Zaadresowanie bezpieczeństwa informacji w projektach podmiotów publicznych wymagania Krajowych Ram Interoperacyjności Warszawa, 14 kwietnia 2014 Michał Tabor Dyrektor ds. Operacyjnych CISSP Ekspert PIIT Konferencja Wybór właściwej metodyki zarządzania projektem oraz ryzykiem związanym z jego realizacją
Agenda Zarządzanie bezpieczeństwem infomracji Bezpieczeństwo informacji a projekt 2
Czy ten rower jest bezpieczny? 3
A może są nowe zagrożenia
Definicja bezpieczeństwa Koszty zabezpieczeń Wartość aktywów Prawdopodobieństwo utraty
INTEGRALNOŚĆ POUFNOŚĆ DOSTĘPNOŚĆ Filary bezpieczeństwa BEZPIECZEŃSTWO 6
Jak wygląda bezpieczeństwo w aktualnych projektach KRI Danych osobowych Ustawy System teleinformatyczny musi zapewnić bezpieczeństwo Standardy Najlepsze praktyki 7
Krajowe Ramy Interoperacyjności 15. 1. Systemy teleinformatyczne używane przez podmioty realizujące zadania publiczne projektuje się, wdraża oraz eksploatuje z uwzględnieniem ich funkcjonalności, niezawodności, używalności, wydajności, przenoszalności i pielęgnowalności, przy zastosowaniu norm oraz uznanych w obrocie profesjonalnym standardów i metodyk. 2. Zarządzanie usługami realizowanymi przez systemy teleinformatyczne ma na celu dostarczanie tych usług na deklarowanym poziomie dostępności i odbywa się w oparciu o udokumentowane procedury. 8
Krajowe Ramy Interoperacyjności 2. Zarządzanie bezpieczeństwem informacji 20. 1. Podmiot realizujący zadania publiczne opracowuje i ustanawia, wdraża i eksploatuje, monitoruje i przegląda oraz utrzymuje i doskonali system realizowane zarządzania bezpieczeństwem jest w szczególności informacji zapewniający przez poufność, dostępność zapewnienie i integralność przez informacji kierownictwo z uwzględnieniem podmiotu takich atrybutów, jak autentyczność, rozliczalność, niezaprzeczalność i niezawodność. publicznego warunków umożliwiających 2. Zarządzanie bezpieczeństwem informacji realizowane jest w szczególności realizację przez i egzekwowanie zapewnienie przez kierownictwo następujących podmiotu publicznego działań: warunków umożliwiających realizację i egzekwowanie następujących działań: 1) zapewnienia aktualizacji regulacji wewnętrznych w zakresie dotyczącym zmieniającego się otoczenia; 2) utrzymywania 3) przeprowadzania okresowych analiz ryzyka 4) podejmowania działań. 9
Bezpieczeństwo a projekty Orgnanizacja (podmiot publiczny) Przywództwo Obszar bezpieczeństwa informacji Role i odpowiedzi alności Dokumenty Projekt Zarządzanie ryzykiem Produkt projektu system teleinform atyczny 10
11
Cykl Deminga Ustanowienie kontekstu Utrzymanie i doskonalenie procesu Szacowanie ryzyka Opracowanie planu postępowania Akceptowanie ryzyka Monitorowanie i przegląd Wdrożenie planu postępowania 12
Ustanowienie kontekstu Identyfikacja wymagań zewnętrznych i wewnętrznych dotyczących bezpieczeństwa przetwarzanych informacji Określenie zakresu funkcjonowania systemu bezpieczeństwa informacji Określenie celów i kierunków systemu zarządzania bezpieczeństwem informacji 13
Przywództwo Przywództwo i zaangażowanie Najwyższe kierownictwo powinno demonstrować działania nadzorcze i zaangażowanie Polityka Najwyższe kierownictwo powinno ustanowić politykę bezpieczeństwa informacji Role organizacyjne, odpowiedzialności i uprawnienia Najwyższe kierownictwo powinno zapewnić że odpowiedzialności i uprawnienia ról w zakresie zarządzania bezpieczeństwem informacji są przydzielone i zakomunikowane. 14
Planowanie 6.1 Działania w zakresie zarządzania ryzykiem i możliwości Ustanowienie procesu szacowania ryzyka Analiza i ocena ryzyka Ustanowienie procesu postępowania z ryzykiem 6.2 Cele w zakresie bezpieczeństwa informacji i planowanie działań umożliwiających ich osiągnięcie 15
Bezpieczeństwo a ryzyko Każda działalność obarczona jest ryzykiem Zarządzając ryzykiem zwiększamy bezpieczeństwo Zwiększając bezpieczeństwo redukujemy poziom ryzyka 16
Zarządzanie ryzykiem Zarządzanie ryzykiem jest procesem naturalnym! 17
Zarządzanie ryzykiem USTANOWIENIE KONTEKSTU Podejście procesowe! SZACOWANIE RYZYKA ANALIZA RYZYKA Ustanowienie kontekstu IDENTYFIKOWANIE RYZYKA Szacowanie ryzyka INFORMOWANIE O RYZYKU PUNKT DECYZYJNY RYZYKA 1 szacowanie satysfakcjonujące ESTYMOWANIE RYZYKA OCENA RYZYKA NIE MONITOROWANIE I PRZEGLĄD RYZYKA Identyfikowanie ryzyka Estymowanie ryzyka Ocena ryzyka Postępowanie z ryzykiem TAK Monitorowanie i przegląd POSTEPOWANIE Z RYZYKIEM Informowanie o ryzyku PUNKT DECYZYJNY RYZYKA 2 postępowanie satysfakcjonujące NIE TAK AKCEPTOWANIE RYZYKA KONIEC PIERWSZEJ LUB NASTEPNEJ ITERACJI 18
Zarządzanie ryzykiem USTANOWIENIE KONTEKSTU Podejście procesowe! SZACOWANIE RYZYKA ANALIZA RYZYKA Ustanowienie kontekstu IDENTYFIKOWANIE RYZYKA Szacowanie ryzyka INFORMOWANIE O RYZYKU PUNKT DECYZYJNY RYZYKA 1 szacowanie satysfakcjonujące ESTYMOWANIE RYZYKA OCENA RYZYKA NIE MONITOROWANIE I PRZEGLĄD RYZYKA Identyfikowanie ryzyka Estymowanie ryzyka Ocena ryzyka Postępowanie z ryzykiem TAK Monitorowanie i przegląd POSTEPOWANIE Z RYZYKIEM Informowanie o ryzyku PUNKT DECYZYJNY RYZYKA 2 postępowanie satysfakcjonujące NIE TAK AKCEPTOWANIE RYZYKA KONIEC PIERWSZEJ LUB NASTEPNEJ ITERACJI 19
Ustanowienie kontekstu 20
Szacowanie ryzyka 21
Postępowanie z ryzykiem 22
Monitorowanie i raportowanie ryzyka 23
Zarządzanie bezpieczeństwem informacji a projekty 24
Zarządzanie bezpieczeństwem informacji a projekty 25
Na koniec Kontekst bezpieczeństwa informacji powinien zostać zaplanowany na początku projektu 26
Q&A Pytania i odpowiedzi Dziękuję za uwagę Michał Tabor michal.tabor@ticons.pl www.ticons.pl 27