Polityki bezpieczeństwa

Czym jest polityka bezpieczeństwa w firmie?

Polityka bezpieczeństwa to opracowanie zawierające zbiór zasad mających na celu ochronę systemu
informacyjnego firmy (systemy informatyczne, komunikacyjne, kontroli dostępu i inne biorące udział
w procesach biznesowych). Głównym celem wdrażania polityki bezpieczeństwa jest:

• Ochrona przed utratą danych lub utratą ich integralności i poufności
• Zapewnienie ciągłości procesów biznesowych
• Uniknięcie wymiernych strat finansowych

Korzyści z posiadania polityki bezpieczeństwa

• Opracowanie i wdrożenie przepisów i procedur dostosowanych do środowiska konkretnej firmy
• Wypracowanie nawyków dbania o poufność informacji i ograniczonego zaufania
• Stosowanie powyższych nawyków nie tylko w stosunku do osób nieznajomych, ale również osób, których tożsamości nie jesteśmy w stanie potwierdzić
• Budowanie wśród pracowników świadomości, że ich działania podlegają ścisłym procedurom, od których odstępstwo może powodować konkretne zagrożenia
• Przeniesienie powyższych zasad w sferę życia prywatnego pozwoli zwiększyć również jego bezpieczeństwo

Co zawiera polityka bezpieczeństwa?

• Klasyfikację poszczególnych składników systemu informatycznego pod względem ich niezbędności w prowadzeniu procesów biznesowych
• Definicję poziomów bezpieczeństwa dla poszczególnych klas niezbędności
• Definicję podlegających ochronie właściwości
• Definicję procedur i zaleceń dla pracowników poszczególnych działów
• Wzory stosowanych dokumentów
• Regulaminy pracy w systemie informatycznym

Przykładowa klasyfikacja niezbędności:

• Niezbędne – elementy, bez których niemożliwe jest funkcjonowanie firmy
• Ważne – elementy, których zadania mogą być wykonane innymi środkami ale przy dodatkowym nakładzie sił i kosztów
• Zasadnicze – elementy, których zadania ze względu na ilość informacji muszą być podzielone
• Wspomagające – elementy, których zadania przy małym nakładzie dodatkowych sił i środków mogą być wykonywane przy użyciu innych narzędzi

Przykładowe poziomy bezpieczeństwa definiowane przez politykę:

• Poziom krytyczny – obejmuje ochroną dane i sprzęt, których uszkodzenie może spowodować załamanie w funkcjonowaniu firmy
• Poziom wysoki – obejmuje ochroną dane i sprzęt, których uszkodzenie może spowodować znaczne trudności w normalnym funkcjonowaniu firmy
• Poziom przeciętny – obejmuje ochroną dane i sprzęt, których utrata wpłynie nieznacznie na funkcjonowanie firmy
• Poziom niski – obejmuje ochroną dane i sprzęt, których utrata może wyrządzić jedynie niewielkie szkody, bez wpływu na funkcjonowanie firmy

Zalecenia i procedury postępowania zawarte w polityce bezpieczeństwa

• Dotyczące administrowania systemami teleinformatycznymi
• Dotyczące użytkowania systemów teleinformatycznych (np. instalowania oprogramowania, definiowania haseł, odczytywania nośników zewnętrznych i niszczenia nośników danych)
• Dotyczące procesów rekrutacji i zwalniania pracowników oraz przechowywania ich danych (dział
  kadr)

Wzory dokumentów zawarte w polityce bezpieczeństwa

• Oświadczenie o zachowaniu poufności dla pracowników korzystających ze zdalnego
  dostępu do zasobów firmy (vpn)
• Oświadczenie o zachowaniu poufności dla osób spoza firmy korzystających z tymczasowego
  dostępu zdalnego lub lokalnego w celu wykonania zleconych prac
• Oświadczenie o zachowaniu tajemnicy firmowej
• regulamin pracy w systemie informatycznym

Tajemnica firmowa

• Jednym z zadań polityki bezpieczeństwa powinna być ochrona tajemnicy firmowej
• Tajemnicę przedsiębiorstwa stanowią nieujawnione do wiadomości publicznej informacje techniczne, technologiczne lub organizacyjne oraz informacje mające wartość gospodarczą, co do których
  pracodawca podjął niezbędne działania w celu zachowania ich poufności. Chodzi tu zatem o informacje nieznane ogółowi lub osobom, które ze względu na swój zawód lub prowadzoną działalność są zainteresowane jej posiadaniem.
• Podstawa prawna: Kodeks Pracy (DZ.U. z 1998 r. nr 21, poz. 94 z późn. zm.), Ustawa o zwalczaniu nieuczciwej konkurencji (DZ.U. Z 2003 r. nr 153, poz. 1503 z późn. zm.)