Plan prezentacji. Projektowanie i wdrażanie systemów zarządzania bezpieczeństwem informacji zgodnie z ISO/IEC 27003 dokumentacja ISO/IEC 27003:2010



Podobne dokumenty
WZ PW Norma ISO/IEC 27001:2013 najnowsze zmiany w systemach zarzadzania bezpieczeństwem informacji IT security trends

2.11. Monitorowanie i przegląd ryzyka Kluczowe role w procesie zarządzania ryzykiem

Spis treści Wstęp 1. Wprowadzenie 2. Zarządzanie ryzykiem systemów informacyjnych

ISO/IEC ISO/IEC 27001:2005. opublikowana ISO/IEC 27001:2005. Plan prezentacji

Bezpieczeństwo aplikacji i urządzeń mobilnych w kontekście wymagań normy ISO/IEC oraz BS doświadczenia audytora

Systemy zarządzania bezpieczeństwem informacji: co to jest, po co je budować i dlaczego w urzędach administracji publicznej

Autor: Artur Lewandowski. Promotor: dr inż. Krzysztof Różanowski

Promotor: dr inż. Krzysztof Różanowski

Zarządzanie bezpieczeństwem informacji przegląd aktualnych standardów i metodyk

SZCZEGÓŁOWY HARMONOGRAM KURSU DZIEŃ I WPROWADZENIE DO OCHRONY DANYCH OSOBOWYCH

Krzysztof Świtała WPiA UKSW

SZCZEGÓŁOWY HARMONOGRAM KURSU

Doświadczenia w wdrażaniu systemu zarządzania bezpieczeństwem informacji zgodnego z normą ISO 27001

Ryzyko w Rozporządzeniu Rady Ministrów z dnia 12 kwietnia 2012r. w sprawie Krajowych Ram Interoperacyjności ( )

Szkolenie otwarte 2016 r.

MINISTERSTWO ADMINISTRACJI I CYFRYZACJI

1. Czym jest RODO? 2. Kluczowe zmiany wynikające z RODO. 3. Kogo dotyczy RODO?

Zabezpieczenia zgodnie z Załącznikiem A normy ISO/IEC 27001

Znaczenie norm ISO w znowelizowanej ustawie o ochronie danych osobowych (RODO)

Znaczenie norm ISO w znowelizowanej ustawie o ochronie danych osobowych (RODO)

Bezpieczeństwo informacji. jak i co chronimy

Zarządzanie bezpieczeństwem informacji w świetle zmian w prawie po 2014 roku

Normalizacja dla bezpieczeństwa informacyjnego

Jak skutecznie wdrożyć System Zarządzania Bezpieczeństwem Informacji. Katowice 25 czerwiec 2013

OFERTA Audyt i usługi doradcze związane z wdrożeniem systemu zarządzania bezpieczeństwem informacji dla jednostek administracji publicznej

ISO 9001:2015 przegląd wymagań

Metodyka zarządzania ryzykiem w obszarze bezpieczeństwa informacji

Maciej Byczkowski ENSI 2017 ENSI 2017

SPIS TREŚCI SPIS TREŚCI Postanowienia ogólne Zastosowanie POWOŁANIA NORMATYWNE TERMINY I DEFINICJE SYSTEM ZA

Elementy wymagań ISO/IEC i zalecenia ISO/IEC osobowe. 8 - Bezpieczeństwo zasobów ludzkich. 8.1 Przed zatrudnieniem (1)

Kwestionariusz samooceny kontroli zarządczej

PROCEDURA ZINTEGROWANEGO SYSTEMU ZARZĄDZNIA NADZÓR NAD USŁUGĄ NIEZGODNĄ DZIAŁANIA KORYGUJĄCE/ ZAPOBIEGAWCZE

PROCEDURA ZINTEGROWANEGO SYSTEMU ZARZĄDZNIA NADZÓR NAD USŁUGĄ NIEZGODNĄ DZIAŁANIA KORYGUJĄCE/ ZAPOBIEGAWCZE

Krzysztof Wawrzyniak Quo vadis BS? Ożarów Mazowiecki, styczeń 2014

Opis Systemu Kontroli Wewnętrznej funkcjonującego w Santander Consumer Bank S.A.

