Разработка политики безопасности

В RFC 1244 утверждается, что политика безопасности (securitypolicy) представляет собой набор правил, которых должны придерживаться все лица, имеющие доступ к технологическим и информационным ресурсам организации. Политика безопасно­сти информирует пользователей, менеджеров и технический персонал об их обяза­тельствах по защите технологических и информационных ресурсов организации. Политика безопасности должна указывать механизмы, посредством которых эти обязательства должны выполняться. Как и в случае с планом безопасности, с поли­тикой безопасности должны быть ознакомлены все сотрудники, менеджеры, долж­ностные лица и технический персонал.

Разработка политики безопасности входит в обязанности администраторов по вопро­сам безопасности и сетевых администраторов. Администраторы получают требуемые данные от менеджеров, пользователей, сетевых проектировщиков инженеров, а также, возможно, от юристов компании. Сетевой проектировщик должен работать в тесном контакте с администраторами по вопросам безопасности для того, чтобы иметь ясное представление о том, как политика безопасности может повлиять на процесс проектиро­вания сети.

После того, как политика безопасности разработана с участием пользователей, персонала и менеджеров, менеджеры верхнего уровня должны объяснить ее всем со­трудникам организации (на многих предприятиях от всех сотрудников требуется подписать соответствующий документ, в котором указывается что сотрудник прочи­тал, понял и согласился с политикой безопасности компании).