Цінність фізичного обладнання часто набагато менше цінності даних, які воно містить. Отримання конфіденційних даних компанії конкурентами чи злочинцями може спричинити великі збитки. Це в свою чергу може призвести до втрати довіри до компанії, звільнення комп'ютерних інженерів, відповідальних за комп’ютерну безпеки. Для захисту даних може бути застосовано кілька методів організації безпеки.
Організація має прагнути забезпечити найкращий і фінансово найдоступніший захист від втрати даних та пошкодження програмного забезпечення й устаткування. Інженери з підтримки мереж і керівництво організації повинні спільно розробити політику безпеки, яка гарантуватиме захист даних і устаткування від усіх загроз безпеці. Під час розроблення політики керівникам слід порівняти вартість втрати даних з витратами на організацію безпеки і визначити прийнятні компроміси. Політика безпеки містить вичерпний звіт про необхідний рівень безпеки і про те, як він буде досягнутий.
Ви можете брати участь у розробленні політики безпеки для клієнта або організації. Створюючи політику безпеки, поставте наступні запитання, щоб визначити чинники безпеки:
- Де знаходиться комп'ютер: вдома чи на підприємстві? - Домашні комп'ютери вразливі для вторгнень через бездротове середовище. Для робочих комп'ютерів існує висока небезпека вторгнень через мережу, оскільки підприємства є більш привабливими для хакерів, а зареєстровані користувачі можуть порушувати правила доступу.
- Чи використовується постійне підключення до Інтернету? - Чим довше комп'ютер підключений до Інтернету, тим вища імовірність атак. На комп'ютері з доступом до Інтернету мають бути встановлені міжмережний екран і антивірусне ПЗ.
- Чи є комп'ютер портативним? - Фізична безпека − проблема портативних комп'ютерів. Існують засоби захисту портативних комп'ютерів, такі як кабельні замки, біометрія, а також методи відстеження.
Під час створення політики безпеки, необхідно враховувати кілька ключових моментів:
- процес оброблення інцидентів мережної безпеки;
- процес аудиту поточної безпеки мережі;
- загальна структура системи безпеки для реалізації безпеки мережі;
- дозволені режими роботи;
- заборонені режими роботи;
- об'єкти для реєстрації та спосіб зберігання журналів: засіб перегляду подій, файли системного журналу або файли журналу безпеки;
- мережний доступ до ресурсів через дозволи облікового запису;
- технології аутентифікації для доступу до даних: імена користувачів, паролі, біометричні дані та смарт-карти.
Політика безпеки також повинна надавати докладну інформацію за наступними питаннями у надзвичайних ситуаціях:
- дії, які необхідно виконати на випадок порушення безпеки;
- контактна особа під час виникнення надзвичайних ситуацій;
- інформація, що надається замовникам, постачальникам і засобам масової інформації;
- додаткові місця розташування під час евакуації;
- дії після ліквідації надзвичайної ситуації, зокрема пріоритет відновлення сервісів.
Межі дії політики безпеки та наслідки її недотримання повинні бути чітко прописані. Політики безпеки повинні регулярно переглядатися і, за необхідності, оновлюватися. Зберігайте історію змін, щоб відстежувати зміни політики. Забезпечення безпеки − це обов'язок усіх співробітників компанії. Усі співробітники, навіть ті, хто не користується комп'ютерами, повинні пройти навчання, щоб ознайомитися з політикою безпеки, і надалі мають повідомлятися про її оновлення.
У політиці безпеки також необхідно визначити доступ співробітників до даних. Політика має забороняти загальний доступ до конфіденційних даних, при цьому дозволяючи співробітникам виконувати свої робочі завдання. Дані можуть бути класифіковані: від загальнодоступних до цілком таємних з кількома рівнями доступу. Загальнодоступна інформація може переглядатися всіма користувачами і не має вимог безпеки. Загальнодоступна інформація не може бути використана з метою заподіяти збитки компанії або окремим особам. Цілком таємна інформація повинна бути найбільш захищеною, оскільки розкриття даних може завдати великої шкоди уряду, компанії або окремим особам.