Cybersecurity Starter Kit: Section 2
У цьому розділі ви навчитеся:
Розділ 2: Визначте, хто несе відповідальність
Як тільки ви визначите, що саме потребує захисту, вирішіть, хто буде приймати рішення, вживати заходів та контролювати їх виконання.
У невеликих некомерційних організаціях завдання з безпеки часто неофіційно покладаються на того, хто добре розбирається в технологіях. Така людина може зробити цінний внесок, але їй потрібні чіткі очікування, підтримка та хтось, до кого можна звернутися, коли рішення виходить за межі її повноважень.
Для впровадження цих заходів вам не потрібна окрема ІТ-команда. Почніть з тих співробітників, які вже працюють у вашій організації, і домовтеся, за що відповідатиме кожна людина.
Відокремте рішення від завдань
Відповідальність за рішення щодо безпеки не означає, що потрібно особисто виконувати кожне технічне завдання.
Наприклад, виконавчий директор може схвалити використання менеджера паролів, координатор операційної діяльності — організувати його впровадження, а постачальник послуг — допомогти з налаштуванням. Після цього співробітники та волонтери будуть дотримуватися узгодженого порядку його використання.
Необхідно розглянути чотири функції:
Затверджувати рішення
Визначати очікування, затверджувати ресурси та вирішувати питання, що впливають на діяльність організації.
Хто може цим займатися: виконавчий директор або інший уповноважений керівник; за необхідності — за участю правління
Координаційні заходи безпеки
Відстежувати узгоджені заходи, вести документацію та інформувати керівництво про виявлені недоліки.
Хто міг би цим зайнятися: Керівник операційної діяльності, адміністратор або призначений координатор
Виконувати завдання
Керуйте налаштуваннями, оновлюйте пристрої, налаштовуйте доступ або перевіряйте резервні копії.
Хто міг би цим зайнятися: Співробітник, кваліфікований волонтер або постачальник послуг
Повідомити про проблему
Повідомляйте про підозрілу діяльність, помилки та труднощі відповідно до узгоджених процедур.
Хто міг би цим зайнятися: Усі через чітко визначеного контактну особу
Одна людина може виконувати кілька функцій. Головне, щоб вона розуміла свою роль і мала повноваження, час та підтримку для її виконання.
Чітко вказуйте, чим саме займаються люди
Таке загальне завдання, як “Сем відповідає за кібербезпеку”, залишає занадто багато місця для інтерпретації. Опишіть роботу та межі цієї посади.
Постачальникам послуг та волонтерам слід з’ясувати, що входить до переліку послуг, що не входить, а також коли можна отримати допомогу. Зафіксуйте ці домовленості, щоб інші могли з ними ознайомитися.
Нечітке завдання
Чітке завдання
План на випадок відсутності та плинності кадрів
Ваша організація повинна мати можливість продовжувати виконувати найважливіші завдання, навіть коли хтось відсутній або звільняється.
Для важливих облікових записів та послуг:
– Визначте особу, яка замінить вас, та поясніть, коли їй слід вступити в справу.
– Вкажіть, де зберігаються інструкції та контактні дані надійних осіб, до яких можна звернутися за допомогою.
– Переконайтеся, що для організаційних облікових записів встановлено належні механізми управління та відновлення доступу.
– Перед тим, як скасувати доступ співробітника, який звільняється, слід організувати передачу справ.
– Надайте кожній особі доступ, необхідний для виконання її обов’язків; заступникам не потрібен необмежений доступ до всіх ресурсів.
Не варто покладатися на пам’ять однієї людини, її особисту поштову скриньку чи особистий пристрій як на єдине джерело важливої інформації.
Перетворіть обов’язки на чіткі правила
Обов’язки визначають, хто виконує роботу. Політики визначають, чого очікує ваша організація. Процедури описують, як співробітники втілюють ці очікування на практиці.
Політика
Які вимоги ми висуваємо?
Доступ до інформації про клієнтів мають лише ті особи, яким вона необхідна для виконання своїх службових обов’язків.
Відповідальність
Хто його затверджує, впроваджує та перевіряє?
Керівник програми надає дозвіл на доступ; адміністратор облікового запису його застосовує.
Порядок дій
Як це зробити?
Подавайте запит на доступ через менеджера програми та перевіряйте його, коли хтось звільняється або змінює посаду.
