Bezpečnostní politika (2. díl)
Cílem studie by mělo být zhodnocení a popis situace v organizaci z hlediska bezpečnosti, nalezení a pojmenování aktiv společnosti, zhodnocení jejich důležitosti a nalezení největší bezpečnostní chyby.
Součástí je i návrh základních nápravných opatření. Studie může zároveň posloužit jako podklad pro definování a vyhlášení Bezpečnostní politiky organizace.
- již samotný fakt vypracování studie signalizuje vážný zájem organizace zabývat se Informační bezpečností
- komplexní přístup ke všem aspektům bezpečnosti ukáže i na vazby uvnitř společnosti a její fungování
- pohled zvenčí velmi často odhalí a pojmenuje chyby o kterých sice všichni ví, ale „nemluví“ se o nich.
Způsob provedení a získání podkladů ke studii je proveden tak, že organizace vytvoří neformální pracovní skupinu sestavenou se zodpovědných pracovníků jednotlivých oblastí jichž se bezpečnost dotýká a externího zpracovatele studie. Úkolem této skupiny je bořit komunikační bariéry při provádění samotné prohlídky organizace. Informace se získávají formou pohovorů s jednotlivými pracovníky a také vhodně sestavenými dotazníky.
Protože na bezpečnost je nutno pohlížet komplexně, měla by se studie týkat následujících oblastí:
- fyzická bezpečnost
- personální bezpečnost
- bezpečnost IT
- logická bezpečnost
- legislativní otázky
Stanovení rozsahu by mělo být úkolem vedení organizace. Není vhodné se při zpracování studie omezovat jen na některé oblasti, protože bezpečnost je komplexní záležitost. Zužovat zájem na některé vybrané oblasti znamená, že případné problémy nemohou být ani identifikovány. Výsledky této studie mohou být potom použity při stanovení Bezpečnostní politiky organizace a komplexní znalost všech oblastí umožní velmi efektivní přístup při uplatňování této politiky.
Studie popisuje stav bezpečnosti organizace v jednotlivých oblastech. Definuje aktiva organizace a jejich důležitost pro organizaci a způsob nakládání s nimi. Navrhuje základní ochranná opatření, jejichž použití může přinést okamžitý efekt a výrazné zvýšení bezpečnosti. Velmi často patří do těchto opatření organizační změny a definování rolí a zodpovědností na jednotlivých pozicích v organizaci. Studie je zároveň podkladem pro analýzu rizik při vypracování politiky bezpečnosti organizace.
- snížit riziko lidské chyby, krádeže, podvodu nebo zneužití prostředků organizace
- zajistit, aby si uživatelé byli vědomi bezpečnostních hrozeb a otázek s nimi spjatých a byli připravení se podílet na dodržování politiky bezpečnosti informací v průběhu své běžné práce
- minimalizovat škody způsobené bezpečnostními incidenty a chybami, sledovat je a učit se z nich
Aktivem je cokoliv, co má pro organizaci hodnotu. Správné řízení aktiv je pro úspěch organizace životně důležité a je hlavní odpovědností všech úrovní řízení. Aktiva organizace zahrnují:
- fyzická aktiva (např. počítačový hardware, komunikační prostředky, budovy
- informace (dokumenty, databáze,…)
- software
- schopnost vytvářet určité produkty nebo poskytovat služby – know-how
- pracovní sílu, školení pracovníků, znalosti zaměstnanců, zapracování apod.
- nehmotné hodnoty (např. abstraktní hodnota firmy, image, dobré vztahy atd..)
Většina nebo všechna z těchto aktiv mohou být považována za dostatečně cenná na to, aby si zasloužila určitý stupeň ochrany.
Aktiva jsou předmětem mnoha typů hrozeb. Hrozba má schopnost způsobit nežádoucí incident, který může mít za následek poškození systému nebo organizace a jejích aktiv. Hrozby mohou mít přírodní nebo lidský původ a mohou náhodné nebo úmyslné. Škoda způsobená incidentem může být dočasné povahy nebo může být trvalá, jako je tomu v případě zničení, nebo nevratného poškození aktiv.
Velikost škody způsobené hrozbou se může při každém výskytu značně měnit – virus může způsobit různě velkou škodu v závislosti na jeho akcích. Takové hrozby mají často přiřazen i stupeň síly, která je s nimi spojena – virus může být destruktivní nebo nedestruktivní.
Zranitelnosti zahrnují slabá místa v systému, která mohou být hrozbou využita a mohou vést k nežádoucím následkům. To jsou příležitosti, které mohou umožnit hrozbě, aby způsobila škodu. Například absence mechanizmu řízení přístupu je zranitelnost, která by mohla umožnit výskyt hrozby nežádoucího proniknutí k aktivům a jejich ztrátu. Analýza zranitelností je prozkoumání slabých míst, která mohou být využita identifikovanými hrozbami. Zranitelnost konkrétního systému nebo aktiva vůči určité hrozbě je vyjádřením o snadnosti, s kterou může být systém nebo aktivum poškozen.
Dopad je důsledek nežádoucího incidentu, způsobeného buď náhodně nebo úmyslně, který má vliv na aktiva. Následky mohou mít podobu zničení určitých aktiv, poškození systému IT, a ztráty důvěrnosti, integrity, dostupnosti, autenticity, individuální zodpovědnosti nebo spolehlivosti. Měření dopadů umožňuje vytvoření rovnováhy mezi výsledky nežádoucích incidentů a náklady na ochranná opatření a četností jejich výskytu.
Kvantitativní a kvalitativní měření dopadů lze docílit např.:
- stanovením finančních nákladů
- přiřazením empirické stupnice síly, např. 1 – 10
- použitím adjektiv z předem definovaného seznamu, např. nízký, střední, vysoký, …
Riziko je potenciální možnost, že daná hrozba využije zranitelnosti, aby způsobila ztrátu nebo poškození aktiv nebo skupiny aktiv, a tedy přímo nebo nepřímo organizace. Riziko je charakterizováno jako kombinace dvou faktorů, pravděpodobností výskytu nežádoucího incidentu a jeho dopadu. Analýza rizik tedy dále zpřesňuje odhad dopadů v závislosti na jejich četnosti a ukazuje nám místa, kde je nutno aplikovat ochranná opatření a jaké investice na jejich implementaci jsou adekvátní.
Rizika jsou obvykle použitím ochranných opatření pouze zmírněna a z toho vyplývá, že existují zbytková rizika. Součástí posouzení, zda bezpečnost odpovídá potřebám organizace je akceptace zbytkových rizik. Rozhodnutí o akceptaci zbytkových rizik musí učinit ti, kteří jsou oprávněni akceptovat dopad výskytu nežádoucích incidentů a mohou autorizovat implementaci ochranných opatření v případě, že zbytková rizika nejsou akceptovatelná.
Omezení jsou obvykle stanovena nebo rozpoznána vedením organizace a jsou ovlivněna prostředími, ve kterých organizace vyvíjejí svou činnost. Některé příklady omezení, která by měla být vzata v úvahu:
- organizační
- finanční
- personální
- právní
- technická
Tyto faktory musí být při výběru a implementaci ochranných opatření vzaty v úvahu. Časem, sociálním vývojem a kulturou organizace se mohou omezení měnit a proto musí být periodicky prováděny revize.
Odpovědět na příspěvek