Bảo mật máy tính - Chính sách
Trong chương này, chúng tôi sẽ giải thích các chính sách bảo mật là cơ sở bảo mật cho cơ sở hạ tầng công nghệ của công ty bạn.
Theo một cách nào đó, chúng là cơ quan quản lý các hành vi của nhân viên đối với việc sử dụng công nghệ tại nơi làm việc, có thể giảm thiểu nguy cơ bị tấn công, rò rỉ thông tin, sử dụng internet không tốt và nó cũng đảm bảo bảo vệ tài nguyên của công ty.
Trong cuộc sống thực, bạn sẽ nhận thấy rằng các nhân viên trong tổ chức của bạn sẽ luôn có xu hướng nhấp vào các tệp đính kèm URL xấu hoặc bị nhiễm vi-rút hoặc email có vi-rút.
Vai trò của Chính sách bảo mật trong việc thiết lập giao thức
Sau đây là một số gợi ý giúp thiết lập các giao thức u cho chính sách bảo mật của một tổ chức.
- Ai nên có quyền truy cập vào hệ thống?
- Nó nên được cấu hình như thế nào?
- Làm thế nào để giao tiếp với các bên thứ ba hoặc hệ thống?
Các chính sách được chia thành hai loại:
- Chính sách người dùng
- Chính sách CNTT.
Các chính sách người dùng thường xác định giới hạn của người dùng đối với tài nguyên máy tính tại nơi làm việc. Ví dụ, những gì họ được phép cài đặt trong máy tính của họ, nếu họ có thể sử dụng các bộ lưu trữ di động.
Trong khi đó, các chính sách CNTT được thiết kế cho bộ phận CNTT, nhằm đảm bảo các thủ tục và chức năng của các lĩnh vực CNTT.
General Policies- Đây là chính sách xác định quyền của nhân viên và cấp độ truy cập vào hệ thống. Nói chung, nó được bao gồm ngay cả trong giao thức truyền thông như một biện pháp phòng ngừa trong trường hợp có bất kỳ thảm họa nào.
Server Policies- Điều này xác định ai sẽ có quyền truy cập vào máy chủ cụ thể và với những quyền nào. Phần mềm nào nên được cài đặt, mức độ truy cập internet, cách chúng được cập nhật.
Firewall Access and Configuration Policies- Nó xác định ai nên có quyền truy cập vào tường lửa và loại truy cập nào, như giám sát, các quy tắc thay đổi. Những cổng và dịch vụ nào nên được phép và nếu nó nên được gửi đến hoặc gửi đi.
Backup Policies - Nó xác định ai là người chịu trách nhiệm sao lưu, nên sao lưu cái gì, sao lưu ở đâu, lưu giữ trong bao lâu và tần suất sao lưu.
VPN Policies- Các chính sách này thường đi cùng với chính sách tường lửa, nó xác định những người dùng nào nên có quyền truy cập VPN và có những quyền gì. Đối với các kết nối site-to-site với các đối tác, nó xác định cấp độ truy cập của đối tác vào mạng của bạn, loại mã hóa sẽ được đặt.
Cấu trúc của một chính sách bảo mật
Khi bạn biên dịch một chính sách bảo mật, bạn nên ghi nhớ một cấu trúc cơ bản để làm cho một cái gì đó thực tế. Một số điểm chính cần được xem xét là:
- Mô tả Chính sách và việc sử dụng để làm gì?
- Chính sách này nên được áp dụng ở đâu?
- Chức năng và trách nhiệm của nhân viên bị ảnh hưởng bởi chính sách này.
- Các thủ tục liên quan đến chính sách này.
- Hậu quả nếu chính sách không tương thích với tiêu chuẩn của công ty.
Các loại chính sách
Trong phần này, chúng ta sẽ thấy các loại chính sách quan trọng nhất.
Permissive Policy - Đây là một chính sách hạn chế trung bình trong đó chúng tôi với tư cách là quản trị viên chỉ chặn một số cổng phần mềm độc hại nổi tiếng liên quan đến truy cập internet và chỉ một số hành vi khai thác được xem xét.
