Рекомендации по созданию инструкций по кибербезопасности

Эксперты Университета Северной Каролины провели исследование и узнали, почему руководства по кибербезопасности, которые предоставляются сотрудникам разных организаций, часто не работают.

Учёные опросили специалистов, которые отвечают за создание внутренних нормативных документов в крупных корпорациях, университетах и государственных учреждениях. В результате выяснилось, что из-за большого объёма советов по безопасности инструкции оказываются слишком перегруженными, а важные моменты теряются в информационном шуме.

Опыт экспертов AKTIV.CONSULTING показывает, что многие компании сталкиваются с проблемой написания понятных внутренних нормативных документов (ВНД)

Для создания новых или улучшения существующих инструкций по кибербезопасности наш ведущий консультант по ИБ Александр Моисеев поделился следующими рекомендациями:

1. Структурировать ВНД согласно приоритетам в выполнении требований ИБ либо выделять определенную градацию. К примеру, обязательным регуляторным требованиям присваивать условно высокий приоритет, подчёркивать его, а требованиям лучших практик давать чуть меньший приоритет и т.п.
2. После закрепления в ВНД всех обязательных положений согласно юридически значимым и важным формулировкам делать краткое резюме для сотрудников в более привычной и доступной форме, которое можно приобщить в виде Приложения.
3. Перейти на оформление ВНД в электронном виде (СЭД) с широким использованием гиперссылок или указателей, тем более, что Федеральный закон № 63-ФЗ позволяет это сделать. Такая «цифровизация» в данной области даст сразу множество преимуществ, особенно при интеграции с HCM-решениями или LMS-платформами для автоматизации процессов ознакомления и обучения по ИБ.
4. Широко использовать наглядные графические материалы на основе ВНД (схемы, таблицы, план-графики, анимация и т.п), потому что большинство людей лучше воспринимают информацию в визуальном виде.
5. Проводить повышение осведомленности сотрудников и акцентировать внимание на вопросах ИБ.
6. Периодически пересматривать ВНД на предмет соответствия актуальным требованиям регуляторики.