Ақпараттық қауіпсіздік · зертханалық жұмыс №6

QazTech

Саясат — не талап етілетінін жазады. Әр талап тексеріледі, иесі бар және QazTech тәуекеліне байланған.

Кіріс · №1 және №5Scope және treatment
№6 фокусInformation Security Policy
Шығыс · №7Хабарлау және backup ережесі

Жалпы логика

Сегіз жұмыс — бір үздіксіз тізбек

1 → 2 → … → 8Қазіргі жұмыс — 06. Алдыңғы нәтиже осы жұмыстың кірісі.

Әр жұмысты басыңыз — қысқаша байланыс ашылады

№6 зертханалық жұмыс

Ақпараттық қауіпсіздік саясатын әзірлеу

Мақсат: ұйымға түсінікті, орындалатын және тексерілетін талаптары бар саясат жобасын әзірлеу. Саясат «не талап етіледі?», процедура «қалай орындалады?».

Нашар талап

  • «Қызметкерлер сенімді пароль қолдануы керек» — сенімді дегеніңіз не, кім тексереді, жауап жоқ.

Жақсырақ талап

  • Корпоративтік тіркелгі ұйым бекіткен аутентификация талабына сай болуы және MFA қолдануы тиіс.

Практикалық тапсырмалар

Не істеу керек?

Тапсырманы басыңыз

  • 52Саясат жобасы＋
    QazTech Information Security Policy. Төмендегі бөлімдер — құжаттың өзі.
  • 53Міндетті бөлімдер＋
    Мақсат, scope, термин, рөл, жіктеу, қолжетімділік, MFA, email, internet, құрылғы, қашық жұмыс, инцидент, backup, бұзушылық, review.
  • 54Әр бөлімде ≥2 талап＋
    Әр талапта не, кімге, қай мерзім не дәлел екені көрінеді.
  • 55Сценарий＋
    Ноутбукті үйге алып кету, қоғамдық Wi‑Fi, жеке бұлт, парольді жіберу — келесі слайд.
  • 56Бекіту және review＋
    CEO бекітеді, бәрі орындайды, CISO иесі. Жылына бір және Critical инциденттен кейін.

Құжат жобасы · әр бөлімде 2 талап

Information Security Policy

Бөлімді басыңыз

  • 1Мақсат＋
    1) Саясат QazTech ақпаратының құпиялылығын, тұтастығын және қолжетімділігін қорғайды. 2) Талап №4-те High және Critical болған тәуекелге байланған болуы тиіс.
  • 2Scope＋
    1) Бас офис, 2 филиал, барлық қызметкер және жүйеге кіретін мердігер. 2) Сайт, пошта, CRM, бухгалтерия, AD, файл сервері, VPN, бекітілген бұлт, компания ноутбугі кіреді. Жеке аккаунт кірмейді.
  • 3Терминдер＋
    1) Актив, қауіп, осалдық, тәуекел — №2–4 анықтамасымен. 2) Инцидент — қауіпсіздік талабы бұзылған немесе бұзылуы мүмкін оқиға.
  • 4Рөлдер＋
    1) CEO саясатты бекітеді. 2) CISO иесі, IT орнатады, әр қызметкер өз тіркелгісіне жауапты. Asset Owner дерек класын бекітеді.
  • 5Жіктеу＋
    1) Дерек Public, Internal, Confidential немесе Restricted деп белгіленеді. 2) Restricted (клиент базасы, ПДн, backup) тек need-to-know және журналмен беріледі.
  • 6Қолжетімділік＋
    1) Құқық рөлге беріледі, адамға мәңгілік емес. 2) Жұмыстан кеткен күні аккаунт өшіріледі — өтініш HR-дан IT-ға сол жұмыс күні.
  • 7Пароль / MFA＋
    1) Корпоративтік тіркелгі ұйым бекіткен аутентификация талабына сай және MFA-мен ашылады. 2) Парольді әріптеске, чатқа не поштаға жіберуге тыйым.
  • 8Email＋
    1) Күдікті сілтемеге тіркелгі енгізілмейді, хабарлама Help Desk-ке кетеді. 2) Сыртқы хаттағы төлем деректемесін екінші арнамен тексеру міндетті.
  • 9Internet＋
    1) Жұмыс деректері бекітілмеген сайтқа жүктелмейді. 2) Қоғамдық желіде тек корпоративтік VPN.
  • 10Мобильді құрылғы＋
    1) Компания ноутбугінде диск шифрланады және экран құлпы 5 минуттан кеш емес. 2) Жеке бұлтқа жұмыс файлы салынбайды.
  • 11Қашықтан жұмыс＋
    1) Үйге алып кетуге болады, егер құрылғы тіркелген және шифрланған болса. 2) Қоғамдық Wi‑Fi тек VPN арқылы.
  • 12Incident reporting＋
    1) Күдікті оқиға 30 минут ішінде Help Desk-ке хабарланады. 2) Қызметкер құрылғыны өзі форматтамайды.
  • 13Backup＋
    1) Critical жүйенің көшірмесі күн сайын, біреуі офлайн не өзгермейтін. 2) Restore test тоқсанына кемінде бір рет, нәтижесі жазылады.
  • 14Бұзушылық＋
    1) Талапты бұзу — түсіндіруден қолжетімділікті жабуға дейін, HR тәртібімен. 2) Қайталанған пароль беру — тіркелгіні тоқтату.
  • 15Review＋
    1) Саясат жылына бір рет және Critical инциденттен кейін 30 күнде қайта қаралады. 2) Ерекше рұқсатты CISO жазбаша береді, мерзімі 90 күннен аспайды.

