecnym stanem prawnym.

Choć ostatnia na liście, zgodność ze stanem prawnym jest tak naprawdę jedną z najważniejszych zasad. Trzeba bowiem wiedzieć, że podstawą prawną do stworzenia polityki bezpieczeństwa w firmie są właśnie rozmaite przepisy, w tym ustawy o ochronie informacji niejawnych, ochronie danych osobowych i ochronie praw autorskich, a także regulujące krajowy system cyberbezpieczeństwa czy Krajowe Ramy Interoperacyjności.

Pierwszym etapem jest przeprowadzenie audytu. Pomoże on określić to, jakie typy informacji są przetwarzane w firmie, jakie narzędzia informatyczne i technologie są w niej wykorzystywane, a także jakich uprawnień do przetwarzania danych potrzebują konkretne grupy pracowników.

Kolejnym etapem jest opracowanie polityki i wdrożenie tych zmian. To zdefiniowanie konkretnych procedur, inwestycje w odpowiednie technologie, nadanie (lub odebranie) uprawnień poszczególnych grupom pracowników itd.

Ci ostatni – i to etap trzeci – muszą następnie zostać zaznajomieni z wprowadzaną polityką bezpieczeństwa. Najlepiej jest to zrealizować poprzez odpowiednie szkolenia, podczas których pracownicy dowiedzą się, jak powinni działać i jakie są ich obowiązki w tym zakresie.

To proces czasochłonny i wymagający współpracy między zespołami. Warto jednak podejść do niego rzetelnie, ponieważ korzyści płynące z dobrze opracowanej polityki bezpieczeństwa są nie do przecenienia. To przede wszystkim minimalizacja ryzyka wystąpienia naruszeń i ewentualnych strat w przypadku, gdy jednak do nich dojdzie. Do tego dochodzi poczucie bezpieczeństwa i pewności, że rozmaite zdarzenia nie będą absolutnym zaskoczeniem dla pracowników. Oprócz nich pewność zwiększy się także u partnerów biznesowych i klientów.