Корисна інструкція може бути короткою та написаною простою мовою. Вона має бути достатньо конкретною, щоб люди розуміли, що робити, і достатньо реалістичною, щоб вони могли її дотримуватися.
Почніть з пріоритетів, визначених у вашому переліку. Наступні розділи цього посібника допоможуть вам сформувати вимоги щодо захисту облікових записів, роботи з інформацією, створення резервних копій та реагування на інциденти.
Короткий приклад політики
Доступ до інформації про клієнтів
Мета
Забезпечити захист інформації про клієнтів, водночас надаючи уповноваженим особам можливість надавати послуги.
Сфера застосування
Ця політика поширюється на співробітників, волонтерів та підрядників, які мають доступ до інформації про клієнтів організації.
Вимоги
Доступ повинен бути затверджений керівником програми та обмежений тим, що необхідно цій особі для виконання її обов’язків. Інформація про клієнтів повинна зберігатися у затверджених місцях. Про зміни в обов’язках або звільнення необхідно негайно повідомляти, щоб можна було скоригувати або скасувати доступ.
Відповідальність
Керівник програми затверджує доступ та перевіряє, чи він залишається обґрунтованим. Адміністратор облікового запису вносить затверджені зміни. Кожен, хто помітить неналежний доступ або обмін даними, повинен негайно повідомити про це призначену контактну особу.
Винятки
Будь-яке виключення має бути затверджене виконавчим директором або уповноваженим представником із зазначенням причини, заходів безпеки та дати закінчення дії або перегляду.
Огляд
Переглядайте цю політику щонайменше раз на рік, а також у разі змін у відповідних системах, послугах або обов’язках.
Зробити політику дієвою
Перш ніж затверджувати правило, перевірте, чи можуть люди його обґрунтовано дотримуватися.
Якщо ви вимагаєте багатофакторної автентифікації (MFA), співробітникам необхідна зручна система налаштування та процедура відновлення доступу. Якщо ви забороняєте зберігати клієнтські файли на особистих пристроях, забезпечте затверджений спосіб доступу до цих файлів. Якщо співробітники повинні повідомляти про проблеми, подбайте про те, щоб контактну інформацію було легко знайти.
Ознайомте співробітників із правилами під час вступного інструктажу, поясніть, чому вони важливі, та наведіть приклади, що стосуються їхньої роботи. Надайте співробітникам та волонтерам можливість задавати питання та повідомляти про практичні труднощі.
Заохочуйте своєчасне повідомлення про помилки. Той, хто прикріпив неправильний файл або затвердив несподіваний запит на вхід, повинен знати, до кого негайно звернутися, навіть якщо не впевнений у тому, що саме сталося.
Якщо правило регулярно порушується, з’ясуйте причину. Можливо, організації потрібні чіткіші інструкції, інші інструменти, додаткова підтримка або перегляд самого правила.
Домовитися, хто що робитиме
Поверніться до трьох пріоритетів, які ви обрали в розділі 1. Для кожного з них вкажіть відповідь у відповідному розділі.
Обговоріть завдання з зазначеними особами. Переконайтеся, що вони розуміють і погоджуються на цю роботу, знають її межі та мають необхідну підтримку для її виконання.
Потім виберіть один пріоритет, для якого потрібно сформулювати письмове правило.
Складіть свій перший регламент
Скористайтеся цими підказками з робочого аркуша, щоб підготувати короткий чернетку.
Перш ніж почати її застосовувати, попросіть когось, на кого поширюється дія цієї політики, ознайомитися з нею. Чи зможе ця особа пояснити, що їй потрібно робити? Чи є у неї все необхідне для дотримання вимог?
Висновок
До кінця цього розділу ви повинні:
- Узгоджені обов’язки щодо ваших перших трьох пріоритетів.
- Резервне забезпечення виконання найважливіших завдань та прийняття рішень.
- Контактна особа, відповідальна за звітування, та її заступник на випадок, якщо вона буде недоступна.
- Короткий проект документа, що містить план його затвердження та впровадження.
Далі ви ознайомитеся з багатофакторною автентифікацією — одним із засобів захисту, які можна використовувати для захисту облікових записів вашої організації.
Розділ 3: Захист облікових записів за допомогою багатофакторної автентифікації
Облікові записи вашої некомерційної організації забезпечують людям доступ до електронної пошти, файлів, фінансів та основних послуг. Захист цих облікових записів допомагає захистити все, до чого можна отримати доступ через них.
English 
French 
Chinese 
Spanish 
Ukrainian 
