…in the name of… Security

Po wykryciu naruszenia bezpieczeństwa związanego z narzędziami do współpracy należy postępować zgodnie ze zwykłymi zasadami i procedurami organizacji. Procedury dla skompromitowanych systemów informatycznych powinny być dobrze sformułowanymi, powtarzalnymi procesami w celu zachowania dowodów, zapewnienia szybkiego wykrywania i dochodzenia oraz spełniania niezbędnych wytycznych regulacyjnych. W razie potrzeby należy skorzystać z usług organów ścigania, doradców prawnych lub obu, aby zapewnić właściwe gromadzenie dowodów i dokumentację. Zasady powinny również dyktować procedury dotyczące zadań po zakończeniu dochodzenia, takich jak wymaganie kopiowania, archiwizowania, niszczenia, ponownego obrazowania lub ponownej instalacji zhakowanych systemów. Generalnie nie zaleca się próbowania po prostu „wyczyszczenia” zaatakowanego systemu. Zagwarantowanie, że zagrożony system ponownie będzie miał integralność, może być trudne.

Niezwykle ważne jest aktualizowanie narzędzi do współpracy i powiązanych z nimi systemów informatycznych. Stosowanie łat na luki w zabezpieczeniach jest dobrą praktyką w zakresie technologii informatycznych i bezpieczeństwa informacji. Po dokładnym przetestowaniu poprawek w środowisku testowym, należy je jak najszybciej zastosować w środowiskach produkcyjnych. Nie ignoruj ​​poprawek dostawców oprogramowania, zwłaszcza tych dotyczących znanych luk w zabezpieczeniach.

Podobnie jak w przypadku większości systemów informatycznych, zapewnienie niezbędnego bezpieczeństwa powinno obejmować regularne, zewnętrzne testy penetracyjne i audyty przeprowadzane przez osoby trzecie. Narzędzia do współpracy i powiązane systemy powinny być testowane i oceniane pod kątem ich sprawności w zakresie bezpieczeństwa. Wszelkie wykryte problemy powinny być udokumentowane i szybko naprawione. Pozwolenie neutralnemu, zewnętrznemu podmiotowi na niezależne testowanie systemu jest lepsze od testów wewnętrznych, dzięki czemu można wykluczyć stronniczość.

Niektóre organizacje są skłonne do korzystania z komercyjnych systemów współpracy wyłącznie online lub rozwiązań hostowanych. Nie należy podejmować tej decyzji pochopnie; rozważ ryzyko w porównaniu z zyskami. Organizacja powinna dokładnie przejrzeć wszystkie warunki świadczenia usług, umowy licencyjne, umowy dotyczące poziomu usług i obowiązki prawne. Aby zapewnić ochronę organizacji, należy zaangażować radcę prawnego, zwłaszcza w zakresie własności danych, ich posiadania, ustaleń prawnych i uprawnień do wezwania do sądu. Chmura ostatnio cieszy się dużym zainteresowaniem. Chociaż bezpieczeństwo chmury wykracza daleko poza zakres tego rozdziału, chmura nie powinna być traktowana inaczej niż jakakolwiek inna aplikacja zlecona na zewnątrz. Chmura często zawiera te same zagrożenia, co każda inna usługa, w której dane są przechowywane poza kontrolą organizacji. Bezpieczeństwo powinno być głównym problemem podczas oceny rozwiązań w chmurze, z uwzględnieniem:

* Umowy o poziomie usług

* Własność danych

* Technologia bezpieczeństwa danych używana podczas przechowywania danych (szyfrowanie, tworzenie kopii zapasowych, replikacja itp.)

* Odzyskiwanie danych, jeśli dostawca zostanie sprzedany, zamknięty lub zbankrutuje

* Fizyczna lokalizacja danych oraz jakie przepisy krajowe, stanowe lub lokalne mają zastosowanie do tej lokalizacji i danych

* Dostęp administratora (dla klienta i którzy administratorzy u usługodawcy również mają dostęp)

* Odpowiedzialność za bryczesy danych u usługodawcy

* Depozyt klucza dla zaszyfrowanych danych

Chociaż nie jest to wyczerpująca lista, powinna ona pomóc organizacji w burzy mózgów i badaniu zagrożeń związanych z narzędziami do współpracy w chmurze. Istnieje wiele zasobów online od renomowanych organizacji, które już dostarczyły wskazówek dla organizacji wchodzących w chmurę. Jak zwykle skonsultuj się z radcą prawnym.

