Процедура (Procedure)

Опубликовано Автор admin

Процедура в информационной безопасности — это детализированный документ, который устанавливает последовательность действий, необходимых для выполнения определенной задачи или реализации конкретного процесса в соответствии с утвержденной политикой. Простыми словами, если политика говорит «ЧТО» нужно делать (например, «необходимо регулярно создавать резервные копии»), то процедура описывает «КАК» это делать (кто, с какой периодичностью, с помощью какого ПО, куда сохранять копии и как их проверять). Процедуры являются связующим звеном между стратегическими целями политик и практическими действиями сотрудников.

Оглавление:

1. Что такое процедура в ИБ простыми словами? От теории к практике

Представьте, что в правилах дорожного движения (это аналог политики) написано: «Водитель обязан уступить дорогу пешеходу на нерегулируемом переходе». Это общее правило. Но как именно его выполнять? Процедура для водителя будет выглядеть так: «1. Приближаясь к переходу, снизить скорость. 2. Оценить обстановку, посмотреть налево и направо. 3. При наличии пешеходов, намеревающихся перейти дорогу, полностью остановиться перед ‘зеброй’. 4. Возобновить движение только после того, как пешеходы покинут проезжую часть».

Процедура в ИБ работает точно так же. Она берет общее требование из политики безопасности и раскладывает его на конкретные, последовательные шаги с указанием ответственных лиц и необходимых ресурсов. Это документ, который превращает декларацию о намерениях в работающий бизнес-процесс. Без четких процедур политики рискуют остаться лишь благими пожеланиями на бумаге.

2. Место процедуры в иерархии документов: Политика → Процедура → Инструкция

Важно понимать место процедуры в общей системе корпоративной документации по ИБ:

  • Политика (Верхний уровень): Отвечает на вопрос «ЧТО?» и «ПОЧЕМУ?». Устанавливает цели и общие правила. Пример: «Компания должна своевременно устанавливать обновления безопасности на все серверы».
  • Процедура (Средний уровень): Отвечает на вопрос «КАК?». Описывает последовательность действий для реализации процесса. Пример: «Процедура управления обновлениями (Patch Management)».
  • Инструкция/Рабочий стандарт (Нижний уровень): Отвечает на вопрос «КАК ИМЕННО?». Содержит пошаговые технические указания. Пример: «Инструкция по установке обновлений на серверы Windows через WSUS».

Таким образом, процедура является более формальной и высокоуровневой, чем инструкция. Она описывает процесс в целом, в то время как инструкция может быть руководством по нажатию конкретных кнопок в конкретной программе.

3. Основные цели и преимущества документированных процедур

  • Стандартизация: Процедуры гарантируют, что одна и та же задача всегда будет выполняться одинаково, независимо от того, кто ее выполняет — опытный сотрудник или новичок.
  • Снижение ошибок: Четкая последовательность действий уменьшает вероятность человеческой ошибки.
  • Обучение персонала: Процедуры — это отличный материал для обучения новых сотрудников.
  • Основа для аудита: Во время проверки аудитор будет сравнивать то, как выполняются процессы в реальности, с тем, что написано в процедурах.
  • Непрерывность деятельности: Если ключевой сотрудник уволится или заболеет, его коллега сможет выполнить его работу, следуя документированной процедуре.
  • Четкое распределение ответственности: В процедуре всегда указывается, кто за какой шаг отвечает.

4. Как выглядит хорошая процедура? Ключевые элементы и структура

Качественно написанная процедура обычно содержит следующие разделы:

  1. Название: Четкое и понятное, отражающее суть процесса.
  2. Цель и область применения: Зачем нужна эта процедура и на какие системы/сотрудников она распространяется.
  3. Роли и ответственность: Перечень должностей или ролей, участвующих в процедуре, и их обязанности.
  4. Термины и определения: Расшифровка специфических терминов.
  5. Описание последовательности действий: Самая главная часть. Пошаговое описание процесса. Часто для наглядности используется блок-схема.
  6. Критерии выполнения и контроля: Как понять, что процедура выполнена успешно? Как осуществляется контроль?
  7. Ссылки на другие документы: Ссылки на связанные политики, инструкции, формы и шаблоны.
  8. Информация о документе: Версия, дата утверждения, ответственный за пересмотр.

5. Наглядные примеры процедур в информационной безопасности

Рассмотрим два классических примера.

5.1. Пример: Процедура реагирования на инциденты ИБ

Эта процедура описывает, что делать, если произошло нарушение безопасности.

  • Шаг 1. Идентификация: Как сотрудники должны сообщать о подозрениях (например, звонок на горячую линию ИБ).
  • Шаг 2. Анализ и классификация: Ответственный сотрудник ИБ анализирует сообщение, подтверждает факт инцидента и присваивает ему уровень критичности.
  • Шаг 3. Сдерживание: Шаги по локализации инцидента, чтобы он не распространялся (например, отключение зараженного компьютера от сети).
  • Шаг 4. Ликвидация: Устранение первопричины инцидента (например, удаление вируса, установка патча).
  • Шаг 5. Восстановление: Возвращение затронутых систем в нормальное рабочее состояние.
  • Шаг 6. Анализ и извлечение уроков: Разбор инцидента, подготовка отчета и внесение изменений в систему защиты, чтобы предотвратить повторение.

5.2. Пример: Процедура управления правами доступа

Описывает жизненный цикл прав доступа сотрудника.

  • Шаг 1. Запрос доступа: Руководитель нового сотрудника заполняет заявку на предоставление доступа по стандартной форме.
  • Шаг 2. Согласование: Заявка согласовывается с владельцем запрашиваемого ресурса и службой ИБ.
  • Шаг 3. Предоставление доступа: Системный администратор на основании согласованной заявки создает учетную запись и предоставляет необходимые права.
  • Шаг 4. Периодический пересмотр: Раз в полгода руководитель подразделения проводит проверку и подтверждает актуальность прав доступа своих подчиненных.
  • Шаг 5. Отзыв доступа: При увольнении сотрудника отдел кадров информирует IT-службу, которая незамедлительно блокирует все учетные записи.

6. Этапы разработки и внедрения процедур

  1. Определение потребности: Выявить процессы, которые нуждаются в формализации (обычно это следует из политик и анализа рисков).
  2. Сбор информации: Провести интервью с непосредственными исполнителями процесса, чтобы понять, как он работает на самом деле.
  3. Разработка проекта процедуры: Описать процесс «как он должен быть», используя стандартную структуру.
  4. Согласование: Обсудить и согласовать проект со всеми участниками процесса.
  5. Утверждение и публикация: Утвердить процедуру у ответственного руководителя и опубликовать на внутреннем портале компании.
  6. Обучение и внедрение: Провести обучение сотрудников и убедиться, что они начали работать по новой процедуре.

7. Заключение: Процедуры как гарантия стабильности и предсказуемости

Процедуры — это скелет операционной деятельности в области ИБ. Они вносят ясность, порядок и предсказуемость в повседневную работу. Если политики задают направление движения, то процедуры прокладывают саму дорогу, обеспечивая плавное, безопасное и эффективное достижение поставленных целей. В зрелой системе безопасности большинство рутинных задач выполняются не по наитию, а в строгом соответствии с заранее продуманными и документированными процедурами, что является залогом ее стабильности и устойчивости к ошибкам и угрозам.