Dominio dei rapporti sugli incidenti o sulla politica di notifica?

Question

Dominio dei rapporti sugli incidenti o sulla politica di notifica?

#1 da (2 voti)
#2 da (1 voti)

4

Sto scrivendo una politica aziendale su come i dipendenti devono gestire i report di eventi relativi alla sicurezza delle informazioni e notifiche provenienti da fornitori, clienti e persone all'interno della nostra organizzazione.

per es.

Se un cliente chiama e dice che i suoi dati sono stati compromessi e dobbiamo dare la colpa a
Qualcuno riceve e-mail non richieste o sospette dal nostro dominio.
Strane finestre a comparsa sulle workstation
ecc.

Nota: non disponiamo ancora di una politica di risposta agli incidenti o di informazioni sulla sicurezza.

La mia domanda è se questo tipo di documento sia una politica a sé stante o una parte di una politica di sicurezza delle informazioni o di una politica di risposta agli incidenti più ampia. Attualmente la definisco una "Politica di segnalazione della sicurezza delle informazioni". Questo rientra nell'ambito di una politica di sicurezza delle informazioni o di politica di risposta agli incidenti o potrebbe andare in qualsiasi modo o non importa fino a quando è scritto, chiaro, compreso e seguito.

Volevo un semplice documento di una sola pagina che potesse essere passato agli utenti attraverso un nuovo corso di formazione o da H.R ..

Fondamentalmente afferma ...

Tipo di documento di problema e descrizione
Chi ha segnalato? Richiedi informazioni di contatto (nome, telefono, e-mail) e acconsenti ad essere contattato da personale o amministratore della sicurezza
Data e ora dell'occorrenza del documento
Se applicabile alla situazione chiedi sistema operativo, browser, A / V, uso di firewall, uso della rete wireless ecc.
Come e chi segnalare a (intensificare)

Qualcun'altro dovrebbe essere menzionato, rimosso o modificato? Questo suona ragionevole, cosa stai pensando?

Grazie Jon

corporate-policy pci-dss incident-response

posta jonschipp 21.03.2013 - 17:19

fonte

2 risposte

Leggi altre domande sui tag corporate-policy pci-dss incident-response

Gruppi di utenti (cerchi) all'interno di una rete di fiducia Le app e i database Web in esecuzione su AWS EC2 necessitano di un IDS / IPS?

score 2 · Answer 1

Stai descrivendo una procedura (ad esempio "come si fa X"), non una politica ("Do X"). In quanto tale, il nome della procedura non ha molta importanza. Ciò che importa è che fa riferimento ed è supportato da una o più politiche di livello superiore.

Una politica di sicurezza delle informazioni dovrebbe coprire molto più di ciò che hai descritto; Sarei molto riluttante a intitolare la procedura "Information Security Policy" - sarebbe come etichettare la tastiera "My computer". L'esempio è intenzionalmente esagerato, ma se la tua azienda è stata sottoposta ad audit e gli auditor hanno trovato il tuo one-page come unico documento denominato "Information Security Policy", avresti implicitamente autorizzato tutte le azioni non coperte da tale politica. (Non so se la tua azienda è soggetta a verifiche. Hai incluso un tag pci che mi fa credere che sia una possibilità).

Generalmente la politica di sicurezza delle informazioni include la politica di risposta agli incidenti. Le procedure sono scritte per implementare le politiche.

score 1 · Answer 2

Chiamando la politica di risposta agli incidenti si dà più peso. Laddove possibile, automatizza il processo di raccolta dei dati in background (data / ora, sistema operativo, ecc.) Se prevedi di utilizzarlo internamente.

Se ho capito bene, il documento gestisce sia gli incidenti del cliente che quelli sul posto di lavoro. I due non dovrebbero essere separati? Quindi uno potrebbe essere una politica e l'altra parte di una politica.

Entrambi i titoli sono buoni. La politica di sicurezza delle informazioni sarebbe più adatta per un documento interno, mentre la risposta agli incidenti si adatta alle politiche orientate al cliente. Ma non importa un po 'finché è correttamente seguito e compreso (e periodicamente ricordato a esso).