Każda organizacja, która wdraża narzędzia do współpracy, musi monitorować i raportować wykorzystanie systemu, wyniki audytu i zawartość danych. (Organizacja musi zbadać rzeczywistą zawartość danych, aby zapewnić zgodność z zabezpieczeniami, takimi jak chronione informacje zdrowotne [PHI] lub numer ubezpieczenia społecznego [SSN]. Z tego powodu wiele nowych produktów ma określone zasady). Monitorowanie i raportowanie działa w celu zapewnienia, że ​​narzędzia współpracy a systemy są używane zgodnie z ich przeznaczeniem. Monitorowanie i raportowanie aktywnych projektów powinno szukać nietypowych wzorców użytkowania, naruszeń zasad, nieaktywnych użytkowników, nieaktywnych lub przestarzałych systemów i tym podobnych. Właściwe zarządzanie systemem powinno już być wdrożone, ale ważne jest okresowe sprawdzanie systemów. Na przykład, jeśli grupa korzysta z systemu współpracy przy projekcie, po zakończeniu projektu wszystkie materiały projektowe i użytkownicy powinni zostać usunięci z systemu. Raporty z monitoringu i audytu systemu powinny być realizowane od razu.

Bez względu na to, jaki poziom polityki, procedur lub środków zapobiegawczych zostanie wprowadzony, każda organizacja musi przeprowadzić audyt zgodności. Procedury audytu narzędzi współpracy i ich wykorzystania powinny być włączone do regularnych, ustrukturyzowanych funkcji audytu bezpieczeństwa informacji w organizacji. Wszelkie odstępstwa od zasad i procedur wymaganych dla narzędzi współpracy muszą być podejmowane w odpowiednim czasie

Wszędzie, gdzie to możliwe, instaluj rozwiązania, które zwiększą bezpieczeństwo narzędzi do współpracy i które można zintegrować z istniejącymi strukturami bezpieczeństwa. Jeśli organizacja posiada rozwiązanie z pojedynczym logowaniem o wysokim poziomie bezpieczeństwa, zintegruj z nim systemy współpracy. Innym przykładem może być integracja systemów współpracy z nową lub istniejącą infrastrukturą PKI. Wykorzystaj dobrze znane i niezawodne rozwiązania, takie jak Secure Sockets Layer (SSL) i szyfrowanie dla hosta i wszystkich uczestników. To znacznie zmniejsza ryzyko naruszenia bezpieczeństwa podczas transmisji danych.

Wiele narzędzi do współpracy można wdrożyć jako system tylko do użytku wewnętrznego, system oparty na chmurze lub oba. Organizacje będą chciały wybrać sposób, w jaki użytkownicy będą uzyskiwać dostęp do tych systemów. Na przykład uniemożliwienie niezabezpieczonej komunikacji z Internetu może pomóc w zwiększeniu bezpieczeństwa. Podobnie może być konieczne zablokowanie dostępu do usług publicznych z sieci organizacji. Lub rozwiązania techniczne, takie jak połączenia VPN spoza sieci organizacji, mogą zostać wykorzystane do zaspokojenia potrzeb komunikacyjnych.

Inną opcją, w połączeniu z polityką, jest zablokowanie korzystania z narzędzi do współpracy, w zależności od potrzeb organizacji. Może to obejmować wdrożenie technologii umożliwiającej osiągnięcie tego celu, w tym blokowanie treści, zapory ogniowe lub jedno i drugie. Powinno to uniemożliwić instalację lub używanie nieuczciwych narzędzi do współpracy. Należy przeprowadzać okresowe przeglądy systemów sieciowych i ruchu sieciowego, aby zapewnić zgodność z narzędziami do współpracy lub ograniczeniami.

Można się spierać, czy narzędzia współpracy wymagają określonych, oddzielnych zasad. Co ważniejsze, istnieje kompletna, dobrze napisana i dobrze skomunikowana polityka, zawierająca postanowienia dotyczące narzędzi współpracy, systemów i powiązanej technologii. Jasne zrozumienie i komunikacja w zakresie bezpieczeństwa narzędzi do współpracy muszą być dobrze zbadane, dobrze napisane, zwięzłe, dobrze komunikowane i regularnie aktualizowane. Niezwykle ważne jest, aby polityka pozostała aktualna, ponieważ opracowywane i wdrażane są nowe i bardziej złożone narzędzia współpracy. Zasady powinny również obejmować opcje bezpieczeństwa, które w innym przypadku mogą być poza kontrolą organizacji. Na przykład, jeśli firma zabrania korzystania z publicznych usług udostępniania plików, polityka powinna obejmować użytkowników próbujących korzystać z usługi spoza organizacji, jak również wewnątrz niej. Pracownicy nie powinni mieć możliwości korzystania z usług lub systemów, które nie są zgodne z zasadami, bez względu na to, gdzie iw jaki sposób usługa ma być używana. Dobra polityka powinna być inkluzywna, zwłaszcza jeśli dokładnie określa się, co organizacja uważa za narzędzie współpracy. Łatwo byłoby zapomnieć o aplikacjach, takich jak poczta e-mail, komunikatory internetowe, spotkania online, blogi, sieci społecznościowe, współdzielone zasoby sieciowe, oprogramowanie do zdalnego dostępu, udostępnianie plików peer-to-peer i tym podobne. Wiele technologii zawiera komponenty współpracy, które należy wziąć pod uwagę, aby zapewnić bezpieczeństwo.