Dobre praktyki integracji systemów zarządzania w administracji rządowej, na przykładzie Ministerstwa Gospodarki. Warszawa, 25 lutego 2015 r.

Program Kontroli Jakości Bezpieczeństwa Informacji

Zarządzanie projektami a zarządzanie ryzykiem

Komunikat nr 115 z dnia r.

Metodyki zarządzania projektami PRINCE2

Audyt zgodności z RODO, analiza ryzyka i DPIA dwudniowe warsztaty

Szczegółowy opis przedmiotu zamówienia:

Centrum Unijnych Projektów Transportowych zaprasza Państwa do złożenia oferty cenowej na wykonanie ekspertyzy w zakresie bezpieczeństwa informacji.

Zasady kontroli zarządczej w Zespole Szkolno - Przedszkolnym nr 8 w Warszawie

ZAŁĄCZNIK NR 2. Polityka Ochrony Danych Osobowych w Przedsiębiorstwie Wodociągów i Kanalizacji Spółka z ograniczoną odpowiedzialnością w Ełku.

I. O P I S S Z K O L E N I A

Podstawowe pytania o bezpieczeństwo informacji i cyberbezpieczeństwo w jednostkach sektora finansów publicznych

Zasady systemu kontroli wewnętrznej w Banku Spółdzielczym. w Łubnianach

Procedura zarządzania ryzykiem w Urzędzie Gminy Damasławek

Polityka Ochrony Danych Osobowych w Szkole Podstawowej nr 1 w Siemiatyczach

Księga Zintegrowanego Systemu Zarządzania ODPOWIEDZIALNOŚĆ KIEROWNICTWA

Bezpieczeństwo informacji i usług w nowoczesnej instytucji i firmie / Andrzej Białas. Wyd. 2, 1 dodr. Warszawa, Spis treści

Polityka Bezpieczeństwa Informacji. Tomasz Frąckiewicz T-Matic Grupa Computer Plus Sp. z o.o.

Kryteria oceny Systemu Kontroli Zarządczej

ZINTEGROWANY SYSTEM ZARZĄDZANIA DOKUMENT NADZOROWANY W WERSJI ELEKTRONICZNEJ Wydanie 07 Urząd Miasta Płocka. Księga środowiskowa

Wstęp do zarządzania projektami

Wstęp do zarządzania projektami

Zmiany w standardzie ISO dr inż. Ilona Błaszczyk Politechnika Łódzka

System antyfraudowy w praktyce. marcin zastawa wiceprezes zarządu. Warszawa, października 2006r.

Centrum zarządzania bezpieczeństwem i ciągłością działania organizacji

ZARZĄDZANIE RYZYKIEM W LABORATORIUM BADAWCZYM W ASPEKCIE NOWELIZACJI NORMY PN-EN ISO/ IEC 17025:

Zakład Systemów Komputerowych, Instytut Teleinformatyki i Automatyki WAT, ul. S. Kaliskiego 2, Warszawa

PLAN ZARZĄDZANIA WYMAGANIAMI PROJEKT <NAZWA PROJEKTU> WERSJA <NUMER WERSJI DOKUMENTU>

Kompleksowe Przygotowanie do Egzaminu CISMP

Zarządzanie bezpieczeństwem i higieną pracy

System kontroli wewnętrznej w Banku Spółdzielczym Ziemi Kraśnickiej w Kraśniku

HARMONOGRAM SZKOLENIA

Metodyka wdrożenia. System Jakości ISO 9001

14. Sprawdzanie funkcjonowania systemu zarządzania bezpieczeństwem i higieną pracy

Imed El Fray Włodzimierz Chocianowicz

Opis systemu zarządzania, w tym systemu zarządzania ryzykiem i systemu kontroli wewnętrznej w Banku Spółdzielczym w Ropczycach.

