Политики безопасности — набор правил и параметров для регулирования безопасности цифровых систем (операционных систем, программ, сетей, устройств и т. д.).
Политики безопасности задает и настраивает администратор системы.
Термин «политика безопасности» также используется для обозначения документа, регулирующего вопросы безопасности. В случае, когда политика безопасности (документ) существует, политики безопасности (настройки) являются одним из способов технической реализации этого документа.
Зачем нужны политики безопасности
Политики безопасности позволяют централизованно управлять настройками безопасности цифровых систем и исключать сценарии, при которых пользователь самостоятельно устанавливает уязвимые настройки, например слабые или скомпрометированные пароли. Также политики сужают поверхность атаки на системы организации, например запрещают неавторизованным пользователям доступ к чувствительным данным, фильтруют входящий трафик и т. д.
При этом избыточное количество политик безопасности может затруднять работу организации (например, слишком жесткие политики могут распознать легитимное действие как злонамеренное и заблокировать его). Оптимальный набор политик безопасности определяет администратор цифровой системы с учетом ее архитектуры и возможностей, а также спектра решаемых с ее помощью задач.
Что регулируют политики безопасности
Политики безопасности могут относиться к конкретному объекту или пользователю, а также к группе объектов одного класса. Такая категоризация обеспечивает возможность детальной настройки доступа, разрешений и других параметров конфигурации.
С точки зрения выполняемых задач можно выделить следующие виды политик безопасности.
- Политики контроля доступа определяют, какие пользователи могут получить доступ к определенным ресурсам и какие действия им разрешено выполнять.
- Политики контроля сетевого трафика определяют, какой трафик должен быть разрешен или заблокирован, на основании номеров портов, IP-адресов, сетевых протоколов и других данных.
- Политики аудита безопасности определяют, какие типы событий необходимо заносить в журнал.
- Политики, регулирующие установку программного обеспечения и драйверов. Такие политики позволяют контролировать то, какие приложения пользователи могут устанавливать и запускать в системе.
- Парольные политики определяют ограничения на пароли: минимальную длину, необходимые типы символов, сроки действия, какое количество предыдущих паролей система помнит и не позволяет использовать повторно.
- Политики защиты данных определяют меры по защите конфиденциальной информации от несанкционированного доступа, модификации или уничтожения. Сюда входят правила, касающиеся шифрования и маскирования данных.