Skriftlige informationssikkerhedspolitikker er afgørende for organisationens informationssikkerhed. Dette gælder både for store og små virksomheder, da løse sikkerhedsstandarder kan medføre tab eller tyveri af data og personlige oplysninger. Skriftlige politikker giver medarbejdere, besøgende, entreprenører eller kunder sikkerhed for, at din virksomhed tager sikring af deres oplysninger alvorligt.

Informationssikkerhedspolitikker er skriftlige instruktioner om, hvordan oplysninger skal holdes sikre. Politikkerne bør indeholde vejledning om adgangskoder, brug af enheder, brug af internettet, klassificering af oplysninger, fysisk sikkerhed – som i forbindelse med fysisk sikring af oplysninger – og rapporteringskrav.

Politik for adgangskoder og personlige identifikationsnumre

Udarbejdelse af en politik for adgangskoder og personlige identifikationsnumre er med til at sikre, at medarbejderne opretter deres login- eller adgangsoplysninger på en sikker måde. Almindelig vejledning er ikke at bruge fødselsdage, navne eller andre oplysninger, der er lette at få fat i.

Enhedskontrol

Der bør etableres korrekte metoder til adgang til computere, tablets og smartphones for at kontrollere adgangen til oplysninger. Metoderne kan omfatte adgangskortlæsere, adgangskoder og pinkoder.

Enhederne bør låses, når brugeren går væk. Adgangskort bør fjernes, og adgangskoder og pinkoder bør ikke skrives ned eller opbevares, hvor de kan blive tilgået.

Vurder, om medarbejderne skal have lov til at medbringe og få adgang til deres egne enheder på arbejdspladsen eller i arbejdstiden. Personlige enheder har potentiale til at distrahere medarbejderne fra deres arbejdsopgaver og skabe utilsigtede brud på informationssikkerheden.

Hvis du udformer politikker for brug af personlige enheder, skal du tage medarbejdernes velfærd i betragtning. Familier og kære har brug for kontakt med medarbejderne, hvis der er en situation derhjemme, som kræver deres opmærksomhed. Det kan betyde, at man skal sørge for en måde, hvorpå familierne kan få beskeder til deres kære.

Der bør udarbejdes procedurer for rapportering af tab og beskadigelse af forretningsrelaterede enheder. Det kan være hensigtsmæssigt at medtage undersøgelsesmetoder til at fastslå skyld og omfanget af informationstabet.

Internet/webbrug

Internetadgang på arbejdspladsen bør begrænses til kun at omfatte forretningsmæssige behov. Ikke alene optager privat brug af internettet ressourcer, men det medfører også risici for virus og kan give hackere adgang til oplysninger.

E-mail bør kun foregå via virksomhedens e-mail-servere og -klienter, medmindre din virksomhed er bygget op omkring en model, der ikke tillader det.

Mange svindelnumre og forsøg på at infiltrere virksomheder iværksættes via e-mail. Der anbefales retningslinjer for håndtering af links, tilsyneladende phishing-forsøg eller e-mails fra ukendte kilder.

Udarbejd aftaler med medarbejderne, der minimerer risikoen for eksponering af oplysninger på arbejdspladsen via sociale medier eller andre personlige netværkssteder, medmindre det er forretningsrelateret.

Kryptering og fysisk sikkerhed

Du kan udvikle krypteringsprocedurer for dine oplysninger. Hvis din virksomhed har oplysninger som f.eks. kunders kreditkortnumre gemt i en database, giver kryptering af filerne en ekstra beskyttelse.

Nøgle- og nøglekortkontrolprocedurer som f.eks. logbøger over nøgleudstedelse eller separate nøgler til forskellige områder kan være med til at kontrollere adgangen til informationslagringsområder.

Hvis identifikation er nødvendig, skal du udvikle en metode til udstedelse, logning, visning og periodisk kontrol af identifikation.

Etabler en procedure for besøgende. Check-in af besøgende, adgangsbrikker og logbøger vil holde unødvendige besøg i skak.

Krav til rapportering af sikkerhedspolitik

Medarbejdere skal forstå, hvad de skal rapportere, hvordan de skal rapportere det, og hvem de skal rapportere det til. Der bør offentliggøres klare instruktioner. Uddannelse bør implementeres i politikken og gennemføres for at sikre, at alle medarbejdere forstår rapporteringsprocedurerne.

Giv dit team beføjelser

En nøgle til at skabe effektive politikker er at sørge for, at politikkerne er klare, nemme at overholde og realistiske. Politikker, der er alt for komplicerede eller kontrollerende, vil tilskynde folk til at omgå systemet. Hvis du kommunikerer behovet for informationssikkerhed og giver dine medarbejdere mulighed for at handle, hvis de opdager et sikkerhedsproblem, vil du udvikle et sikkert miljø, hvor oplysningerne er sikre.