System Kontroli Wewnętrznej w Banku BPH S.A.

Podstawy organizacji systemów zarządzania bezpieczeństwem informacji dokumenty podstawowe

ISO bezpieczeństwo informacji w organizacji

PROCEDURA ZINTEGROWANEGO SYSTEMU ZARZĄDZANIA PRZEGLĄD ZARZĄDZANIA P-03/02/III

ISO w Banku Spółdzielczym - od decyzji do realizacji

Technika informatyczna Techniki bezpieczeństwa Systemy zarządzania bezpieczeństwem informacji Wymagania

Marcin Soczko. Agenda

AGENDA DZIEŃ I 9: PANEL I WPROWADZENIE DO ZMIAN W OCHRONIE DANYCH OSOBOWYCH 1. ŚRODOWISKO BEZPIECZEŃSTWA DANYCH OSOBOWYCH.

Zarządzenie Nr 24/2012 Rektora Uniwersytetu Wrocławskiego z dnia 28 marca 2012 r. w sprawie Polityki zarządzania ryzykiem

Wstęp do zarządzania projektami

SYSTEM ZARZĄDZANIA RYZYKIEM W DZIAŁALNOŚCI POLITECHNIKI WARSZAWSKIEJ FILII w PŁOCKU

Deklaracja stosowania

Matryca efektów kształcenia dla programu studiów podyplomowych ZARZĄDZANIE I SYSTEMY ZARZĄDZANIA JAKOŚCIĄ

13. Zarządzanie incydentami w zakresie bezpieczeństwa informacji Zgłaszanie zdarzeń związanych z bezpieczeństwem informacji i słabości

Analiza ryzyka nawierzchni szynowej Iwona Karasiewicz

Załącznik 1 - Deklaracja stosowania w Urzędzie Gminy i Miasta w Dobczycach

Opis systemu kontroli wewnętrznej w SGB-Banku S.A.

Standard ISO 9001:2015

Spis treści. Analiza Ryzyka Instrukcja Użytkowania

Zarządzenie Nr 60/2011/2012 Rektora Uniwersytetu Kazimierza Wielkiego z dnia 2 kwietnia 2012 r.

Załącznik nr 2 Opis wdrożonych środków organizacyjnych i technicznych służących ochronie danych osobowych

Zintegrowany System Zarządzania w Śląskim Centrum Społeczeństwa Informacyjnego

Regulamin zarządzania ryzykiem. Założenia ogólne

System kontroli wewnętrznej w Krakowskim Banku Spółdzielczym

Bezpieczeństwo systemów informacyjnych

Deklaracja stosowania

Zarządzanie bezpieczeństwem informacji przepisy prawa a normy

POLITYKA JAKOŚCI. Polityka jakości to formalna i ogólna deklaracja firmy, jak zamierza traktować sprawy zarządzania jakością.

Transkrypt:

Projektowanie i wdrażanie systemów zarządzania bezpieczeństwem informacji zgodnie z ISO/IEC 27003 dokumentacja Plan prezentacji Norma ISO/IEC 27003:2010 Dokumenty wymagane przez ISO/IEC 27001 Przykładowe procesy w SZBI dr inż. Bolesław Szomański bolkosz@wit.edu.pl ISO/IEC 27003:2010 Spis treści ISO/IEC 27003:2010 Information technology -- Security techniques Information security management system implementation guidance Technika Informatyczna Techniki Bezpieczeństwa System Zarządzania Bezpieczeństwem Informacji Wytyczne do Wdrożenia Brak polskiego tłumaczenia Tło Wprowadzenie 1. Zakres 2. Powołania normatywne 3. Terminy i definicje 4. Struktura niniejszej normy międzynarodowej 5. Uzyskanie akceptacji kierownictwa dla rozpoczęcia projektu SZBI 6. Definiowanie zakresu, granic i polityki SZBI 7. Prowadzenie analizy wymagań bezpieczeństwa informacji 8. Prowadzenie oceny ryzyka i planowanie postępowania z ryzykiem 9. Projektowanie SZBI Załączniki Bibliografia 09/06/2011 (c) BSz Strona 1 z 19