Prudent Policy - Đây là chính sách hạn chế cao khi mọi thứ đều bị chặn liên quan đến việc truy cập internet, chỉ cho phép một danh sách nhỏ các trang web và giờ đây các dịch vụ bổ sung được phép cài đặt trong máy tính và duy trì nhật ký cho mọi người dùng.
Acceptance User Policy- Chính sách này quy định hành vi của người dùng đối với một hệ thống hoặc mạng hoặc thậm chí là một trang web, do đó, nó nói rõ ràng những gì người dùng có thể làm và không thể trong một hệ thống. Giống như họ có được phép chia sẻ mã truy cập không, họ có thể chia sẻ tài nguyên, v.v.
User Account Policy- Chính sách này xác định những gì người dùng phải làm để có hoặc duy trì một người dùng khác trong một hệ thống cụ thể. Ví dụ: truy cập một trang web thương mại điện tử. Để tạo chính sách này, bạn nên trả lời một số câu hỏi như -
Mật khẩu có nên phức tạp hay không?
Người dùng nên có độ tuổi nào?
Tối đa được phép thử hoặc không đăng nhập được?
Khi nào người dùng nên được xóa, kích hoạt, chặn?
Information Protection Policy - Chính sách này nhằm điều chỉnh quyền truy cập thông tin, nóng để xử lý thông tin, cách lưu trữ và cách thức chuyển tải thông tin.
Remote Access Policy- Chính sách này chủ yếu dành cho các công ty lớn nơi người dùng và chi nhánh của họ ở bên ngoài trụ sở chính. Nó cho biết người dùng nên truy cập những gì, khi nào họ có thể làm việc và trên phần mềm nào như SSH, VPN, RDP.
Firewall Management Policy - Chính sách này liên quan rõ ràng đến việc quản lý nó, cổng nào nên bị chặn, cập nhật gì, cách thực hiện thay đổi trong tường lửa, nhật ký sẽ được lưu giữ trong bao lâu.
Special Access Policy- Chính sách này nhằm giữ cho mọi người dưới quyền kiểm soát và giám sát các đặc quyền đặc biệt trong hệ thống của họ và mục đích tại sao họ có nó. Những nhân viên này có thể là trưởng nhóm, quản lý, quản lý cấp cao, quản trị viên hệ thống và những người dựa trên chỉ định cao như vậy.
Network Policy- Chính sách này nhằm hạn chế quyền truy cập của bất kỳ ai đối với tài nguyên mạng và làm rõ ai sẽ truy cập vào mạng. Nó cũng sẽ đảm bảo liệu người đó có được xác thực hay không. Chính sách này cũng bao gồm các khía cạnh khác như, ai sẽ ủy quyền cho các thiết bị mới sẽ được kết nối với mạng? Tài liệu về các thay đổi mạng. Bộ lọc web và các cấp độ truy cập. Ai nên có kết nối không dây và loại xác thực, tính hợp lệ của phiên kết nối?
Email Usage Policy- Đây là một trong những chính sách quan trọng nhất cần được thực hiện vì nhiều người dùng sử dụng email công việc cho mục đích cá nhân. Kết quả là thông tin có thể bị rò rỉ ra bên ngoài. Một số điểm chính của chính sách này là nhân viên phải biết tầm quan trọng của hệ thống này mà họ có đặc quyền sử dụng. Họ không nên mở bất kỳ tệp đính kèm nào trông đáng ngờ. Dữ liệu riêng tư và bí mật không được gửi qua bất kỳ email được mã hóa nào.
Software Security Policy- Chính sách này liên quan đến phần mềm được cài đặt trong máy tính của người dùng và những gì họ nên có. Một số điểm chính của chính sách này là Phần mềm của công ty không được cung cấp cho bên thứ ba. Chỉ cho phép danh sách trắng của phần mềm, không được cài đặt phần mềm khác trong máy tính. Warez và phần mềm vi phạm bản quyền không được phép.