Page 170 - 6434

документованих управлінських ріщень по забезпеченню ІБ організації. У
вузькому змісті під ПБ звичайно розуміють локальний нормативний документ,
що визначає вимоги безпеки, систему заходів, або порядок дій, а також
відповідальність співробітників організації і механізми контролю для певної
області забезпечення ІБ.
При розробці ПБ, яка "не звалиться під своєю власною вагою", слід
ураховувати фактори, що впливають на успішність застосування заходів
забезпечення безпеки. Безпека перешкоджає прогресу.
Заходу безпеки накладають обмеження на дії користувачів і
адміністраторів ІС і в загальному випадку приводять до зниження
продуктивності праці. Безпека є витратною статтею для організації, як і будь-
яка інша форма страхування ризиків.
Людська природа завжди породжує бажання одержання більшої кількості
інформації, спрощення доступу до неї і зменшення часу реакції системи. Будь-
які заходи безпеки деякою мірою перешкоджають здійсненню цих природніх
бажань.
Уявіть собі ситуацію очікування перемикання сигналу світлофора.
Очевидно, що світлофор призначений для забезпечення безпеки дорожнього
руху, однак якщо рух по пересічній дорозі отсутствует, то це очікування
виглядає стомлюючою витратою часу. Людське терпіння має межа і якщо
світлофор довго не перемикається, то в багатьох виникає бажання проїхати на
червоний. Зрештою , світлофор може бути несправний, або подальше
очікування є неприйнятним.
Аналогічно, кожний користувач ІС має обмежений запас терпіння,
відносно проходження правилам політики безпеки, досягшись якого він
перестає ці правила виконувати, розв'язавши, що це явно не в його інтересах
(не в інтересах справи).
Політики, що не враховують впливи, яке вони виявляють на
продуктивність праці користувачів і на бізнес- процеси, у найкращому разі
можуть привести до неправильного почуття захищеності. У найгіршому разі
такі політики створюють додаткові проломи в системі захисту, коли "хтось
починає рухатися на червоне світло".
Слід ураховувати й мінімізувати вплив ПБ на виробничий процес,
дотримуючи принципу розумної достатності.
Навички безпечної поведінки здобуваються в процесі навчання.
У відмінність, скажемо, від інстинкту самозбереження, забезпечення ІБ
не є інстинктивною поведінкою. Це функції більш високого рівня, що
вимагають навчання і періодичної підтримки. Процедури забезпечення
безпеки звичайно не є інтуїтивними. Без відповідного навчання користувачі ІС
можуть і не усвідомлювати цінність інформаційних ресурсів, ризики і розміри
можливого збитку. Користувач, що не має вистави про критичність
інформаційних ресурсів (або причинах, по яким їх слід захищати), швидше за
все, буде вважати відповідну політику нерозумної. Навіть деякі навички