Polityki Bezpieczeństwa Sieci

Polityka bezpieczeństwa sieci

Polityka bezpieczeństwa określa reguły ochrony informacji, systemów i usług. Reguły wyznaczają wymagane zachowanie użytkowników, administratorów i systemów oraz wskazują zakres odpowiedzialności. Dokument opisuje cele i ograniczenia programu bezpieczeństwa, pozostawiając szczegóły konfiguracji procedurom i standardom technicznym.

obejmuje zasady użytkowania, zarządzania i ochrony sieci. Przykłady naruszeń wynikających z braku takich zasad to ujawnienie danych, instalacja niezatwierdzonego oprogramowania i podłączenie urządzenia w konfiguracji omijającej wymagane kontrole. Z polityki wynikają standardy, procedury i kontrole techniczne.

Dokument powinien wskazywać właściciela, zakres obowiązywania, wersję, datę zatwierdzenia, wyjątki i sposób pomiaru realizacji wymagań. Właściciel aktualizuje politykę po zmianach usług, technologii, prawa lub profilu ryzyka, a zatwierdzone odstępstwa mają termin ważności i udokumentowane uzasadnienie.

Cele polityki bezpieczeństwa

Polityka porządkuje wymagania dotyczące poufności, integralności i dostępności informacji. Uzupełniają je zasady konfiguracji, odpowiedzialności, szkoleń i reagowania na incydenty.

Poufność (Confidentiality): ograniczenie ujawnienia. Polityka klasyfikuje informacje wrażliwe i określa, kto może je otrzymać, przetwarzać oraz udostępniać. Dostęp do danych otrzymują role lub osoby z uzasadnioną potrzebą.
Integralność (Integrity): ochrona przed zmianą. Polityka określa uprawnienia do modyfikacji i usuwania danych, kontrolę zmian oraz sposób wykrywania nieautoryzowanej ingerencji. Rejestr zmian pomaga ustalić, kiedy i przez jakie konto wykonano operację.
Dostępność (Availability): utrzymanie usług. Polityka określa wymagania dotyczące redundancji, kopii zapasowych, odtwarzania i ochrony przed atakami takimi jak rozproszona odmowa usługi (DDoS). Poziom dostępności wynika z potrzeb usługi i oceny ryzyka.
Ustanowienie standardu: Polityka wyznacza wspólny punkt odniesienia dla konfiguracji systemów, wdrażania sprzętu i szkoleń. Standard można przełożyć na wymagania dla urządzeń, kont, aplikacji i procesów.
Wykazanie należytej staranności i zgodności: Pisemne zasady pomagają udokumentować sposób ochrony danych i systemów. W zależności od zakresu działalności organizacja może podlegać wymaganiom RODO (GDPR), oczekiwaniom Komisji Nadzoru Finansowego (KNF) lub PCI DSS. Dokumentacja pozwala porównać wymagania z konfiguracją i praktyką operacyjną.

Elementy ram polityki bezpieczeństwa

Polityka bezpieczeństwa może być jednym dokumentem albo zbiorem powiązanych polityk, standardów i wytycznych. Każdy dokument opisuje określony obszar, na przykład dostęp, hasła, pracę zdalną, reagowanie na incydenty lub klasyfikację danych. Zakres zależy od ryzyka, wielkości organizacji i wymagań prawnych.

1. Polityka dopuszczalnego użytkowania (AUP)

AUP opisuje zasady korzystania z zasobów przez pracowników, kontrahentów i gości. Dokument wskazuje dozwolone zastosowania, zakazane działania oraz sposób zgłaszania naruszeń.

Typowa polityka AUP obejmuje:

Użytkowanie i własność: Określenie przeznaczenia systemów firmowych oraz zakresu monitorowania.
Prywatność: Poinformowanie użytkowników o zasadach monitorowania sprzętu i kont firmowych.
Działania zabronione: Zakaz działań nielegalnych, prób nieautoryzowanego dostępu, instalowania niezatwierdzonego oprogramowania, udostępniania haseł oraz korzystania z aplikacji peer-to-peer.
Ochrona informacji: Określenie obowiązków dotyczących danych wrażliwych i ich udostępniania.
Konsekwencje naruszenia: Opis działań dyscyplinarnych, od ostrzeżenia po rozwiązanie stosunku pracy, zgodnie z regulaminem i prawem.

2. Polityka kontroli dostępu

Polityka formalizuje . Określa podmioty, zasoby, operacje i warunki, które decydują o udzieleniu dostępu.

