Policy (پالیسی) چیست و چطور اعمال می‌شود؟

در هر سازمانی که تعداد سیستم ها، کاربران و سرویس های تحت مدیریت از چند دستگاه بیشتر میشود، یک مشکل دیر یا زود خودش را نشان میدهد: نمیتوان امنیت را روی تک تک سیستم ها و بر اساس تصمیم های لحظه ای مدیریت کرد. ممکن است یک کاربر فایل ناشناسی را دانلود کند، سیستم دیگری با نسخه قدیمی نرم افزار کار کند یا روی یک کامپیوتر، تنظیمات امنیتی متفاوتی نسبت به بقیه وجود داشته باشد. اگر هر سیستم مسیر خودش را داشته باشد، کنترل امنیتی سازمان عملا به مجموعه ای از تصمیمه ای پراکنده تبدیل میشود. با ما در وبلاگ آتنا همراه باشید.

اینجاست که مفهوم Policy یا “سیاست امنیتی” اهمیت پیدا میکند.

Policy در محصولات امنیتی، مجموعه ای از قوانین و تنظیماتی است که مشخص میکند یک Endpoint، کاربر یا گروهی از سیستم ها باید دقیقا چه رفتاری داشته باشند. برای مثال، سازمان میتواند تعیین کند اسکن های امنیتی با چه فاصله ای انجام شوند، چه نوع فایل هایی بررسی شوند، رفتار سیستم در برابر تهدیدات چگونه باشد و کاربران چه سطحی از دسترسی را داشته باشند.

Policy فقط یک تنظیم ساده نیست

یکی از اشتباهات رایج این است که Policy را مجموعه ای از گزینه های نرم افزاری بدانیم. در یک محیط سازمانی، Policy در واقع ترجمه سیاست امنیتی سازمان به تنظیمات قابل اجراست.

وقتی سازمان تصمیم میگیرد استفاده از حافظه های USB روی سیستم های حساس محدود شود، این تصمیم باید در قالب یک قانون مشخص در کنسول مدیریتی تعریف شود. یا اگر قرار باشد سیستم های واحد مالی سختگیرانه تر از سایر بخشها محافظت شوند، میتوان برای آنها پالیسی جداگانهای در نظر گرفت.

این ساختار باعث می شود تیم IT به جای تغییر دستی تنظیمات صدها سیستم، یک قانون را در سطح مرکزی تعریف و آن را روی گروه مشخصی از Endpointها اعمال کند.

Policy چگونه اعمال میشود؟

در راهکارهای امنیتی سازمانی، Policy معمولا از طریق یک Management Console مرکزی مدیریت میشود. مدیر امنیت ابتدا گروه یا سیستم های موردنظر را مشخص میکند و سپس تنظیمات لازم را برای آن گروه تعریف میکند.

پس از ثبت Policy، تنظیمات از طریق Agent نصب شده روی Endpointها به سیستم ها منتقل می شوند. در نتیجه، هر سیستم مطابق سیاستی که برای آن در نظر گرفته شده است، رفتار میکند.

مزیت اصلی این روش، مدیریت متمرکز است. اگر سازمانی هزاران Endpoint داشته باشد، تغییر یک قانون امنیتی نباید به معنای مراجعه به تک تک سیستمها باشد. تغییر در کنسول مدیریتی انجام می شود و Agentها تنظیمات جدید را دریافت می کنند.

آیا همه سیستم ها باید یک Policy داشته باشند؟

خیر. اتفاقا یکی از نقاط قوت مدیریت Policy، امکان تعریف سیاست های مختلف برای گروههای مختلف است.

برای مثال، سیستم های واحد مالی، سرورها، لپتاپ مدیران ارشد و سیستم های عمومی کاربران میتوانند Policyهای متفاوتی داشته باشند. میزان محدودیت دسترسی، شدت بررسی ها، کنترل تجهیزات جانبی و نحوه برخورد با تهدیدها میتواند بر اساس ریسک هر گروه تنظیم شود.

این موضوع به سازمان اجازه میدهد بین امنیت و قابلیت استفاده تعادل ایجاد کند. اگر یک Policy بیش از حد سختگیرانه باشد، ممکن است کار روزمره کاربران را مختل کند؛ اگر بیش از حد ساده باشد، بخشی از سطح محافظت از بین میرود.

یک پالیسی خوب چه ویژگیای دارد؟

Policy خوب، لزوما پالیسی ای نیست که بیشترین محدودیت را اعمال کند. مهمتر از سختگیری، این است که سیاست تعریف شده با ساختار واقعی سازمان و سطح ریسک آن هماهنگ باشد.

همچنین Policy باید قابل مدیریت و برنامه ریزی باشد. مدیر امنیت باید بتواند مشخص کند چه Policy ای روی کدام سیستم اعمال شده، چه زمانی تغییر کرده و نتیجه این تغییر چه بوده است.

در نهایت، Policy یکی از ابزارهای اصلی تبدیل استراتژی امنیتی به یک سازوکار اجرایی است. سازمان به جای اینکه فقط بگوید “امنیت باید رعایت شود”، مجموعه ای از قوانین مشخص تعریف میکند که سیستم ها و کاربران بر اساس آنها عمل کنند.

در محیطهای سازمانی، همین تفاوت بین “داشتن ابزار امنیتی” و “مدیریت واقعی امنیت” است.