Strategie informační bezpečnosti
Ivo Vašíček
Proces systému informační bezpečnosti
ANALÝZA RIZIK inventura aktiv seznam hrozeb a zranitelností
BEZPEČNOSTNÍ AUDIT kontrola shody ověření vhodnosti
STRATEGIE cíle prostředky
IMPLEMENTACE opatření řešení
Neustálé zlepšování
Vyšší cíle
Efektivnější postupy
Rostoucí hrozby
Účinnější opatření
Formulace strategie
1. Přehled požadavků
2. Ověření možností splnění požadavků
3. Stanovení cílů
4. Plán plnění cílů (Určení prostředků a
zodpovědností)
5. Formulace závazného dokumentu (vnitřní předpis)
6. Deklarace úrovně informační bezpečnosti – veřejně
prezentované strategie ISMS
Příprava strategie - 1.
Požadavky zainteresovaných stran Vlastníci, zřizovatelé Management Pracovníci Zákazníci Dodavatelé Veřejnost
Strategie informuje ZS o tom, co mohou očekávat
a co mají garantováno z hlediska ochrany informací !
Zjištění požadavků zainteresovaných stran
K jakým informacím chtějí mít přístup?
Jaké informace nezbytně potřebují?
Jaké informace o nich uchováváme?
Jak si „cení“ svých informací? Jak moc je chtějí chránit?
Vlastníci, zřizovatelé
Přezkoumání zřizovacích dokumentů z hlediska práv zřizovatelů (akcionářů apod.)
Dohody mezi managementem a zřizovateli
Jaké informace musíme komu poskytovat
K jakým informacím musíme umožnit přístup
Jaké informace získáváme od „vlastníků“ a jak je musíme chránit
Management(stanovuje procesy, cíle a přiděluje prostředky)
Přezkoumání organizační struktury a přístupových práv
Stanovení požadované úrovně informační bezpečnosti
Jaké informace musíme komu poskytovat?
K jakým informacím musíme komu umožnit přístup?
Jaké informace chce management chránit? (soupis individuálních
požadavků)
Jaké náklady ochrany informací management očekává?
Pracovníci
Požadavky personalistiky
Výkonné procesy, přístupová práva
Podněty ke zlepšování
Jaké informace o pracovnících musíme uchovávat? (definuje
management)
Jaké informace potřebují pro svoji práci? (ověříme - s
managementem)
Jaké informace potřebují chránit, a proč? (soupis požadavků)
Zákazníci(u úřadu občané)
Obchodní útvary
Realizační útvary (včetně servisních)
Finanční útvary
Jaké informace o zákaznících musíme uchovávat?
Jaké jsou obchodní požadavky na ochranu dat zákazníků?
(smluvní garance ochrany svěřených dat)
K jakým informacím mají mít zákazníci přístup?
Dodavatelé
Obchodní útvary
Realizační útvary (včetně servisních)
Finanční útvary
Jaké informace o dodavatelích musíme uchovávat?
Jaké jsou obchodní požadavky na ochranu dat dodavatelů?
(smluvní garance ochrany svěřených dat)
K jakým informacím mají mít dodavatelé přístup?
Jaké informace dodavatelům svěřujeme a jaké stanovujeme
požadavky na jejich ochranu?
Veřejnost
Platná legislativa
Obchodní a marketingová strategie
Jaké informace musíme uchovávat? (ze zákona)
Jaké informace o okolí potřebujeme uchovávat? (OMS)
Jaké informace musíme poskytovat? (ze zákona)
Jaké informace musíme chránit? (ze zákona)
Jaké jsou podmínky pro pořizování a ochranu informací? (ze
zákona)
Jaké jsou speciální požadavky na ochranu informací? (NBÚ)
Výběr legislativy
Zákon 101-2000Sb. – o ochraně osobních údajů
Zákon 106 -1999Sb. – Svobodný přístup k informacím
Zákon 227-2000Sb. – O elektronickém podpisu
Zákoník práce 262-2006 Sb. v aktuálním znění
….
Ověření možností splnění požadavků - 2.