Polityka kontroli dostępu powinna:

Definiować role i odpowiedzialności: Grupować użytkowników według funkcji, na przykład Finanse, Kadry i Inżynieria.
Mapować role na zasoby: Wskazywać serwery, aplikacje i dane dostępne dla każdej roli. Rola Finanse może obejmować serwer księgowy, podczas gdy repozytorium kodu pozostaje przypisane do Inżynierii.
Określać poziomy dostępu: Rozróżniać odczyt, zapis i uprawnienia administracyjne.
Wymagać uwierzytelniania: Chronić zasoby uwierzytelnieniem, a dla operacji o podwyższonym ryzyku stosować uwierzytelnianie wieloskładnikowe (MFA).

Proces nadawania dostępu powinien obsługiwać zatrudnienie, zmianę roli i odejście pracownika. Konta usługowe wymagają właściciela, ograniczonego zakresu i okresowego przeglądu. Recertyfikacja uprawnień oraz rejestrowanie decyzji ułatwiają wykrycie dostępu, który przestał być potrzebny.

3. Polityka haseł

Polityka haseł określa długość, obsługę haseł przejętych oraz ograniczanie prób logowania. NIST SP 800-63B-4 określa minimalne długości, wymaga blokowania haseł powszechnych, oczekiwanych lub skompromitowanych i nie dopuszcza arbitralnych reguł składu znaków.

Długość i frazy: Jeżeli polityka wskazuje próg, na przykład $14$ znaków, trzeba porównać go z aktualnymi wymaganiami. NIST SP 800-63B-4 wymaga minimum 15 znaków dla hasła używanego jako jedyny czynnik i minimum 8 znaków przy MFA. System powinien dopuszczać maksymalną długość co najmniej 64 znaków.
Historia haseł: Polityka może blokować ponowne użycie ostatnich $24$ haseł. Kontrola powinna obejmować również listę haseł powszechnych i przejętych.
Zmiana hasła: Zmiana co 90 dni może wynikać z lokalnych wymagań, lecz NIST SP 800-63B-4 nie dopuszcza wymuszania okresowej zmiany i wymaga zmiany po wykryciu kompromitacji. Sama regularność nie zastępuje wykrywania wycieków.
Ograniczanie prób: Polityka może stosować limit, opóźnienie lub blokadę po 5 nieudanych próbach. Mechanizm powinien ograniczać zgadywanie i utrudniać blokowanie kont przez osoby trzecie.

4. Polityka zdalnego dostępu

Polityka opisuje dostęp do zasobów organizacji spoza sieci zarządzanej. Zakres kontroli powinien odpowiadać tożsamości użytkownika, stanowi urządzenia, metodzie połączenia i zasobowi.

Zatwierdzone metody: Określenie, czy dostęp odbywa się przez korporacyjną Wirtualną Sieć Prywatną (VPN), portal aplikacyjny lub inne kontrolowane połączenie.
Uwierzytelnianie: Wymaganie uwierzytelniania wieloskładnikowego dla połączeń i operacji o podwyższonym ryzyku.
Zgodność punktów końcowych: Wymaganie zarządzanego lub zgodnego urządzenia z aktualnymi łatami, ochroną punktu końcowego i konfiguracją określoną przez organizację.

5. Polityka reagowania na incydenty

Polityka określa sposób przygotowania, wykrywania, analizy, powstrzymywania, usuwania skutków, odtwarzania i wyciągania wniosków po incydencie. Plan reagowania przypisuje uprawnienia i odpowiedzialność zespołowi reagowania na incydenty (IRT), obejmuje kontakty oraz wymagania dotyczące zgłoszeń. NIST SP 800-61 Rev. 3 łączy reagowanie z całym zarządzaniem ryzykiem i sześcioma funkcjami CSF 2.0.

6. Polityka klasyfikacji i obchodzenia się z danymi

Polityka klasyfikuje dane według skutków naruszenia poufności, integralności i dostępności. Poziom klasyfikacji powinien wynikać z oceny ryzyka, kontekstu oraz wymagań prawnych i operacyjnych. Przykładowy schemat obejmuje:

Publiczne: Informacje przeznaczone do publikacji, na przykład materiały marketingowe na stronie internetowej.
Wewnętrzne: Dane do użytku organizacji, dla których ujawnienie ma ograniczony skutek, na przykład notatki wewnętrzne.
Poufne: Dane biznesowe lub pracownicze, dla których ujawnienie ma istotny skutek. Wymagają kontroli dostępu i szyfrowania, na przykład plany biznesowe i dane pracowników.
Zastrzeżone: Tajemnice handlowe, dane finansowe i dane osobowe, takie jak numer PESEL, których ujawnienie może mieć poważny skutek. Wymagają najwyższego poziomu kontroli określonego w ocenie ryzyka.

