Собрать расширенную команду заинтересованных лиц. - Необходимо определить всех тех, кто заинтересован в предотвращении утечек информации. В больших организациях, кроме специалистов по информационной безопасности, это могут быть сотрудники из IT, службы безопасности, кадров, юридического и финансового отделов и т.п.
Разработать процесс уведомления о нарушении. - Знаете ли вы, как поступать в случае возникновения нарушения правил работы с информацией? Кого необходимо информировать? Готовы ваши юридический и кадровый отдел решать проблемы, которые возникают в этом случае? Соберите сотрудников этих подразделений и вместе с ними напишите бизнес-процесс для такой ситуации. Обязательно продумайте, что будете делать, если ваши данные будут утеряны и будут нарушены законы или отраслевые регламенты.
Зафиксировать неработающие бизнес-процессы (например, автоматизированная передача данных). - Допустим, вы обнаружили нарушение бизнес-процессов, например, когда файлы передаются партнерам в виде обычных текстов через Интернет, а не в зашифрованном виде через защищенную линию. Вам потребуется много времени, чтобы это исправить. Очень часто работникам службы информационной безопасности нужен кто-то "корпоративно сильный", чтобы заставить другие подразделения IT предпринять меры для решения этой проблемы. Займитесь этим в первую очередь.
Разработать план действий в случае обнаружения инсайдерского хищения.- Обсудите с HR меры, которые необходимо принять в случае обнаружения инсайдера. Дайте возможность кадровикам самим подумать и включите их в команду. Инсайдер может быть и из числа топ-менеджеров, поэтому учтите эту возможность.
Сформировать команду по работе с инцидентами и определить ее рабочие процессы. - Разработайте план в виде графика бизнес-процесса. Кто должен входить в такую команду? В больших организациях это могут быть: руководитель высокого уровня, IT, сотрудники службы безопасности, юридического и кадрового подразделений. Определитесь с конкретными людьми.
Определить SLA для процесса разрешения инцидента. - Определите цели, чтобы быть уверенным в решении проблемы в нужные сроки. Мы советуем определить SLA для:
Ознакомление руководства со всеми инцидентами за ХХ времени.
Разрешение важных инцидентов за YY времени.
Закрытие всех инцидентов за ZZ времени.
Определить правила отчетности и автоматизировать этот процесс. - Как вы собираетесь отслеживать процесс работы с инцидентами? Определитесь, какие отчеты вам нужны и кто конкретно будет их делать. Определите периодичность создания отчетов, чтобы вы были в курсе того, что происходит и что ваша команда работает в соответствии с определенными ранее SLA. Отчеты должны включать:
Новые инциденты
Закрытые инциденты
Статус открытых инцидентов - сроки, важность, владелец
Отчет по инцидентам, отсортированных по типу данных или корпоративных политик, которые были нарушены
Обобщенная информация для руководства
Планировать этапы свертывания действий. - Важно планировать свертывание процессов, вместо того, чтобы стараться "вскипятить океан".
Определить данные и политики, которые будут поэтапно контролироваться: сначала клиентские данные, затем контрактная информация и т.п.
Проверьте политики контроля в режиме мониторинга, чтобы определить "линию отсчета". Но вы должны быть готовы к тому, что увидите массу нарушений. После этого продумайте, как вам аккуратно с этим справиться.
Определитесь, когда вам надо принять решение о предупреждении пользователя и что вы ожидаете от этого. Используйте это для обучения пользователей правилам соблюдения корпоративных политик в сфере работы с информацией. Вы заметите, как количество инцидентов начнет уменьшаться по мере того, как пользователи будут предупреждаться по каждому случаю нарушения.
