Политики Policies
Простыми словами
Средний слой из трёх. Разд. 6.1 выстраивает лестницу целиком: деловая политика (в примере — соответствие HIPAA), затем политики безопасности в доменах ISO/IEC 27001/2, затем технические стандарты. Строка реестра описывает именно средний уровень: политика авторизует курс действий, но не говорит, как его исполнить. Проверить себя просто: появились длина пароля или номер порта — это уже стандарт. При этом глубина политики — вопрос культуры организации, а не правильности: «One organization may have a few policies that authorize the creation of many standards, guidelines, and procedures, while another organization may embed standards, guidelines, and procedures within its policies». Шаблон O-ESA — десять доменов ISO/IEC 27002:2005, и первый из них замкнут на себя: «the first domain is security policy, which defines the requirement to develop and implement an information security policy».
Примеры
«The control domains - such as organizational security, asset classification and control, personnel security, and access control - represent the highest-level identification of policy», а конкретные политики внутри домена уже авторизуют курс действий.
O-ESA (The Open Group Guide G112), разд. 3.2 — обзор процесса руководства
Разд. 3.6.1 даёт анкету — анализ, внедрение, обеспечение исполнения, сопровождение, доведение. Самые неудобные в ней про исполнимость: «What are the ramifications of noncompliance?» и «Who is responsible for monitoring and reporting policy violations?».
O-ESA (The Open Group Guide G112), разд. 3.6.1 — разработка политики
Определение из первоисточника
дословная выпискаPolicies define the authorizations and a program of actions adopted by an organization to govern the use of technology in specific areas of management control. Policies are a security governance tool used to enforce an organization’s guiding principles. They are established and maintained through standards, guidelines, and procedures in accordance with related legal and business principles.
Политики определяют полномочия и программу действий, принятую организацией для управления использованием технологий в конкретных областях управленческого контроля. Политики — инструмент руководства безопасностью, применяемый для проведения в жизнь руководящих принципов организации. Они устанавливаются и поддерживаются через стандарты, руководящие указания и процедуры в соответствии со смежными правовыми и деловыми принципами.
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Разд. 2.2 и 3.1
«The security rules that apply in various control domains». Шаблон политик — десять доменов ISO/IEC 27002:2005 (разд. 3.6.2): Security Policy, Organizational Security, Asset Classification and Control, Personnel Security, Physical and Environmental Security, Communications and Operations Management, Access Control, Systems Development and Maintenance, Business Continuity Management, Compliance. Разд. 3.6.1 даёт пять групп вопросов для разработки политики: анализ, внедрение, обеспечение исполнения, сопровождение, доведение.
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийРеестр процессовКарта бизнес-способностей