1.3. Xavfsizlik siyosati
Axborot xavfsizligi siyosati (yoki xavfsizlik siyosati) -
tashkilotning maqsadlari va vazifalari hamda xavfsizlikni ta’minlash
sohasidagi tadbirlar tavsiflanadigan yuqori darajadagi reja. Siyosat
xavfsizlikni umumlashgan atamalarda, spetsifik detallarsiz tavsif-
laydi. U xavfsizlikni ta’minlashning barcha dasturlarini rejalash-
tiradi. Axborot xavfsizligi siyosati tashkilot
masalalarini yechish
himoyasini yoki ish jarayoni himoyasini ta’minlashi shart.
Apparat vositalar va dasturiy ta’minot ish jarayonini
ta’minlovchi vositalar hisoblanadi va ular xavfsizlik siyosati
tomonidan qamrab olinishi shart. Shu sababli asosiy vazifa sifatida
tizimni (jumladan tarmoq xaritasini) to‘liq inventarizatsiyalashni
ko‘zda tutish lozim. Tarmoq xaritasini tuzishda har bir tizimdagi
axborot oqimini aniqlash lozim. Axborot oqimlari sxemasi axborot
oqimlari biznes-jarayonlami qanchalik ta’minlayotganini ko‘rsatishi
mumkin hamda axborotni himoyalash va yashovchanligini ta’minlash
uchun qo‘shimcha choralami ko‘rish muhim bo‘lgan
sohani
ko‘rsatishi mumkin. Undan tashqari bu sxema yordamida axborot
ishlanadigan joyni, ushbu axborot qanday saqlanishi, qaydlanishi,
joyini o‘zgartirishi va nazoratlanishi lozimligini aniqlash mumkin.
Inventarizatsiya apparat va dasturiy vositalardan tashqari
dasturiy hujjat, apparatura hujjatlari, texnologik hujjat va h. kabi
kompyuterga taalluqli bo‘lmagan resurslami ham qamrab olishi
shart. Ushbu hujjatlar tarkibida tijoratni
tashkil etish xususiyatlari
to‘g‘risidagi axborot bo‘lishi mumkin va bu hujjatlar buzg‘unchilar
foydalanishi mumkin bo‘lgan joylami ko‘rsatadi.
Axborot xavfsizligi siyosatini aniqlashda quyidagilar amalga
oshirilishi lozim:
1.
Axborot xavfsizligi sohasida amal qilinadigan hujjatlar va
standartlami hamda axborot xavfsizligi siyosatining asosiy nizom-
larini aniqlash, ya’ni:
- kompyuter texnikasi vositalaridan, dasturlardan va ma’lumot-
lardan foydalanishni boshqarish;
- virusga qarshi himoya;
- rezervli nusxalash masalalari;
- ta’mirlash va tiklash ishlarini o‘tkazish;
14
- axborot xavfsizligi sohasidagi mojarolar xususida xabardor
qilish.
2. Xavf-xatarlami boshqarishga yondashishlami aniqlash, ya’ni
himoyalanganlikning bazaviy sathi yetarli
ekanligini yoki xavf-
xatarlami tahlillashning to‘liq variantini o‘tkazish talab etilishini
aniqlash.
3. Axborot xavfsizligi rejimiga qo‘yiladigan talablami
aniqlash.
4. Sathlar bo‘yicha qarshi choralami strukturizatsiyalash.
5. Axborot xavfsizligi sohasida sertifikatsiyalash tartibining
standartlarga mosligini aniqlash.
6. Rahbariyatda axborot xavfsizligi mavzui bo‘yicha kengash-
lar o‘tkazish davriyligini, xususan, axborot xavfsizligi siyosatining
nizomlarini qayta ko‘rish hamda axborot tizimining barcha
kategoriyali foydalanuvchilarini axborot
xavfsizligi masalalari
bo‘yicha o‘qitish tartibini aniqlash.
Tashkilotning real xavfsizlik siyosati quyidagi bo‘limlami o‘z
ichiga olishi mumkin:
- umumiy qoidalar;
- parollami boshqarish siyosati;
- foydalanuvchilami identifikatsiyalash;
- foydalanuvchilaming vakolatlari;
- tashkilot
axborot
resurslarini
kompyuter
vimslaridan
himoyalash;
- tarmoq bog‘lanishlarini o‘matish va nazoratlash qoidalari;
- elektron pochta tizimi bilan ishlash bo‘yicha xavfsizlik
siyosati qoidalari;
- axborot resurslari xavfsizligini ta ’minlash qoidalari;
- foydalanuvchilaming xavfsizlik siyosati qoidalarini bajarish
bo‘yicha majburiyatlari va h.
Qoidalar tashkilotning rivojlanishiga, yangi texnologiyalar,
tizimlar va loyihalar paydo bo‘lishiga muvofiq o‘zgarishi lozim.
Buning uchun qoidalami davriy ravishda qayta ко‘rib chiqish kerak.
Xavfsizlik siyosatini qayta ко‘rib chiqish usullaridan biri axborot
kommunikatsiya tizimlari auditi hisoblanadi. Shu sababli tashkilot
xavfsizlik
siyosati va tabiiyki, axborot xavfsizligi siyosati o‘zining
hayotiy sikliga ega deyish mumkin (1 .l-rasm).
1.1-rasm. Xavfsizlik siyosatining hayotiy sikli.
Xavfsizlik siyosati qoidalarini qayta ко‘rib chiqish muddatlari
xususida aniq bir ko‘rsatma mavjud emas. Ammo ushbu muddat olti
oydan bir yilgacha belgilanishi tavsiya etiladi.
Xavfsizlik qoidalari ishlab chiqilganidan va amalga kiritil-
ganidan so‘ng foydalanuchilar axborot xavfsizligi talablari bilan
tanishib chiqishlari, xodimlar esa qoidalami o‘rganishlari lozim.
Mojarolar pay do bo‘lganda ishlab chiqilgan reja bo‘yicha hara-
katlanish tavsiya etiladi.
Axborot xavfsizligini ta’minlash masalalari bo‘yicha shug‘ul-
lanadigan yetakchi tashkilotlar xavfsizlik siyosati shablonlarini
ishlab chiqdilar. Masalan, SANS (System Administration Networ
king and Security) instituti turli xavfsizlik
siyosatining shablonlari
