Autor: Artur Lewandowski Promotor: dr inż. Krzysztof Różanowski
Przegląd oraz porównanie standardów bezpieczeństwa ISO 27001, COSO, COBIT, ITIL, ISO 20000 Przegląd normy ISO 27001 szczegółowy opis wraz z interpretacją zapisów Implementacja systemu zgodnie z normą ISO 27001 Opis procesu wdrożenia systemu, oraz wskazówki praktyczne Analiza stanu organizacji pod kątem wdrożenia SZBI wg 27001 Identyfikacja istniejących zabezpieczeń Ocena poziomu wdrożonych mechanizmów bezpieczeństwa Identyfikacja procesów biznesowych organizacji Opis techniki pozyskania danych odnośnie procesów biznesowych firmy
Projekt SZBI Struktura dokumentacji systemu Struktura organizacyjna systemu, podstawowe funkcje i zakresy odpowiedzialności Analiza ryzyka Omówienie różnych podejść do analizy ryzyka Propozycja metodyki oraz przeprowadzenie analizy ryzyka Metryki pomiary, ocena bezpieczeństwa Propozycja zestawu metryk dla budowanego SZBI Dokumentacja SZBI Spis dokumentów wymaganych przez normę ISO/IEC 27001 Opis zawartości każdego dokumentu i wskazówki realizacji Załączniki Przykładowe dokumenty Dokumentacja przeprowadzonych analiz
Ta część całościowego systemu zarządzania, oparta na podejściu wynikającym z ryzyka biznesowego, odnosząca się do ustanawiania, wdrażania, eksploatacji, monitorowania, utrzymywania i doskonalenia bezpieczeństwa organizacji. SZBI obejmuje: Strukturę organizacyjną Polityki Zaplanowane działania Zakresy odpowiedzialności Praktyki, Procedury, Procesy i zasoby
Zainteresowane strony Zaplanuj (Plan) Ustanowienie SZBI Zainteresowane strony Wymagania i oczekiwania dotyczące bezpieczeństwa informacji Wykonuj (Do) Wdrożenie i eksploatacja SZBI Sprawdzaj (Check) Monitorowanie i przegląd Działaj (Act) Utrzymanie i doskonalenie SZBI Zarządzanie bezpieczeństwem informacji
1. Polityka bezpieczeństwa 2. Zakres SZBI 3. Procedury i zabezpieczenia wspomagające SZBI 4. Opis metodyki szacowania ryzyka 5. Raport z procesu szacowania ryzyka 6. Plan postępowania z ryzykiem 7. Procedury potrzebne organizacji do zapewnienia skutecznego planowania, eksploatacji i sterowania procesami bezpieczeństwa informacji 8. Opis pomiaru skuteczności zabezpieczeń 9. Deklaracja stosowania
Kluczowe funkcje w SZBI Administrator danych Zarząd Pełnomocnik Zarządu d/s zarządzania bezpieczeństwem (CISO) Forum Bezpieczeństwa Administrator Bezpieczeństwa Informacji (ABI) Inspektor bezpieczeństwa teleinformatycznego Właściciel Biznesowy aktywów Kluczowy użytkownik Administrator Użytkownik
Jakich zabezpieczeń organizacja używa? Jaki jest poziom stosowanych zabezpieczeń? Jakie są szanse na powodzenie wdrożenia SZBI? Ile pracy należy włożyć, aby to osiągnąć? Ile to będzie kosztowało? Ile będzie trwało? I inne.