Procedury obchodzenia się z klasą danych określają oznaczanie, przechowywanie, przesyłanie, udostępnianie i usuwanie informacji. Dla danych chronionych można wymagać szyfrowania, kontroli kluczy, ograniczenia kopii oraz potwierdzenia bezpiecznego zniszczenia po upływie retencji.

Cykl życia polityki

Polityka wymaga właściciela, zatwierdzenia, wdrożenia, monitorowania i przeglądu. Cykl życia łączy dokument z kontrolami technicznymi i praktyką użytkowników.

Właściciel ustala wskaźniki, takie jak terminowość przeglądów uprawnień, udział urządzeń zgodnych ze standardem oraz czas obsługi odstępstw. Wyniki trafiają do przeglądu kierownictwa wraz z ryzykami, planem działań i terminem kolejnej oceny.

Rozwój i zatwierdzenie: Zespoły bezpieczeństwa, IT i przedstawiciele biznesu określają potrzebę, zakres i ryzyka. Projekt zawiera właściciela, odbiorców, wymagania oraz sposób pomiaru. Kierownictwo zatwierdza dokument i nadaje mu obowiązującą wersję.
Wdrożenie i egzekwowanie: Zasady przekłada się na kontrole techniczne i procedury. Reguły haseł można skonfigurować w Microsoft Active Directory, a zasady dostępu w zaporach i listach ACL routerów. Właściciel kontroluje odstępstwa i dokumentuje ich zatwierdzenie.
Komunikacja, szkolenia i świadomość: Użytkownicy otrzymują zasady AUP, kanał zgłaszania oraz przykłady właściwego postępowania. Szkolenia wyjaśniają wymagania i zagrożenia, których dotyczą, a ich ukończenie może być rejestrowane.
Monitorowanie i audyt: Logi, skany konfiguracji i przeglądy uprawnień dostarczają dowodów zgodności. Audyty wewnętrzne i zewnętrzne porównują kontrole techniczne oraz praktyki użytkowników z wymaganiami dokumentu.
Przegląd i aktualizacja: Przegląd uwzględnia zmiany technologii, procesów i zagrożeń. Dokument sprzed dwóch lat może wymagać korekty, dlatego organizacja ustala zależną od ryzyka częstotliwość przeglądów, na przykład raz w roku, oraz przegląd po istotnym incydencie lub zmianie systemu.

Powiązanie polityk z ramami zgodności

Polityka przekłada wymagania prawne, branżowe i organizacyjne na zasady oraz dowody ich realizacji. Ramy zgodności porządkują kontrole, lecz ich zakres i status zależą od działalności organizacji.

Przykłady obejmują:

ISO/IEC 27001: Standard systemu zarządzania bezpieczeństwem informacji. Określa wymagania dla SZBI, w tym zarządzanie ryzykiem, cele, odpowiedzialność i doskonalenie. Pozostawia organizacji wybór narzędzi oraz sposobu realizacji kontroli.
PCI DSS: Standard dotyczący podmiotów przechowujących, przetwarzających lub przesyłających dane posiadaczy kart. Zakres kontroli obejmuje między innymi dostęp, uwierzytelnianie, rejestrowanie zdarzeń i segmentację. Organizacja dokumentuje sposób spełnienia wymagań w politykach i procedurach.
RODO (GDPR): Rozporządzenie Unii Europejskiej dotyczące ochrony danych osobowych. Organizacja dobiera środki techniczne i organizacyjne do ryzyka oraz dokumentuje zasady przetwarzania, dostępu, zgłaszania naruszeń i ochrony danych.

Podczas audytu analizuje się polityki, konfiguracje techniczne i procedury operacyjne. Audytor porównuje wymagania z dowodami działania kontroli, takimi jak ustawienia, logi, przeglądy i zapisy szkoleń. Brak dokumentu lub dowodu realizacji może skutkować niezgodnością.

Polityka powinna rozróżniać wymagania obowiązkowe, zalecenia i decyzje zależne od oceny ryzyka. Rozróżnienie ułatwia planowanie kontroli oraz ocenę odstępstw podczas przeglądu. Właściciel polityki odpowiada za komunikację zmian i dostępność aktualnej wersji dla osób objętych zasadami.