BEZPIECZEŃSTWO I NIEZAWODNOŚĆ SIECI INFORMATYCZNYCH Kraków, 29.01.2013

Zagrożenia naturalne, techniczne, z działania człowieka – czyli bezpieczeństwo fizyczne i środowiskowe wg ISO 27001. Przegląd wymagań prawnych, standardów i dobrych praktyk. Załącznik A – normatywny do PN-ISO/IEC 27001:2007 A.9 – bezpieczeństwo fizyczne i środowiskowe Cel prezentacji, wystąpienia – wskazanie sposobu poradzenia sobie z zakresem bezpieczeństwa fizycznego, które ma bezpośredni wpływ na bezpieczeństwo informacji w organizacjach. Konferencja – Bezpieczeństwo i Niezawodność sieci informatycznych. Łódź, 21 Listopada

Zasoby, podatności, ryzyka… Czym jest system zarządzania bezpieczeństwem informacji zgodny z ISO 27001? PN-I-13335:1-1999

Postrzeganie bezpieczeństwa (D. Frei) Fałszywe bezpieczeństwo Brak bezpieczeństwa Bezpieczeństwo Obsesja Postrzeganie Poziom rzeczywisty

A.9.1 Obszary bezpieczne Cel: Zapewnienie ochrony przed nieautoryzowanym dostępem fizycznym, uszkodzeniami lub zakłóceniami w siedzibie organizacji w odniesieniu do informacji.

A.9.1.1 Fizyczna granica obszaru bezpiecznego Zabezpieczenie: Granice obszaru bezpiecznego (bariery takie jak ściany, bramki wejściowe, na kartę lub recepcja z obsługą) powinny być stosowane w celu ochrony obszarów zawierających informacje i środki przetwarzania informacji. Przepisy Ustawy o ochronie osób i mienia wraz z Metodyką Uzgadniania Planów ochrony obiektów obszarów i urządzeń podlegających obowiązkowej ochronie. Ustawa o ochronie danych osobowych – obszar przetwarzania.

A.9.1.2 Fizyczne zabezpieczenie wejścia Obszary bezpieczne powinny być chronione przez odpowiednie fizyczne zabezpieczenia wejścia, zapewniające, że tylko autoryzowany personel ma dostęp Przepisy Ustawy o ochronie osób i mienia wraz z Metodyką Uzgadniania Planów ochrony obiektów obszarów i urządzeń podlegających obowiązkowej ochronie. PN-EN 50133 Systemy kontroli dostępu

A.9.1.3 Zabezpieczenie biur, pomieszczeń i urządzeń Należy zaprojektować i stosować ochronę fizyczną biur, pomieszczeń i urządzeń Przepisy Ustawy o ochronie osób i mienia wraz z Metodyką Uzgadniania Planów ochrony obiektów obszarów i urządzeń podlegających obowiązkowej ochronie. PN (różne) 50131 – systemy alarmowe, systemy sygnalizacji włamania i napadu

A.9.1.4 Ochrona przed zagrożeniami zewnętrznymi i środowiskowymi Zabezpieczenie: Należy opracować i stosować ochronę fizyczną przed zniszczeniami powstałymi na skutek pożaru, zalania, trzęsienia ziemi, wybuchu, niepokojów społecznych i innych form naturalnych lub spowodowanych przez człowieka katastrof. Przepisy o ochronie przeciwpożarowej Przepisy Ustawy o ochronie osób i mienia wraz z Metodyką Uzgadniania Planów ochrony obiektów obszarów i urządzeń podlegających obowiązkowej ochronie.

A.9.1.5 Praca w obszarach bezpiecznych Zabezpieczenie Należy opracować i stosować mechanizmy ochrony fizycznej oraz wytyczne do pracy w obszarach bezpiecznych Przepisy Ustawy o ochronie osób i mienia wraz z Metodyką Uzgadniania Planów ochrony obiektów obszarów i urządzeń podlegających obowiązkowej ochronie.

A.9.1.6 Obszary publicznie dostępne, dostaw i załadunku Zabezpieczenie: Punkty dostępu, takie jak obszary dostaw i załadunku oraz inne punkty, przez które nieuprawnione osoby mogą wejść do budynków, należy nadzorować i, jeśli to możliwe, odizolować od środków przetwarzania informacji w celu uniknięcia nieautoryzowanego dostępu. Przepisy Ustawy o ochronie osób i mienia wraz z Metodyką Uzgadniania Planów ochrony obiektów obszarów i urządzeń podlegających obowiązkowej ochronie. Normy ISO 22000, HACCP, GHP etc.

