.jpg)
Academia Română a fost creată în 1866 pentru a cristaliza cele mai înalte valori intelectuale din provinciile românești într-o societate erudită menită să consolideze identitatea națională pe baza a patru componente esențiale: limbă și literatură, istorie, etnografie și cultură. La...
Securitatea Informaţiei – Strategii, Alternative...
Un program eficient de securitate al informaţiei se adresează oamenilor şi acţiunilor acestora. Organizaşia poate adopta documente excelent structurate, care conţin cele mai potrivite noţiuni şi cuvinte de specialitate, însă acei cărora li se adresează aceste documente (clienţi, angajaţi, management la orice nivel etc.), trebuie să conştientizeze utilitatea acestora şi asumarea cerinţelor la care se face referire.
Câteva caracteristici definitorii ale unui program de securitate eficient sunt:
- Conducerea organizaţiei recunoaşte necesitatea unui astfel de program de securitate şi furnizează resursele necesare;
- Programul este eficient din punct de vedere al costurilor. Nivelul de protecţie obţinut va maximiza performanţa organizaţiei, luând în considerare costurile de implementare şi reducerea pierderilor preconizate a se realiza;
- Responsabilitatea şi răspunderea pentru toate aspectele legate de programul de securitate sunt definite în cadrul politicilor şi standardelor;
- Performanţele şi cerinţele programului de securitate al informaţiei sunt revizuite periodic şi ori de câte ori există modificări în misiunea organizaţiei sau ale mediului de risc.
Politica de securitate
În cadrul unei organizaţii, politica de securitate a informaţiei constituie unul dintre cele mai importante documente din cadrul acesteia. Acest document trebuie să reprezinte în permanenţă o extensie a mediului de afaceri al organizaţiei, a culturii şi misiunii acesteia, să fie în spiritul reglementărilor şi legislaţiei incidente.
Politica de securitate a informaţiei trebuie să fie adaptată pentru a reflecta obiectivele de afaceri ale organizaţiei. Acesta este unul dintre principalele motive pentru care utilizarea unor politici standard nu este o alternativă viabilă pentru cei mai mulţi dintre managerii în securitatea informaţiei. Este incontestabil faptul că multe organizaţii împărtăşesc obiective de afaceri similare şi multe politici pot coincide. Elementul definitoriu care promovează însă un program de securitate către un nivel de eficienţă sporită, deşi poate suna straniu, nu îl constituie calitatea politicii – îl reprezintă oamenii.
Pentru ca securitatea informaţiei să fie luată în mod serios în consideraţie în cadrul organizaţiei, trebuie ca în mod necesar suportul managementului să fie vizibil la toate nivelurile. Acest deziderat poate fi atins prin finanţarea iniţiativelor programului de securitate al informaţiei, promovarea acestora în rândul personalului, organizarea unor activităţi de informare şi pregătire profesională.
Primul mecanism de control tratat în cadrul Standardului International ISO/IEC 27002:2005(E) – Cod de Practici pentru Managementul Securităţii Informaţiei, se referă la documentul prin care este stabilită politica securităţii informaţiei, suportul managementului şi direcţii pentru programul de securitate al informaţiei. Deşi sunt menţionate doar două mecanisme de control la nivelul acestei secţiuni, acest fapt nu trebuie să conducă la o atenţie mai scăzută acordată subiectului în cauză. În fapt, primul mecanism de control („Documentarea unei Politici de Securitate a Informaţiei“) constituie un indicator cheie de control al riscului, aşa cum am menţionat anterior. Al doilea mecanism de control se referă la necesitatea menţinerii în formă actualizată/revizuită a documentului în cauză.
Suportul Managementului
Obiectivul general pentru acest mecanism de control al secţiunii amintite poate fi caracterizat prin afirmaţia că managementul trebuie să furnizeze directive pentru iniţiativele securităţii informaţiei şi să confere în mod nemijlocit sprijin în implementarea acestuia. Anumite programe de protecţie au eşuat tocmai din cauza ineficienţei sau insuficienţei suportului conducerii. Programul de protecţie este necesar a fi înţeles şi sprijinit la cel mai înalt nivel, conducerea trebuie să dovedească consecvenţă în a se asigura că întreg personalul va respecta cerinţele stabilite. În mod similar cu obiectivele altor direcţii şi departamente, programul de securitate al informaţiei concurează pe aceleaşi resurse ale organizaţiei. Din acest motiv, conducerea face eforturi în alocarea prudenţială a resurselor existente dar, în acelaşi timp, trebuie să decidă asupra unei posibile expuneri la risc versus altor cerinţe operaţionale – cum ar fi extinderea portofoliului de produse. Această dilemă poate determina conducerea ca în anumite situaţii să-şi asume în mod deliberat riscul identificat.
Oamenii
Cea mai importantă şi, în general, cea mai costisitoare resursă a unei organizaţii şi prin urmare şi al programului de securitate al informaţiei, îl reprezintă personalul. Asupra acestuia se îndreaptă totuşi numeroase contramăsuri şi mecanisme de control. Din faza de proiectare a sistemelor, o atenţie deosebită trebuie acordată în situaţia necesităţii înlocuirii funcţiilor automatizate cu cele manuale şi calculelor de eficienţă în recuperarea investiţiei iniţiale. În această situaţie, nu trebuie omise costurile necesare implementării de mecanisme de control destinate personalului.
Personalul reprezintă, în fapt, utilizatori ai tehnicii de calcul prin prisma activităţilor curente la locul de muncă. Pentru a fi eficienţi, trebuie corect informaţi asupra a ce se aşteaptă de la ei cu privire la politicile de securitate şi procedurile existente. Sesiunile periodice de pregătire şi directivele clare ale politicilor şi procedurilor sunt esenţiale pentru obţinerea sprijinului utilizatorilor. În mod inevitabil, vor exista situaţii prin care aceştia vor ignora sau vor încerca să eludeze mecanismele de control. Din acest motiv, activitatea de monitorizare este esenţială pentru detectarea acestor tentative. Pe de altă parte însă, este important să se creeze un mediu de securitate cât mai prietenos, care să evite plasarea unor solicitări nerezonabile la adresa utilizatorilor, cerinţele acestora trebuind a fi luate în considerare la momentul elaborării normelor de securitate.
Securitatea Informaţiei: politici, standarde, proceduri
Definiţia politicii pleacă de la un principiu, plan sau curs al acţiunii urmate de organizaţie la un moment dat. În acest context, o declaraţie din cadrul politicii, reprezintă o afirmaţie scrisă şi asumată de un reprezentant al conducerii organizaţiei cu privire la un anumit obiectiv de conformitate. De exemplu, următoarea declaraţie poate fi adoptată ca politică în cadrul unei organizaţii:
Parerea ta conteaza: 
Managementul vulnerabilităţilor - O şansă în plus?
