Що таке security policy?

Security policy (політика безпеки) - це офіційний набір правил і вимог, який визначає, як саме має забезпечуватися безпека в організації або системі.

Простіше кажучи: security policy відповідає на питання: «що можна, що не можна і хто за що відповідає у сфері безпеки».

---

#Навіщо потрібна security policy

Без політики безпеки:

• кожен розуміє безпеку по-своєму;
• правила застосовуються хаотично;
• складно контролювати і карати за порушення.

Security policy потрібна, щоб:

• встановити єдині правила;
• знизити ризики витоків і атак;
• відповідати вимогам стандартів і законів;
• спростити контроль і аудит безпеки.

---

#Що зазвичай описує security policy

#1. Правила доступу

• хто має доступ до яких систем;
• як видаються і відкликаються права;
• вимоги до паролів і облікових записів.

Приклад: пароль не коротше 12 символів, MFA обов'язковий.

---

#2. Використання ресурсів

• чи можна підключати особисті пристрої;
• чи дозволено встановлювати ПЗ;
• правила роботи з інтернетом і поштою.

Приклад: заборонено використовувати USB-накопичувачі без погодження.

---

#3. Захист даних

• які дані вважаються конфіденційними;
• як їх зберігати і передавати;
• чи потрібне шифрування.

Приклад: персональні дані передаються лише захищеними каналами.

---

#4. Реагування на інциденти

• що робити при зламі чи витоку;
• кого повідомляти;
• які кроки вживати.

Приклад: при інциденті безпеки співробітник зобов'язаний негайно повідомити IT-відділ.

---

#5. Відповідальність

• хто відповідає за безпеку;
• наслідки порушення правил.

Приклад: порушення політики може призвести до дисциплінарних заходів.

---

#Види security policy (коротко)

• Організаційна - загальні правила для компанії
• Мережева - правила захисту мережі (firewall, VPN, сегментація)
• Політика доступу - хто і куди може входити
• Політика паролів - вимоги до паролів
• Політика інцидентів - як реагувати на атаки

---

#Важливо розуміти

• Security policy - це не техніка, а документ і правила
• Технічні засоби (firewall, IDS, VPN) реалізують вимоги політики
• Політика обов'язкова для всіх співробітників

---

#Короткий відповідь для співбесіди

Готове формулювання:

Security policy - це формальний документ, який визначає правила, вимоги та відповідальність щодо забезпечення інформаційної та мережевої безпеки в організації.