Korxonada kiberxavfsizlik: siyosatlar, kirishlar va o‘qitish

O‘nlab yoki yuzlab xodimi bor korxonada kiberxavfsizlikni bitta IT mutaxassisining tashabbusi bilan yuritib bo‘lmaydi. Bu boshqaruv vazifasi: rahbariyat qo‘llab-quvvatlashi, aniq mas’ullar, yozma qoidalar va ularning bajarilishini tekshirish kerak.

Mas’uliyatni taqsimlash

• Rahbariyat — xavflarni qabul qilish, byudjet va ustuvorliklar
• Xavfsizlik bo‘yicha mas’ul — siyosatlar, nazorat, hodisalarni muvofiqlashtirish
• IT bo‘limi — texnik choralarni amalga oshirish
• Bo‘lim rahbarlari — o‘z xodimlarining kirishlari va qoidalarga rioyasi
• Har bir xodim — qoidalarga amal qilish va shubhali holatlar haqida xabar berish

Agar «xavfsizlik IT’ning ishi» deb hisoblansa, bo‘limlar kirish huquqlarini nazorat qilmaydi va xodimlar qoidalarni ixtiyoriy deb qabul qiladi.

Aktivlar ro‘yxati

Himoyani nimani himoya qilishni bilishdan boshlang:

• Qurilmalar: kompyuterlar, serverlar, telefonlar, printerlar, tarmoq uskunalari
• Tizimlar: 1C, CRM, pochta, sayt, bulutli xizmatlar
• Ma’lumotlar: qayerda nima saqlanadi va qanchalik muhim
• Har bir aktivning egasi

Ro‘yxat bir martalik emas — yangi tizim kelganda yangilanadi.

Asosiy siyosatlar

Qisqa va tushunarli hujjatlar, o‘nlab sahifali emas:

1. Axborot xavfsizligi siyosati — umumiy tamoyillar va mas’uliyat
2. Kirishlarni boshqarish — kim, qanday tartibda, kimning tasdig‘i bilan
3. Parollar va autentifikatsiya — talablar, ikki bosqichli autentifikatsiya
4. Qurilmalardan foydalanish — shaxsiy telefonlar, fleshkalar, uydan ishlash
5. Zaxira nusxa va tiklash
6. Hodisalarga javob

Kirishlarni boshqarish

• Har bir lavozim uchun standart huquqlar to‘plami
• Qo‘shimcha huquqlar faqat yozma so‘rov va tasdiq bilan
• Har chorakda bo‘lim rahbari o‘z xodimlarining kirishlarini ko‘rib chiqadi
• Administrator huquqlari alohida hisoblarda va cheklangan doirada

Xodimning hayot tsikli

Ishga kirganda: hisoblar lavozimga muvofiq yaratiladi, qoidalar bilan tanishtirish va imzo.

Lavozim o‘zgarganda: eski huquqlar olib tashlanadi, yangilari beriladi. Ko‘pincha unutiladi va xodim yillar davomida barcha oldingi huquqlarni to‘playdi.

Ishdan ketganda: barcha kirishlar oxirgi ish kunida yopiladi — pochta, CRM, VPN, bulutli xizmatlar, Telegram guruhlari. HR va IT o‘rtasida avtomatik xabar bo‘lishi kerak.

O‘qitish

• Yangi xodimlar uchun kirish suhbati
• Yiliga bir-ikki marta qisqa mashg‘ulot
• Sinov fishing xatlari va natijalarni tahlil qilish — jazolash uchun emas, o‘rgatish uchun
• Buxgalteriya va rahbar yordamchilari uchun alohida mashg‘ulot: ular pul o‘tkazmalari bilan bog‘liq firibgarlikning asosiy nishoni

Texnik asos

• Markazlashgan yangilanishlar
• Barcha qurilmalarda himoya dasturi
• Tarmoqni segmentlash: mehmonlar Wi-Fi, ofis, serverlar, ishlab chiqarish alohida
• Markazlashgan jurnallar
• Zaxira nusxalar alohida va sinalgan

Nazorat va reja

Yiliga kamida bir marta ichki yoki tashqi audit, topilgan kamchiliklar bo‘yicha reja va uning bajarilishi. Rahbariyatga choraklik qisqa hisobot: hodisalar, bajarilgan ishlar, asosiy xavflar. Shunday qilib xavfsizlik bir martalik loyihadan doimiy jarayonga aylanadi.