Тапсырма 55

Үй, Wi‑Fi, бұлт, пароль

Қызметкер жұмыс ноутбугін үйге алып кетеді, қоғамдық Wi‑Fi қолданады, файлды жеке бұлтқа салады, әріптесіне пароль жібереді.

ӘрекетРұқсат?ТәуекелСаясат талабы
Ноутбукті үйге алып кетуШектеуліҰрлану, S02Тек тіркелген және шифрланған құрылғы
Public Wi‑FiШектеуліMITM / тыңшылықКорпоративтік VPN міндетті
Жеке бұлтқа файлЖоқData leakage, S01Тек бекітілген сақтау сервисі
Пароль беруЖоқAccount compromise, S04Есептік жазба деректерін бөлісуге тыйым

Тапсырма 56

Кім бекітеді, кім орындайды

Бекітеді ＋
CEO. Қол қойылмаған мәтін талап емес.
Иесі ＋
CISO: мазмұн, ерекше рұқсат, жылдық review. IT техникалық баптауды көрсетеді.
Орындайды ＋
Барлық қызметкер мен мердігер. Танысу жазбасы сақталады — №8-де бұл табылмаған олқылық болады.

Бақылау сұрақтары

Өзін-өзі тексеру

Сұрақты басыңыз — жауап ашылады

  • 57Policy мен procedure айырмашылығы＋
    Policy — не міндетті. Procedure — қалай істеледі, қадаммен. «MFA болуы тиіс» — саясат. «MFA-ны қай порталда қосасыз» — процедура.
  • 58Scope не үшін＋
    Кімге және қай жүйеге қолданылатынын, не кірмейтінін бекітеді. №1 ISMS шекарасы осында көшіріледі, қайта ойлап табылмайды.
  • 59Тексерілетін талап деген не＋
    Аудит дәлелмен иә не жоқ дей алады: MFA есебі, танысу парағы, restore test хаттамасы. «Сенімді болу керек» тексерілмейді.
  • 60Exception қалай басқарылады＋
    Жазбаша өтініш, CISO мақұлы, мерзім, орнын басатын шара. Мерзімсіз ерекшелік — талаптың жойылуы.
  • 61Таныстыру не үшін маңызды＋
    Қол қоймаған қызметкер ережені бұзғанын дәлелдеу қиын, ал фишинг пен пароль беру дәл содан өседі. Танысудың өзі оқытудың орнын баспайды.