Přehled aktiv
Seznam požadavků
Návrhy na opatření– Časová náročnost– Zdrojová náročnost (personální, finanční,…)– Výsledek opatření (které požadavky a do jaké míry budou
uspokojeny)
Konsolidovaný návrh (náklady, čas)– Minimální varianta– Optimální varianta– Náklady splnění speciálních požadavků (konkrétní)
Podklady pro rozhodování managementu
Návrhy opatření
Omezení přístupových práv
Použití šifrovacích prostředků
Školení pracovníků
Úpravy procesů
Nákup hardware, software
….
POŽADAVEK NA OCHRANU INFORMACÍ -
PŘIJATELNÁ MÍRA RIZIKA S OHLEDEM NA HROZBY-
ZRANITELNOST A NÁKLADY
Stanovení cílů - 3.
Diskuse s managementem (na základě předloženého návrhu)
– Stanovení úrovně a rozsahu ISMS
– Personální zdroje
– Finanční a jiné prostředky
– Časové rámce
– Kompetence a odpovědnosti
Podklady pro přípravu konkrétního plánu rozvoje ISMS
Schválené cíle
Splnění základních legislativních požadavků
Certifikace ISO 27001
Získání prověrky „TAJNÉ“
Zvýšená ochrana zákaznických dat (garantovaná)
Zvýšená ochrana obchodních informací
Zvýšená ochrana manažerské korespondence
….
Plán plnění cílů - 3.
Určení zdrojů (na základě schválených cílů)
– Konkrétní odpovědnost za cíle
– Stanovení etap, přesný popis cíle
– Finanční plán
– Plán použití zdrojů
– Plán součinností
Určení prostředků a zodpovědností
Podklad pro formulaci dokumentu strategie ISMS a realizaci
strategie
Plán plnění cílů
Analýza
Diskuse návrhu
Úpravy dokumentace
Školení
Ověření
….
Odpovídá, počet hodin práce, náklady na SW, počet hodin
součinnosti, školení…
Formulace závazného dokumentu – 5. (vnitřní předpis)
Odpovědnosti a kompetence
Četnost a rozsah auditů
Metoda a proces– Identifikace aktiv– Analýzy rizik– Řešení incidentů
Výčet závazných postupů a předpisů
Přehled cílů ISMS (odpovědnost, termín, náklady, parametr cíle)
Strategie ISMS zastřešuje veškerý výkon aktivit IB.
Ukázka interní normy:
Bezpeènostní politika spoleènosti
Deklarace úrovně informační bezpečnosti – veřejně prezentované strategie ISMS – 6.
Prezentace stávající a plánované úrovně ISMS
– Jistoty ochrany informací pro zákazníky
– Jistoty ochrany informací pro dodavatele
– Jistoty ochrany informací pro zaměstnance
Strategie informuje ZS o tom, co mohou očekávat a co
mají garantováno z hlediska ochrany informací !
Ukázka veřejné prezentace:
GSM Banking - Zaručení bezpečnosti
Zaručení maximální bezpečnostiSpolečnost T-Mobile provozuje službu T-Mobile GSM Banking od roku 1998. Komunikace mezi bankou a zákazníkem probíhá prostřednictvím kódovaných a šifrovaných SMS zpráv. Tento způsob komunikace s bankou patří mezi absolutně nejbezpečnější ze všech.Služba T-Mobile GSM Banking je prostředkem komunikace mezi zákazníkem a bankou. Obsahem této komunikace jsou informace podléhající bankovnímu tajemství. Největší důraz je kladen na bezpečnost.
Zamezení neoprávněného přístupu Uživatel mobilního telefonu podporujícího bankovní služby obdrží v bance při aktivaci služby T-Mobile GSM Banking (platí pro starší typy karet) či spolu se SIM kartou (platí pro Universal SIM) speciální číselný kód - BPUK. Na základě tohoto kódu si zvolí osobní přístupový kód BPIN. Správným zadáním kódu BPIN je podmíněno provedení všech bankovních operací.
Bezpečnost přenosu dat Přenos dat je zabezpečen šifrováním. Každá bankovní SIM karta má svůj šifrovací klíč, prostřednictvím kterého se provádí zabezpečení komunikace s bankou. Tento klíč je uložen v chráněné oblasti SIM karty a je dostupný pouze po zadání správného kódu BPIN. Odeslaná zpráva z mobilního telefonu je přijata bankou pouze tehdy, pokud je zašifrována správným šifrovacím klíčem.
Garance bezpeènosti a kvality