Poziom Nazwa Opis 0 Nie Całkowity brak komponentu. Organizacja nie zdaje sobie sprawy, że występuje rozwiązanie powinno zostać wdrożone. 1 Początkowy Organizacja zdaje sobie sprawę, że rozwiązanie powinno zostać wdrożone. Nie istnieją jednak zdefiniowane procesy a jedynie podejście ad-hoc. Zła organizacja podejścia do zarządzania w tym obszarze. Pytanie Zał. A A.5 Polityka bezpieczeństwa 5.1 Polityka bezpieczeństwa informacji Nie występuje Początkowy Ograniczony Zdefiniowany Zarządzany Optymalny Poza zakresem Zaawansowanie 0,00 % 2 Ograniczony 3 Zdefiniowany 4 Zarządzany 5 Optymalny Został zdefiniowany proces uwzględniający dany komponent. Jest on jednak realizowany przez różne osoby i jego wynik zależy od osoby realizującej. Brak szkoleń w zakresie standaryzacji stosowanych procedur. Z tego powodu występuje prawdopodobieństwo błędów. Istnieją zestandaryzowane, udokumentowane i zakomunikowane procedury. Postępowanie zgodnie z tymi procedurami nie jest jednak kontrolowane istnieje, więc małe prawdopodobieństwo wykrycia odstępstw od procedury. Procesy podlegają ciągłemu doskonaleniu. Można je monitorować i wykonywać pomiary zgodności z oczekiwaniami. Ograniczone wykorzystanie narzędzi i automatyzacji. Procesy są udoskonalone w wyniku ciągłego doskonalenia i stosowania najlepszych praktyk. Są porównywane do innych firm z danego sektora. Wykorzystuje się automatyzację działań. Umożliwia to organizacji szybką adaptacje do zmieniających się warunków. 6 Nie dotyczy Nie dotyczy - dany obszar nie był badany Czy organizacja posiada i stosuje politykę 5.1.1 bezpieczeństwa lub inny dokument określający zasady bezpieczeństwa informacji? Czy dokument, o którym mowa w poprzednim 5.1.2 punkcie jest przeglądany i aktualizowany? A.6 Organizacja bezpieczeństwa informacji 6.1 Organizacja wewnętrzna Cel: Zarządzanie Czy kierownictwo organizacji wyraża swoje 6.1.1 wsparcie w zakresie wdrażania systemu bezpieczeństwa informacji? Czy działania dotyczące bezpieczeństwa informacji są 6.1.2 koordynowane w ramach organizacji? Czy zostały określone odpowiedzialności w 6.1.3 zakresie bezpieczeństwa informacji Czy istnieje proces autoryzacji przez kierownictwo 6.1.4 nowych środków przetwarzania informacji. 1 1 1 1 1 1 45,45 %
Obszar bezpieczeństwa 5. Polityka bezpieczeństwa 2 0 0 0 0 0 0 2 6. Organizacja bezpieczeństwa informacji 6 0 4 1 0 0 0 11 7. Zarządzanie aktywami 3 1 0 0 0 0 0 4 8. Bezpieczeństwo zasobów ludzkich 5 0 2 1 0 0 0 8 9. Bezpieczeństwo fizyczne i środowiskowe 3 0 7 1 2 0 0 13 10. Zarządzanie systemami i sieciami 16 0 14 1 1 0 0 32 11. Kontrola dostępu 12 0 10 1 0 2 0 25 12. Pozyskiwanie, rozwój i utrzymanie systemów informacyjnych 8 1 7 0 0 0 0 16 13. Zarządzanie incydentami związanymi z bezpieczeństwem informacji 4 0 1 0 0 0 0 5 14. Zarządzanie ciągłością działania 5 0 0 0 0 0 0 5 15. Zgodność 5 0 3 2 0 0 0 10 Suma 69 2 48 7 3 2 0 131 Nie występuje Początkowy Ograniczony Zdefiniowany Zarządzany Optymalny Poza zakresem Suma Nie występuje Początkowy Ograniczony Zdefiniowany Zarządzany Optymalny Poza zakresem Suma Suma 69 2 48 7 3 2 0 131 2 48 7 3 2 62 Wdrożone 69 69 Należy wdrożyć Zabeczenia
