IT 보안 정책은 조직의 IT 리소스를 사용할 수 있는 방법에 대한 규칙을 제시합니다. 정책은 허용 가능한 동작과 허용되지 않는 동작, 액세스 제어 및 규칙 위반에 대한 잠재적 결과를 정의해야 합니다.
IT 보안 정책은 조직의 비즈니스 목표, 정보 보안 정책 및 위험 관리 전략을 기반으로 해야 합니다. 액세스 제어 및 허용 가능한 사용을 간략하게 설명함으로써 IT 보안 정책은 기업의 디지털 공격 표면과 허용 가능한 위험 수준을 정의합니다. 또한 IT 보안 정책은 사용자를 모니터링할 수 있는 방법과 정책을 위반할 경우 취할 수 있는 조치를 정의하여 인시던트 대응을 위한 기반을 마련합니다.
목표는 회사 자산 사용에 대한 규칙과 절차를 명확하게 제시하는 것입니다. 여기에는 최종 사용자와 IT 및 보안 직원 모두를 대상으로 하는 정보가 포함됩니다. IT 보안 정책은 조직의 IT 보안 위험을 식별하고 해결하도록 설계되어야 합니다. 이를 위해 IT 보안의 세 가지 핵심 목표(CIA 3대 목표라고도 함)를 해결합니다.
이 세 가지 목표는 다양한 방법으로 달성할 수 있습니다. 조직에는 다양한 대상을 대상으로 하고 다양한 위험과 디바이스를 해결하는 여러 IT 보안 정책이 있을 수 있습니다.
IT 보안은 조직의 IT 보안 규칙 및 정책에 대한 서면 기록입니다. 이는 다음과 같은 여러 가지 이유로 중요할 수 있습니다.
조직의 IT 보안 정책은 비즈니스 요구 사항에 맞게 설계되어야 합니다. 하나의 통합된 정책일 수도 있고 다양한 문제를 해결하는 문서 집합일 수도 있습니다.
그럼에도 불구하고 모든 조직의 IT 보안 정책에는 특정 주요 정보가 포함되어야 합니다. 독립 실행형 문서이든 더 큰 문서의 섹션이든 회사 IT 보안 정책에는 다음이 포함되어야 합니다.
이러한 핵심 정책 외에도 IT 보안 정책에는 조직의 특정 요구 사항을 대상으로 하는 섹션이 포함될 수 있습니다. 예를 들어 회사에 BYOD(Bring Your Own 디바이스) 또는 원격 작업 정책이 필요할 수 있습니다.
IT 보안 정책을 작성할 때 모범 사례를 수립하는 것이 좋습니다. SANS Institute와 같은 조직에서는 IT 보안 정책에 대한 템플릿을 게시 했습니다.
그런 다음 이러한 템플릿을 편집하여 조직의 고유한 요구 사항을 충족할 수 있습니다. 예를 들어, 회사는 고유한 사용 사례를 다루기 위해 섹션을 추가하거나 기업 문화에 맞게 언어를 조정해야 할 수 있습니다.
IT 보안 정책은 살아 있는 문서여야 합니다. 비즈니스의 진화하는 요구 사항을 충족하기 위해 정기적으로 검토하고 업데이트해야 합니다.
피드백