#лучшиепрактики Продолжаем о фейлах при выборе ИБ систем.

❇️ Блок про тестирование и внедрение.

• Установленная система заблокировала бизнес-процессы.
Например, популярный фейл при внедрении DLP – сразу врубить правила карантина почты. … а затем выслушивать от директора по продажам и финансового о том, что в подразделениях остановилась почта и невыполняются задачи и KPI.

Ещё из весёлого – бездумное использование «белых списков» блокировок. [«Белый список» - это когда разрешено только то, что в списке]. Если сделать «белый список» USB устройств только из разрешённых флэшек … верно! Внезапно отвалятся принтеры, мышки, клавиатуры. Один раз видел как на ноутбуке экран отключился.

• Не подготовили документы легитимизации.
Ну это «база». Документы в компании ИБ внедряет не только по требованию законодательства, но и чтобы самим «не надуло». И очень важно понимать что и зачем ты делаешь с ИБ инструментами. Об этом можно отдельный большой пост написать, тут приведу пример как может быть если ничего не делать и действовать бездумно; все совпадения случайны.

В организации используют DLP, но совсем не внедряют документы. Обнаруживают что сотрудник мало того, что раздолбай, так ещё и регулярно выгружает отчёты из CRM себе на флэшку и уносит домой. Сотрудника призывают в кабинет СБ, показывают фактуру и предлагают выйти из кабинета на улицу подписав заявление «по собственному». Красиво звучит? Вроде как нашил злодея и «выкинули на мороз». Что же будет дальше?
А дальше этот сотрудник очень медленно идёт в трудовую. Когда приходит – пишет заявление в трудовой что на прошлой работе на него оказывали давление используя средства сбора информации на обработку которыми он не давал согласие. Трудовая радостно идёт за «своей палкой», проводит проверку в организации и постановляет:
❎ Гражданина на работе восстановить
❎ Время с момента увольнения до дня восстановления оплатить в моменте
❎ Должностных лиц оштрафовать
❎ Организацию оштрафовать
И потом этого сотрудника будет сложно уволить повторно, а видеть его «в коридорах» придётся.

В общем, если кратко, документы должны внятно описать что можно делать, а что нельзя; кто за что отвечает; что рабочее – это рабочее, а личное – это личное, и они не пересекаются; что ведётся автоматизированная обработка информации для целей бизнеса.