Группе безопасности нужен доступ к различным ресурсам. Один из ключей к успешной программе безопасности - наличие большого количества связей в отрасли, а следовательно, информированность о действиях других компаний и мнениях других людей о совершенных системах. За счет своих связей профессионалы в области безопасности также узнают о происхождении атак раньше других, что позволяет им быть на шаг впереди и максимально подготовиться. Это также позволяет профессионалам в области безопасности оценивать работу компании в сравнении с другими. Тратит ли компания на безопасность слишком много или слишком мало? Испытывает ли она нехватку некоторых важных политик? Группа безопасности также может узнать, с чем столкнулись другие компании, пытаясь внедрить некоторые новые технологии, и какова была рентабельность инвестиций. Был ли у кого-то особенно позитивный или негативный опыт в работе с новым продуктом, рассматриваемым группой безопасности?
Связи устанавливаются за счет регулярного посещения конференций и участия в деятельности специальных межфирменных рабочих групп по безопасности. Профессионалы в области безопасности должны иметь известность и доверие среди своих коллег, чтобы быть в курсе дел в отрасли.
Группе безопасности требуются люди с разными навыками. В небольшой компании всю работу может выполнять один человек, возможно, с небольшой помощью руководства. Однако в более крупной компании руководитель группы безопасности должен нанимать людей на ряд должностей. Некоторые из этих должностей требуют особых навыков и личностных качеств. Эти должности включают разработчика политик, архитектора безопасности, конструктора, операторов, аудитора, менеджера рисков и специалистов по реакции на происшествия. • Разработчик политик отвечает за написание корпоративных политик и, следовательно, должен иметь связи в ключевых подразделениях компании и входить в некоторые многофункциональные группы, чтобы обсуждать политики с руководителями, юридическим отделом и отделом кадров. Разработчик политик должен уметь определять, какие политики требуются компании, и обеспечивать в компании их поддержку, особенно на уровне высшего руководства. Разработчик политик должен знать, как обстоят дела с политиками у других компаний, особенно той же отрасли, и что считается наилучшим. Он должен быть в курсе ситуации в бизнесе и знать дух компании, чтобы определить, что приемлемо для компании. • Архитектор безопасности является представителем группы безопасности перед другими сотрудниками компании и должен входить в многофункциональные группы в компании. Этот человек отвечает за то, чтобы группа безопасности была в курсе происходящего в компании, за выявление проектов, в которых группе потребуется участие, а также за выяснение требований, нужд бизнеса и ключевых людей. Кроме того, архитектор безопасности проектирует систему безопасности и наблюдает за ситуацией с безопасно- стью в компании, в том числе за тем, какая инфраструктура может помочь группе и компании. Этот человек должен заниматься связями с поставщиками, отслеживанием технологий, продуктов и перспектив, а также решать, когда компания должна переходить на новую технологию и должна ли вообще. • Конструктор реализует проекты архитектора и работает вместе с ним над оценкой продуктов. Конструктор должен вступать в многофункциональные группы по проектам, когда он будет заниматься построением конкретной среды для этого проекта. Также конструктор должен понимать требования бизнеса, выносить на обсуждение проблемы и предлагать альтернативные решения. Этот человек документирует вопросы установки и эксплуатации созданных систем и обучает операторов работе с ними. Конструктор находится на ступень выше оператора и должен обсуждать перспективы, технологии и продукты с архитектором, а также доводить до него любые требования, которые могут появиться в будущем. Так же конструкторам необходимо хорошее аппаратное обеспечение планшет идеально подойдет для этой задачи. • Операторы обеспечивают ежедневную работу инфраструктуры безопасности. Этих людей обучает конструктор, и они обращаются к нему по вопросам, которые не могут решить самостоятельно. В крупных компаниях оператор, обеспечивающий работу в режиме 24/7, может выполнять двойную функцию, работая также в качестве оператора безопасности, отвечая на уведомления и отчеты системы мониторинга логов или других ГО8. Операторы имеют дело с ежедневными задачами системы аутентификации и авторизации, например с потерянными или сломанными маркерами, новыми сотрудниками или подрядчиками и увольнениями из компании. С этими людьми беседуют остальные системные администраторы в случае подозрений о проблемах в элементах инфраструктуры безопасности. По возможности операторы должны помогать конструктору в построении инфраструктуры. • Аудитор может быть сотрудником компании или членом сторонней консалтинговой группы. Компания может использовать аудиторов обоих типов в различных целях. Аудитор строит программу проверки безопасности компании на предмет ее соответствия требованиям, тесно работая вместе с группой безопасности и руководством, чтобы определить, какие конкретные области должны быть протестированы глубоко. Такое тестирование может включать социальную инженерию, которая обычно является наиболее слабым звеном в защите любой компании. Задачи аудиторов, особенно внешних, рассмотрены далее в этом разделе. • Менеджер рисков осуществляет техническое руководство со стороны бизнеса. Менеджер рисков оценивает технические требования с целью подсчета рисков для компании, связанных с отклонением от стандартов политики, определяет, позволять ли такие отклонения или требовать перестройки решения, чтобы их не допускать, а затем объясняет приемлемые риски аудиторам (внутренним или внешним). Таким требованием может быть предоставление анонимного РТР-доступа к серверу, разрешение сторонним провайдерам доступа к конкретному внутреннему ресурсу тем или иным способом или установление менее жесткой политики использования паролей на определенном устройстве. В крупных компаниях может быть много менеджеров рисков, ориентированных на различные подразделения компании, с поддержкой большой структуры управления рисками.
Опубликовал Kest
March 01 2012 15:52:00 ·
0 Комментариев ·
4268 Прочтений ·
• Не нашли ответ на свой вопрос? Тогда задайте вопрос в комментариях или на форуме! •
Комментарии
Нет комментариев.
Добавить комментарий
Рейтинги
Рейтинг доступен только для пользователей.
Пожалуйста, залогиньтесь или зарегистрируйтесь для голосования.
Нет данных для оценки.
Гость
Вы не зарегистрированны? Нажмите здесь для регистрации.
Главная
Каталог файлов