Wstępna analiza ryzyka (ang. High level risk analysis) - Odpowiedź na temat krytyczności danego systemu lub procesu w kontekście prowadzonego biznesu. Metoda podstawowego zestawu zabezpieczeń (ang. baseline approach) - Zestaw zabezpieczeń buduje się w oparciu o uznane standardy i dobre praktyki z dziedziny bezpieczeństwa NIE NIE NIE Ogólna ocena ryzyka Czy aktywo wspiera kluczowe procesy biznesowe? Czy aktywo przetwarza krytyczne dane dla biznesu? aktywa? TAK TAK TAK Szczegółowa analiza ryzyka - Stosowana jest dla aktywów o znaczeniu krytycznym dla biznesu. NIE Czy proces wykorzystuje kosztowne elementy informatyczne TAK
Identyfikacja aktywów i ich właścicieli; Identyfikacja zagrożeń dla tych aktywów; Identyfikacja istniejących zabezpieczeń; Ocena podatności (prawdopodobieństwo naruszenia integralności, poufności i dostępności) Ocena skutków utraty poufności, integralności i dostępności w odniesieniu do aktywów; Szacowanie ryzyka; Opracowanie rekomendacji;
Narażenie na ryzyko Stopień wdrożenia polityki bezpieczeństwa Efektywność działania systemu zarządzania bezpieczeństwem Wskaźnik poziomu bezpieczeństwa Opóźnienie poświadczenia bezpieczeństwa Poziom zdefiniowania ról i odpowiedzialności w obszarze bezpieczeństwa Skuteczność kontroli fizycznej do chronionych pomieszczeń Wykorzystanie zasobów sieciowych Stopień wdrożenia zabezpieczeń Użytkownicy uprzywilejowani Stopień błędów dot. krytycznych danych przedsiębiorstwa. Procent incydentów bezpieczeństwa Liczba dni miedzy incydentami bezpieczeństwa o szczególnym znaczeniu Stopień skoordynowania planów ciągłości działania. Czas odtworzenia działalności biznesowej Poziom bezpieczeństwa urządzeń osobistych Poziom nadużyć związanych aktywnością internetową pracowników
Nazwa metryki Skuteczność kontroli fizycznej chronionych pomieszczeń. 4 System zarządzania bezpieczeństwem informacji 5- Polityka bezpieczeństwa informacji 6- Organizacja bezpieczeństwa informacji Główny zainteresowany Źródło informacji Sposób obliczania Zalecana częstotliwość pomiaru Kierownicy ochrony, Oficer bezpieczeństwa Raporty z system kontroli pomieszczeń. Raporty incydentów związanych z nieuprawnionym dostępem lub próbami dostępu nieuprawnionego. Ilość nieuprawnionych prób dostępu / ilość wszystkich prób dostępu. Wskaźnik wyliczany codziennie. Raportowanie w cyklu miesięcznym. Wskaźnik pozwala na monitorowanie problemów Załącznik A Cele stosowania zabezpieczeń i zabezpieczenia normy ISO/IEC 27001 Uwagi 7- Zarządzanie aktywami 8- Bezpieczeństwo zasobów ludzkich 9- Bezpieczeństwo fizyczne i środowiskowe 10 Zarządzanie systemami i sieciami 11- Kontrola dostępu 12 Pozyskanie i rozwój systemów informacyjnych 13 Zarządzanie incydentami związanymi z bezpieczeństwem informacji 14 Zarządzanie ciągłością działania 15 Zgodność Analiza prób nieautoryzowanego dostępu do chronionych stref może ujawniać przypadki systematycznych prób przełamania dostępu, przypadki współdzielenia kart dostępu itp. Zapisy kontroli dostępu powinny być systematycznie związanych z próbami przełamania zabezpieczeń i skrupulatnie przeglądane, aby zminimalizować ryzyko sytuacji, Cel pomiaru kontroli dostępu fizycznego. Ochrona fizyczna powinna stale monitorować ten parametr. gdy dana osoba uzyskuje dostęp do chronionych pomieszczeń w nieuprawniony sposób.
Wiedza, która nie jest łatwo dostępna. Poradnik dla osób, które są odpowiedzialne za wdrożenie SZBI lub które zastanawiają się nad wdrożeniem takiego systemu w swojej firmie. Praktyczna wiedza bazująca na własnych doświadczeniach we wdrażaniu SZBI w organizacji, oraz na wiedzy ekspertów z tej dziedziny. Podejście systemowo procesowe, które daje duże szanse na powodzenie wdrożenia i utrzymania SZBI w organizacji. Kompleksowe podejście do ochrony informacji.