О чем не надо писать

При разработке концепции и других документов по безопасности важно оставаться в области применения данного документа. В противном случае придется в разных документах описывать подходы к одному и тому же процессу, а это может привести к возникновению противоречий или требованию избыточных ресурсов при выполнении процесса.

Например, в политике по конкретному направлению не стоит подробно описывать случаи нарушения этой политики, если, конечно, разрешение ситуации не требует специального подхода. В таком случае целесообразно сослаться на отдельную политику, например, по управлению инцидентами или нарушениями информационной безопасности. Такой вариант позволит единообразно реагировать на нарушения безопасности.

Другим негативным примером может быть описание общих принципов предоставления доступа или выбора пароля в каждой отдельной политике для конкретной информационной системы или сервиса. Целесообразнее в таких случаях отсылать к общей политике предоставления доступа или парольной политике.

Не стоит запрещать то, что все равно будет нарушаться, при условии, конечно, что эти нарушения не обернутся критическими последствиями для предприятия. Иначе массовость нарушений не позволит регулярно реагировать на них. А отсутствие реагирования на инциденты приведет нарушителей к мысли, что игнорировать требования безопасности допустимо. Например, не стоит запрещать неслужебную переписку по электронной почте или Web-серфинг Internet. Целесообразнее отметить, что такое использование не должно негативно влиять на выполнение сотрудником своих обязанностей либо указать конкретные разрешенные рамки — допустимое время, объем и т.д.

Документы не должны налагать обязанности, которые практически невыполнимы. Это также будет провоцировать сотрудников на нарушение политик. Например, до сих пор в документах по безопасности встречаются требования ежедневного полного сканирования жесткого диска рабочей станции на наличие вирусов. Или требование оформлять каждый, даже самый мелкий инцидент как письменный рапорт. Понятно, что буквальное выполнение таких требований может просто парализовать бизнес-процесс.

Документы не должны описывать то, для выполнения чего нет условий. В данном случае де-факто придется нарушать требование безопасности, что также приводит сотрудников к сомнению в незыблемости политик. Например, в документах может присутствовать требование к изъятию или проверке всех внешних носителей, поступающих в здание, где расположено предприятие. Однако многообразие современных средств хранения информации не позволяет их обнаружить без серьезной дорогостоящей аппаратуры. Даже случайно забыв предъявить внешний носитель и обнаружив, что он не был идентифицирован и изъят либо проверен, сотрудник или посетитель может составить мнение, что и другие требования политик можно обойти. При необходимости строгого контроля за внешними носителями целесообразнее использовать технические средства предотвращения несанкционированного копирования информации.