شارك
الرئيسية
1 دقيقةما هي السياسة الأمنية؟
هي وثيقة تنصُّ على كيفية تخطيط الشركة لحماية أصولها المادية وتكنولوجيا المعلومات. والسياسات الأمنية هي وثائق يتم تحديثها وتغييرها باستمرار مع تغير التكنولوجيات ونقاط الضعف والمتطلبات الأمنية.
أهمية وجود السياسة الأمنية
تعود أهمية وجود السياسة الأمنية إلى أربعة أسباب رئيسية وهي:
- دليل لتنفيذ الضوابط الأمنية: توفّر السياسة الأمنية إرشادات عالية المستوى، بحيث توضّح نيّات وتوقعات الإدارة العليا فيما يتعلق بالجوانب الأمنية. ثم يعود الأمر إلى فرق الأمن أو تكنولوجيا المعلومات لترجمة هذه النيّات إلى إجراءات فنية محددة.
- توقعات واضحة: بدون سياسة أمنية، سيترك كل موظف أو مستخدم لحكمه الخاص في تقرير ما هو مناسب، ما يمكن أن يؤدي إلى كارثة أمنية عند اختلاف المعايير.
- الامتثال للوائح القانونية والتنظيم: السياسة الأمنية ضرورة عملية لصياغة استراتيجية لتلبية متطلبات الأمن وخصوصية البيانات المتزايدة الصرامة وفق متطلبات التشريعات والمعايير مثل معيار الجودة الآيزو ISO 27001.
- تحسين الكفاءة التنظيمية: تعزز السياسة الأمنية الجيدة كفاءة المؤسسة لتجنب الازدواجية في الجهود وتوفير الاتساق في مراقبة الامتثال التنظيمي وتنفيذه.
العناصر السبعة للسياسة الأمنية الجيدة
تُعدّ السياسات الأمنية عنصراً أساسياً في برنامج أمن المعلومات، ويجب صياغتها وتنفيذها بشكلٍ صحيح. ينبغي أن تتضمن السياسة الأمنية الفعّالة ما يلي:
- هدف واضح: يفيد وضوح المهمة الأمنية وتحديد الغرض على أعلى مستوى من السياسة الأمنية في مساعدة المؤسسة على فهم أهمية أمن المعلومات.
- تحديد النطاق وقابلية التطبيق: يجب أن تتضمن كل سياسة أمنية، بغض النظر عن نوعها، نطاقاً ينصُّ بوضوحٍ على من تنطبق هذه السياسة.
- الالتزام برؤى الإدارة العليا: تهدف السياسات الأمنية إلى توصيل النوايا من الإدارة العليا، ولتحقيق النجاح يجب إبلاغ الموظفين بالسياسات الأمنية وتحديثها بانتظام.
- الواقعية: يجب أن تُبنى سياسة أمنية واقعية قابلة للتطبيق وتتطلب جهوداً منطقية في العالم الحقيقي.
- تعريف المصطلحات المهمة: جمهور السياسة الأمنية غالباً ما يكون غير تقني، لذا من المهم استخدام لغة موجزة وخالية من المصطلحات وتعريف أي مصطلحات تقنية في الوثيقة بوضوح.
- مخصصة وفق قدرة المؤسسة على المخاطرة: لا يمكن القضاء على المخاطر الأمنية تماماً، فيبقى الأمر متروكاً لإدارة كل مؤسسة لتحديد مستوى المخاطرة المقبول.
- تكامل المعلومات: لا توجد حاجة إلى تغيير السياسة الأمنية بشكلٍ متكرر، إلّا أنه يجب مراجعتها بشكلٍ منتظم. ويجب تحديث السياسات الخاصة في كثيرٍ من الأحيان مع تغير التكنولوجيا واتجاهات القوى العاملة وعوامل أخرى.