Riskhantering har alltid varit en viktig process för företag. I den digitala tidsåldern blir detta pågående arbete ännu viktigare. Organisationer kan idag inte hantera risker effektivt utan att regelbundet utvärdera sina IT-säkerhetspolicyer och motsvarande verkställighetsprogram. De som inte vill eller kan undersöka hur de hanterar sina säkerhetsprinciper kan inte identifiera när något fungerar. Ännu värre är att de inte kan känna igen när deras program sitter fast i en rutin eller när de ignorerar möjligheter som minskar risken.
Här är fem vanliga misstag som organisationer gör när det gäller deras program för hantering av säkerhetsprinciper.
-
Tänk på nätverket och inte på affärsprogrammen
Organisationer ser ibland inte skogen genom träden. De skapar en policy som motiverar nätverkskonfigurationen, till exempel vilka portar eller VPN-tunnlar som ska användas. Men de tänker inte på varför nätverksåtkomst överhuvudtaget behövs och vilken affärsapplikation som regeln eller policyn stöder. Det är samma sak åt andra hållet också. Det är vanligt att företag inte tar bort nätverksåtkomst från en avvecklad applikation och reviderar en av sina policyer eftersom de är rädda för att det kan påverka en tillgångs funktionalitet negativt. Realistiskt sett borde de vara mer oroade över hur en angripare kan utnyttja öppen åtkomst för att angripa deras system.
- Brist på effektiv kommunikation mellan olika grupper
Det krävs mycket lagarbete för att en organisation ska kunna hantera sina säkerhetsprinciper. Det finns de som skapar och tillämpar riktlinjerna, de som ser till att dessa riktlinjer säkerställer optimal systemfunktionalitet och de som kopplar riktlinjerna till affärsapplikationer. Dessa grupper av individer interagerar inte alltid med varandra. Men deras jobb är i grunden samarbetsinriktade och beroende av varandra. Utan en förståelse för vilka affärsapplikationer som behöver stöd kan personalen inte skapa effektiva säkerhetsprinciper. Grupperna måste också känna till dessa policyer för att förstå hur de kan eller inte kan påverka organisationens nätverk.
- Tillåt dokumentlösa ändringar i farten
En viktig del av hanteringen av säkerhetspolicyer är att dokumentera varje policy. Om organisationer inte uppmuntrar till dokumentation riskerar de att personalen skapar policyer som det inte finns någon förklaring till när en revisor kommer på besök. Det finns också en risk att anställda skapar flera policyer som täcker samma säkerhetsrisk, vilket leder till onödig rörighet. Dokumentation är viktig eftersom den registrerar en policy och standardiserar dess tillämpning bland alla lagkamrater. Följaktligen bör organisationer inte bara uppmuntra dokumentation utan även para ihop den med en formell process för att skapa nya policyer. På så sätt förhindrar man att anställda impulsivt skapar säkerhetspolicyer som kanske förtjänar övervägande och granskning.
- Redovisar inte för mänskliga fel
Vi är alla människor. Det betyder att vi ibland gör misstag. Nimrod Reichenberg, chef för global strategi på AlgoSec, förklarar i en artikel på Dark Reading ett sådant scenario som han stötte på på jobbet:
"En administratör på ett företag som vi arbetade med råkade skriva port 433 i stället för port 443 när han ändrade en brandväggsregel. Låt oss bara säga att det inte var en bra dag för honom."
Inmatningsfel gör mer än att bara slösa tid. De skapar förvirring som potentiellt kan försvaga ett företags säkerhet. Organisationer måste därför ta hänsyn till mänskliga fel i sitt program för hantering av säkerhetsprinciper. Ett sätt att göra detta är att använda ett tilläggsverktyg eller skript som kan fånga upp stavfel och andra misstag.
- Underlåtenhet att ta hänsyn till inbyggda risker
Bristfälligt utformade säkerhetspolicyer är inte i företagets intresse. Ibland ökar de riskerna, bryter mot kraven på efterlevnad eller strider mot andra delar av organisationens IT-strategi. Med tanke på de potentiella risker som skapas av säkerhetspolicyer bör företag tänka mer på hur de utformar sina program för hantering av säkerhetspolicyer. De bör särskilt ta reda på vilka risker som kan uppstå om de skapar en ny säkerhetspolicy.
För att ytterligare minska den inbyggda risken bör organisationer överväga automatisering. IT Business Edge är en stark förespråkare av detta beslut:
"Automatisering kommer att effektivisera dina processer, göra det möjligt för dig att snabbt ändra konstruktioner, identifiera regler som kan återanvändas, smidigt sprida policyer, utföra riskanalyser och revisioner snabbt, omedelbart skapa dokumentation, validera och stämma av, allt i realtid. Det kommer alltid att finnas vissa uppgifter som kräver mänskligt ingripande, men du får ett säkrare system om du håller personalen i ditt team fokuserad på de uppgifter som behöver analyseras och utredas, snarare än banala uppgifter som kan automatiseras."
Slutsats
Hantering av säkerhetspolicyer är en viktig del av riskhanteringen. Men det är inte naturligt för alla företag. Därför har Metacompliance tagit fram en serie produkter för hantering av policyhantering som hjälper företag att utforma säkerhetspolicyer och säkerställa personalens medvetenhet.
Klicka här om du vill veta mer om hur Metacompliances lösningar kan hjälpa ditt företag.
