Eksploatacja zasobów informatycznych przedsiębiorstwa

Ochrona zasobów

Ochrona zasobów Obejmuje ochronę: Zagrożenia: Systemów komputerowych, Ludzi, Oprogramowania, Informacji. Zagrożenia: Przypadkowe, Celowe.

Zagrożenia zamierzone Pasywne: monitorowanie, podgląd, Aktywne: Powielanie programów, Oszustwa, Wymuszanie przerw w pracy systemu, Wykorzystanie sprzętu służbowego do celów prywatnych, Ujawnianie i usuwanie informacji gospodarczych.

Zagrożenia losowe Zewnętrzne: Temperatura, wilgotność, Wyładowania atmosferyczne, Awarie (zasilania, klimatyzacji, wodociągowe), Katastrofy Kataklizmy, Wewnętrzne: Błędy administratora, Defekty programowe lub sprzętowe, Błędy użytkowników, Zgubienie, zniszczenie danych.

Zabezpieczenia Fizyczne – zamykane pomieszczenia, szafy, przepustki, identyfikatory, Techniczne – urządzenia i oprogramowanie, alarmy, monitoring, Administracyjne – polityka bezpieczeństwa, analiza zagrożeń i ryzyka, procedury bezpieczeństwa, szkolenia i uświadamianie.

Ocena ryzyka Identyfikacja zagrożeń, Ocena prawdopodobieństwa wystąpienia strat, Ocena podatności zasobów na zagrożenia, Ocena strat i zniszczeń (potencjalnych), Identyfikacja działań minimalizujących ryzyko i potencjalne straty, Dokumentowanie, Opracowanie planów działań prewencyjnych.

Polityka zabezpieczania Polityka ogólnego planu zabezpieczeń, (Na wysokim poziomie ogólności) Polityka struktury programu zabezpieczeń, (Specyficzna dla każdej organizacji) Polityka zorientowana na przedsięwzięcia, (Skoncentrowana na zadaniach bieżących organizacji) Polityka zorientowana na systemy (Na poziomie ewidencji zasobów i zagrożeń). Według: National Institute of Standards and Technology (NIST) USA

Strategie zabezpieczania Fazy wdrażania strategii: Zrozumienie sytuacji obecnej, Zdefiniowanie środowiska najbardziej pożądanego, Ocena rozwiązań alternatywnych, najbardziej pożądanych, ocena ryzyka, Określenie najlepszej procedury postępowania, Rozpoczęcie wykonania planu.

Kategorie zabezpieczeń Kategoria A – ochrona zweryfikowana (formalna specyfikacja projektu zabezpieczeń i formalny model polityki zabezpieczeń), Kategoria B – ochrona narzucona (bezpieczeństwo wielopoziomowe, dostęp narzucony), Kategoria C – ochrona uznaniowa (użytkownik może odebrać lub nadać komuś innemu prawa dostępu), Kategoria D – ochrona minimalna (nie zawiera mechanizmów zabezpieczających). Według: Ministerstwo Obrony USA; raport: Kryteria oceny wiarygodności systemów komputerowych (Orange Book).

Kryteria oceny systemów informatycznych Poufność – ochrona przed ujawnieniem informacji, Integralność – ochrona przed modyfikacją, Dostępność – gwarancja uprawnionego dostępu, Rozliczalność – określenie i weryfikacja odpowiedzialności, Autentyczność – weryfikacja tożsamości, Niezawodność – gwarancja odpowiedniego zachowania się systemu.

Cz. 1. Polityka bezpieczeństwa informacji System Bezpieczeństwa Informacji Cz. 1. Polityka bezpieczeństwa informacji

System bezpieczeństwa informacji (SBI) Akty prawne Tworzenie dokumentacji SBI Polityka Bezpieczeństwa, Instrukcja Zarządzania Systemem, Inne (zalecenia, instrukcje, procedury). Wdrożenie SBI Eksploatowanie i opieka nad SBI

Dlaczego wdraża się SBI? Wymogi ustawowe Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, Dążenie do doskonalenia organizacji Informacje zawarte w oświadczeniu o intencjach

Polityka Bezpieczeństwa Struktury organizacyjne SBI, Oszacowanie ryzyka, Kształcenie w zakresie bezpieczeństwa informacji, Opis obszaru w którym przetwarzane są informacje, Opis przetwarzanych informacji, Opis środków technicznych i organizacyjnych, Audyty SBI.