A.9.2 Bezpieczeństwo sprzętu Cel: Zapobieganie utracie, kradzieży lub naruszeniu aktywów oraz przerwaniu działalności organizacji Istotny element – nie ma już informacji o tym, że jest to w siedzibie organizacji.

A.9.2.1 Lokalizacja i ochrona sprzętu Zabezpieczenie: Sprzęt należy rozlokować lub chronić w taki sposób, aby redukować ryzyka wynikające z zagrożeń i niebezpieczeństw środowiskowych oraz możliwości nieautoryzowanego dostępu. Przepisy Ustawy o ochronie osób i mienia wraz z Metodyką Uzgadniania Planów ochrony obiektów obszarów i urządzeń podlegających obowiązkowej ochronie. Przepisy o ochronie przeciwpożarowej

A.9.2.2 Systemy wspomagające Zabezpieczenie Sprzęt należy chronić przed awariami zasilania lub zakłóceniami spowodowanymi awariami systemów wspomagających UDT – w zakresie nadzoru Standardy SEP Przepisy o ochronie przeciwpożarowej

A.9.2.3 Bezpieczeństwo okablowania Zabezpieczenie: Okablowanie zasilające i telekomunikacyjne służące do przesyłania danych lub wspomagające usługi informacyjne należy chronić przed przejęciem lub uszkodzeniem Przepisy Ustawy o ochronie osób i mienia wraz z Metodyką Uzgadniania Planów ochrony obiektów obszarów i urządzeń podlegających obowiązkowej ochronie. Przepisy o UDT – w zakresie nadzoru

A.9.2.4 Konserwacja sprzętu Zabezpieczenie: Sprzęt należy prawidłowo konserwować, aby zapewnić jego dostępność i integralność. Przepisy o UDT – w zakresie nadzoru Zasady konserwacji i użytkowania – instrukcje producenta Zasady BHP i PPOŻ oraz inne związane wynikające z procesu technologicznego

A.9.2.5 Bezpieczeństwo sprzętu poza siedzibą Zabezpieczenie: Sprzęt pozostający poza siedzibą należy chronić przy uwzględnieniu ryzyk związanych z pracą poza siedzibą organizacji. Kodeks Cywilny (umowa przechowania) Ustawa o usługach turystycznych – rozdział 5

A.9.2.6 Bezpieczne zbywanie lub przekazywanie sprzętu do ponownego użycia Zabezpieczenie: Wszystkie składniki sprzętu zawierające nośniki informacji należy sprawdzić, aby przed jego zbyciem upewnić się, że wszelkie informacje wrażliwe i licencjonowane programy zostały usunięte lub bezpiecznie nadpisane.

A.9.2.7 Wynoszenie mienia Zabezpieczenie: Sprzęt, informacje lub oprogramowanie nie powinny być wynoszone bez uprzedniego zezwolenia  Przepisy Ustawy o ochronie osób i mienia wraz z Metodyką Uzgadniania Planów ochrony obiektów obszarów i urządzeń podlegających obowiązkowej ochronie. Instrukcja ruchu materiałowego.

19 wymagań szczegółowych Lista wymagań A.9 A.9.1 Lista kontrolna Instytutu Bezpieczeństwa i Informacji zawiera: 19 wymagań szczegółowych A.9.2 Lista kontrolna Instytutu Bezpieczeństwa i Informacji zawiera: 14 wymagań szczegółowych Piszmy czytelne standardy i zasady. ISO/IEC27001 LK

Podsumowanie Zespół ds. bezpieczeństwa informacji, zgodnie z ISO/IEC 27001: Specjalista IT Specjalista ds. bezpieczeństwa informacji Specjalista ds. ochrony ppoż Specjalista ds. ochrony fizycznej Specjaliści w zakresach właściwych dla procesu technologicznego (bezpieczeństwo techniczne – wymagania i zagrożenia) Specjalista ds. legislacji wewnętrznej Prawnik Inne…?

Dziękuję za udział Grzegorz Krzemiński grzegorz.krzeminski@ibii.eu