Практика ИБ \ Наиболее распространенные ошибки при построении системы ИБ

Ниже представлены наиболее распространенные ошибки при построении системы информационной безопасности, которые следует избегать. Это переведенная, расширенная и слегка адаптированная "шпаргалка" (How to Suck at Information Security) с сайта Ленни Зельцера.

Политика безопасности и Соответствие

• Игнорировать требования регуляторов
• Надеяться, что пользователи будут читать политику безопасности, потому что Вы попросили их об этом
• Использовать шаблоны политик без предварительной их адаптации под конкретные условия
• Браться за полное внедрение комплексного стандарта безопасности (такого как ISO 27001/27002) до того, как Ваша компания реально будет к этому готова
• Создавать политики безопасности, которые Вы не сможете реализовать на практике
• Внедрять политики, которые не были надлежащим образом согласованы и приняты
• Вслепую следовать требованиям регуляторов без создания целостной архитектуры безопасности
• Разрабатывать политику безопасности просто "для галочки"
• Поручать внешнему подрядчику написание политики безопасности без понимания им бизнеса и процессов Вашей компании
• Переводить политику с иностранного языка (например, в международных компаниях) без учета особенностей значения отдельных слов, понятий, терминов в различных языках
• Создавать условия для того, чтобы сотрудники даже при желании не могли найти политики безопасности
• Надеяться, что если политика работала в прошлом году, она будет актуальна и в следующем году
• Надеяться, что обеспечив соответствие требованиям регуляторов, Вы тем самым обеспечите безопасность
• Полагать, что требования политики не относятся к руководству компании
• Скрывать политику от аудиторов

Инструменты безопасности

• Внедрять коробочные продукты безопасности без их тонкой настройки
• Настраивать IDS на слишком большое количество сообщений (излишне жесткие правила) или на слишком малое (излишне мягкие правила)
• Покупать продукты безопасности, не учитывая стоимость их внедрения и дальнейшей поддержки
• Полагаться на одни только антивирусы и межсетевые экраны без других защитных мер и средств
• Регулярно проводить сканирование уязвимостей, но не анализировать результаты
• Позволять антивирусным средствам, IDS и другим средствам безопасности работать на "автопилоте"
• Внедрять множество различных технологий безопасности, не понимая вклада каждой из них
• Ориентироваться на различные "прибамбасы" продуктов безопасности, забывая при этом про важность их системы отчетности
• Покупать дорогие и сложные продукты безопасности при том, что более простые и дешевые могут решить проблему на 80%
• Внедрять новые защитные меры и средства без предварительного анализа их влияния на ИТ-инфраструктуру и бизнес-процессы

Управление рисками

• Пытаться применить одни и те же строгие требования ко всем ИТ-активам, невзирая на профили их рисков
• Поручать кому-либо управление рисками, но не давать ему при этом никаких полномочий для принятия решений
• Игнорировать общую картину, фокусируясь на количественной оценке рисков
• Полагать, что Вам не следует волноваться за безопасность, поскольку Ваша компания маленькая и незначительная
• Полагать, что Вы в безопасности потому, что у Вас за последнее время не было проблем с безопасностью
• Параноидально относиться к защите активов, не взирая на уровень их ценности и угрозы этим активам
• Классифицировать все информационные активы по высшему уровню конфиденциальности
• Проводить оценку рисков силами одной только Службы ИБ, не привлекая владельцев данных и ИТ-специалистов

Практика безопасности

• Не анализировать системные журналы, журналы приложений и безопасности
• Ожидать, что пользователи откажутся от удобств ради повышения безопасности
• Жестко ограничивать инфраструктуру, делая выполнение работы значительно более сложным
• Отвечать "нет" на любые запросы
• Устанавливать требования безопасности без предоставления необходимых для их выполнения инструментов и проведения обучения
• Фокусироваться на превентивных механизмах, игнорируя детективные меры и средства
• Не использовать DMZ для серверов, доступных из сети Интернет
• Надеяться, что Ваш процесс управления патчами работает, не проверяя это
• Удалять журналы регистрации событий из-за того, что они очень большие и их сложно читать
• Ожидать, что использование SSL решит все проблемы безопасности Вашего веб-приложения
• Запрещать использование USB-флешек, не ограничивая доступ в Интернет
• Ставить себя выше Ваших коллег - администраторов сети и систем, а также команды разработчиков
• Не изучать новые технологии и новые виды атак
• Внедрять новинки ИТ и информационной безопасности до того, как они достигнут приемлемого уровня зрелости
• Принимать сотрудника на работу в Службу ИБ только потому, что он имеет много различных сертификатов
• Не уведомлять своего руководителя о проблемах безопасности, которые удалось избежать Вашими усилиями
• Не проводить взаимное (перекрестное) обучение персонала ИТ и информационной безопасности
• Привлекать внешних подрядчиков для выполнения работ, цели, объем и/или ожидаемые результаты которых Вам не полностью ясны
• Игнорировать потребности бизнеса
• Обеспечивать соблюдение безопасности персоналом только с помощью метода "кнута"
• Устанавливать запреты, не предоставляя эффективных разрешенных альтернатив
• Фокусироваться на "конфиденциальности", забывая при этом про "доступность" и "целостность" (в коммерческой компании)

Управление паролями

• Требовать, чтобы пользователи меняли пароли очень часто
• Ожидать, что пользователи будут помнить множество своих паролей, не записывая их
• Устанавливать очень жесткие требования по сложности паролей
• Использовать одни и те же пароли в различных системах, которые отличаются по уровню рисков или по уровню критичности данных
• Устанавливать требования к паролям не обеспечивая простого способа их сброса
• Устанавливать жесткие требования к паролям пользователей, забывая при этом про пароли администраторов и служебных учетных  записей