Ochrona danych Dane osobowe: „Każda informacja dotycząca osoby fizycznej, pozwalająca na określenie jej tożsamości” Pozostałe dane: Dane finansowe, Dane związane z prowadzoną działalnością, Inne dane „wewnętrzne”.

Oświadczenie o intencjach - dlaczego Mając na uwadze akty prawne dotyczące ochrony danych komputerowych, Uwzględniając szeroko rozumiane dobro klientów, powiązanych instytucji organizacji, własnego przedsiębiorstwa i pracowników, Dążąc do ciągłego rozwoju i usprawniania własnej organizacji,

Oświadczenie o intencjach – deklarowane działania Zdąża się do zapewnienia maksymalnej, możliwej ochrony eksploatowanego systemu informatycznego. Wdrożona zostanie Polityka Bezpieczeństwa i jej postanowienia będą egzekwowane w maksymalnym, uzasadnionym zakresie. Dążyć się będzie do ciągłego podnoszenia poziomu bezpieczeństwa danych przetwarzanych w zasobach informatycznych przedsiębiorstwa.

Zarządzanie informacją (TISM) Pion administracyjny/ informatyczny POLITYKA BEZPIECZEŃSTWA INFORMACJI GRUPY INFORMACJI SYSTEMY PRZETWARZANIA GAI AI AS GABI ABI ABS DYREKTOR Pion bezpieczeństwa GABS

Struktura systemu bezpieczeństwa (TISM) Pion administracyjny GAI AI AS GABI ABI GABS ABS DYREKTOR Pion bezpieczeństwa GRUPA INFORMACJI SYSTEM PRZETWARZANIA POLITYKA BEZPIECZEŃSTWA

Struktura SBI - przykład

Zakres PB (1) 1. CEL I ZAKRES DOKUMENTU 2. DEFINICJA BEZPIECZEŃSTWA INFORMACJI 3. OŚWIADCZENIE O INTENCJACH 4. WYJAŚNIENIE TERMINOLOGII UŻYTEJ W POLITYCE, PODSTAWOWE DEFINICJE, ZAŁOŻENIA 5. ANALIZA RYZYKA 6. OKREŚLENIE OGÓLNYCH I SZCZEGÓLNYCH OBOWIĄZKÓW W ODNIESIENIU DO ZARZĄDZANIA BEZPIECZEŃSTWEM INFORMACJI

Zakres PB (2) 7. OKREŚLENIE DZIAŁÓW ORGANIZACYJNYCH ORAZ STANOWISK ODPOWIEDZIALNYCH ZA WDRAŻANIE I PRZESTRZEGANIE ZASAD POLITYKI 8. WYMAGANIA DOTYCZĄCE KSZTAŁCENIA W DZIEDZINIE BEZPIECZEŃSTWA, ODPOWIEDZIALNE OSOBY, ZAKRES SZKOLENIA 9. SPOSÓB ZGŁASZANIA, KONSEKWENCJE I ODPOWIEDZIALNOŚĆ NARUSZENIA POLITYKI BEZPIECZEŃSTWA 10. ZAKRES ROZPOWSZECHNIANIA DOKUMENTU

Zakres PB (3) 11. WYKAZ BUDYNKÓW, POMIESZCZEŃ LUB CZĘŚCI POMIESZCZEŃ, TWORZĄCYCH OBSZAR, W KTÓRYM PRZETWARZANE SĄ DANE OSOBOWE. 12. WYKAZ ZBIORÓW DANYCH OSOBOWYCH WRAZ ZE WSKAZANIEM PROGRAMÓW ZASTOSOWANYCH DO PRZETWARZANIA TYCH DANYCH. 13. OPIS STRUKTURY ZBIORÓW DANYCH WSKAZUJĄCY ZAWARTOŚĆ POSZCZEGÓLNYCH PÓL INFORMACYJNYCH I POWIĄZANIA MIĘDZY NIMI

Zakres PB (4) 14. OKREŚLENIE POZIOMU BEZPIECZEŃSTWA 15. OKREŚLENIE ŚRODKÓW TECHNICZNYCH I ORGANIZACYJNYCH NIEZBĘDNYCH DLA ZAPEWNIENIA POUFNOŚCI, INTEGRALNOŚCI I ROZLICZALNOŚCI PRZETWARZANYCH DANYCH 16. WEWNĘTRZNY AUDYT BEZPIECZEŃSTWA DANYCH OSOBOWYCH I SYSTEMÓW DO ICH PRZETWARZANIA