Aneks A, deo 13: A.7.5–7.7 — Bezbedne zone i radna okolina

Trinaesti deo serije o Aneksu A. Nastavljamo unutar fizičkog prostora firme — od toga kako se štiti od prirodnih i tehničkih pretnji, do naizgled sitnih svakodnevnih navika koje odlučuju da li ostaje bezbedan iz sata u sat.

Šta ove kontrole traže

A.7.5 — Zaštita od fizičkih i ekoloških pretnji. Treba projektovati i primeniti zaštitu od pretnji poput prirodnih katastrofa, zlonamernih napada ili nezgoda — požar, poplava, nestanak struje, i slično.

A.7.6 — Rad u bezbednim zonama. Treba definisati i primeniti bezbednosne mere za rad unutar bezbednih zona — pravila ponašanja, ne samo ko sme da uđe.

A.7.7 — Čist radni sto i čist ekran. Treba definisati i sprovoditi pravila o tome da se papiri i prenosivi mediji ne ostavljaju nezaštićeni na radnom stolu, i da ekrani ne ostaju otključani bez nadzora.

Zašto su ove kontrole bitne

Fizička bezbednost često prestaje na ulaznim vratima u glavama ljudi koji je planiraju — dobra brava, i priča je gotova. Ove tri kontrole pokazuju da posao tu tek počinje: prostor treba i da izdrži nezgode, i da ima jasna pravila ponašanja dok se u njemu radi, i da ostane bezbedan čak i u sitnim, svakodnevnim trenucima kad niko posebno ne obraća pažnju.

Primer iz prakse

A.7.5, pouka iz nestanka struje: setite se višednevnog nestanka struje opisanog u delu serije o kontinuitetu poslovanja. Agencija je posle tog iskustva razmotrila i ovu kontrolu — nabavila je uređaj za neprekidno napajanje (UPS) za lokalni server. Ne da bi server radio satima bez struje, nego da omogući ispravno gašenje umesto naglog prekida usred rada, koji bi mogao oštetiti podatke koji se u tom trenutku obrađuju.

A.7.6, pravila za rad unutar zone, ne samo ulazak: kad spoljni IT saradnik povremeno dolazi u kancelariju radi tehničke podrške, nikad ne ostaje sam u radnom prostoru — neko iz tima je uvek prisutan dok on ima fizički pristup računarima, čak i kad je zadatak potpuno rutinski. Ovo nije nepoverenje prema saradniku, nego dosledna primena pravila da se u bezbednoj zoni niko, uključujući poznate i pouzdane saradnike, ne ostavlja bez nadzora dok ima pristup opremi.

A.7.7, otkriće koje nije imalo veze sa hakerima: agencija je uvela pravilo da se nijedan fizički dokument sa podacima klijenata ne ostavlja na stolu preko noći — sve se vraća u zaključani ormar opisan u prethodnom delu serije pre nego što poslednja osoba napusti kancelariju, a ekrani se automatski zaključavaju posle nekoliko minuta neaktivnosti. Povod za ovo pravilo nije bio nikakav napad, nego jednostavno zapažanje: čistačica koja dolazi uveče, posle radnog vremena, ima legitiman razlog da bude u kancelariji, ali nema nikakav razlog da vidi finansijske podatke klijenata razbacane po stolovima. Treća strana sa opravdanim pristupom prostoru ne znači i opravdan pristup onome što je na stolu.

Gde se dokumentuje

A.7.5 dokumentuje se kroz kratak popis preduzetih mera — UPS uređaj, protivpožarni aparat, i slično — bez potrebe za opsežnim planom za svaku zamislivu katastrofu. A.7.6 dokumentuje se kao kratko pravilo, često deo iste tematske politike o fizičkoj bezbednosti pomenute u prethodnom delu serije. A.7.7 dokumentuje se kao jednostavno, lako pamtljivo pravilo — dovoljno je da bude jasno komunicirano i da se povremeno proveri kroz spot-provere opisane u delu serije o nezavisnoj proveri, ne kroz formalan dokument koji niko ne čita.

Najčešća greška

Najčešća greška kod A.7.5 je razmišljanje o fizičkoj zaštiti tek posle prve nezgode, umesto unapred — mada je, kao u primeru iznad, i naknadno preduzeta mera bolja od nikakve. Kod A.7.6, greška je poverenje zasnovano isključivo na tome koliko dugo nekog poznajete, umesto na doslednom pravilu koje važi za svakoga podjednako, uključujući i najpouzdanije saradnike. Kod A.7.7, najčešća greška je posmatranje čistog stola kao estetskog pitanja, ne bezbednosnog — dok primer sa čistačicom pokazuje da je rizik sasvim stvaran, samo dolazi od nekoga ko nikad nije ni pomišljan kao pretnja.

Šta sledi

Sledeći deo serije ide na kontrole A.7.8–7.9 i A.7.11–7.13 — zaštitu opreme, gde prelazimo sa prostora u celini na pojedinačne uređaje koje ta oprema uključuje.