Quiero comenzar mi respuesta diciendo que trabajo en Auditoría / Seguridad de TI y esta respuesta se deriva de mi profesión.
Supongo que es una buena idea proporcionar a los usuarios de un sistema (o empleados) políticas y acuerdos con respecto a la seguridad de la información.
Esto no solo es una buena idea, sino que es esencial para proteger su lugar de trabajo. Los beneficios de implementar una política de seguridad de TI empresarial son numerosos, como los que se enumeran a continuación:
- Responsabilidad del usuario
- Protección de responsabilidad
- Protección más efectiva de los datos de la empresa y los activos corporativos
La responsabilidad de los usuarios aumenta considerablemente ya que los usuarios ya no pueden decir "no hay política" o "No entendía / sabía que teníamos una política" La responsabilidad de la empresa se ve algo mitigada debido a la presencia de la responsabilidad de la gerencia como signo apagado en estas políticas implicaría. Finalmente, las políticas y los procedimientos que lo acompañan establecen un método consistente y confiable a través del cual la seguridad de la información se implementa en la empresa.
En cuanto a qué incluir en dicha política, los elementos que se enumeran son buenos para comenzar, pero no son adecuados para el lugar de trabajo moderno.
Las políticas esenciales incluirían entre otras ... pero, en mi opinión, son más críticas:
- respuesta a incidentes
- Continuidad del negocio y recuperación ante desastres
Para implementar cualquiera de estas políticas, debe tener la participación de la empresa y la administración. Sin el compromiso de la parte superior, las políticas no tienen muelles. Al final, la seguridad de TI es esencial, pero en última instancia sirve como una forma de cumplir los objetivos comerciales. IT no puede sobrevivir aislado.