Tło Wprowadzenie ISO/IEC 27003 został przygotowany przez komitet techniczny ISO/TC JTC 1 Technika informatyczna Podkomitet SC27 Techniki Bezpieczeństwa I został zatwierdzony przez przynajmniej 75% komitetów członkowskich Celem niniejszej normy międzynarodowej jest dostarczenie praktycznych zaleceń dla opracowania planu wdrożenia Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) w organizacji zgodnie z ISO/IEC 27001:2005 Proces opisywany w niniejszej normie został zaprojektowany aby wspierać wdrożenie ISO/IEC 27001:2005 (patrz części 4,5,7) i aby udokumentować Wprowadzenie Wprowadzenie A) przygotowanie rozpoczęcia planu wdrożenia SZBI o w organizacji poprzez zdefiniowanie struktury organizacyjnej o dla projektu i o uzyskanie akceptacji kierownictwa B) udokumentować krytyczne działania o dla projektu SZBI i C) przedstawić przykłady dla spełnienia wymagań ISO/IEC 27001:2005 Wykorzystując niniejszą normę międzynarodową organizacja organizacja będzie mogła opracować procesy dla zarządzania bezpieczeństwem, dostarczając interesariuszom zapewnienie że ryzyko dla aktywów informacyjnych jest ciągle utrzymywane na o akceptowalnym poziomie bezpieczeństwa o zdefiniowanym przez organizację 09/06/2011 (c) BSz Strona 2 z 19

Wprowadzenie 1. Zakres Niniejsza norma międzynarodowa nie obejmuje działalności operacyjnej i o innych działań SZBI, ale zawiera koncepcję jak zaprojektować działania które przyniosą wyniki po rozpoczęciu funkcjonowania SZBI. Wynikiem koncepcja jest końcowy plan wdrożenia projektu. Wykonanie zależnej od organizacji specyficznych części projektu SZBI jest poza zakresem niniejszej normy międzynarodowej. Zaleca się żeby wdrożenie projektu SZBI było prowadzone za pomocą standardowych metodologii projektowych Niniejsza norma międzynarodowa koncentruje się na krytycznych aspektach koniecznych dla pomyślnego zaprojektowania i wdrożenia SZBI zgodnie z ISO/IEC 27001:2005 Opisuje ona proces określenia specyfikacji SZBI i projektowania od koncepcji o otrzymania planu wdrożenia. Dokument rozpoczyna się od procesu uzyskania akceptacji kierownictwa dla wdrożenia SZBI zdefiniowania projektu wdrożenia SZBI o (określanego w niniejszej normie jako projekt SZBI), poprzez dostarczenie zaleceń jak planować projekt SZBI, kończąc na końcowym projekcie wdrożenia SZBI Zakres Zakres Intencją tego dokumentu jest używanie go przez organizacje wdrażające SZBI. Nadaje się do wykorzystania dla wszystkich typów organizacji Biznesowych Agencji rządowych Nie-dochodowych Każdej wielkości Złożoność i ryzyko w każdej organizacji są unikalne i te specyficzne wymagania kieruje wdrożeniem SZBI Małe organizacje mogą stwierdzić działania podane w niniejszej normie międzynarodowej nadają się do zastosowania dla niech i mogą je uprościć Duże lub złożone organizacje mogą uznać że warstwa organizacja lub system zarządzania jest potrzebny do o zarządzania działaniami określonymi w niniejszej normie skutecznie. Jednakże w obu przypadkach użyteczne działania mogą być planowane poprzez wykorzystanie niniejszej normy międzynarodowej 09/06/2011 (c) BSz Strona 3 z 19

Zakres Powołania normatywne Niniejsza norma międzynarodowa przyjmuje postać zaleceń i nie określa żadnych wymagań. Intencją Niniejszej normy międzynarodowej jest użycie wspólnie z ISO/IEC 27002:2005 o i ISO/IEC 27002:2005, ale o nie ma intencji zmiany lub/i zmniejszania wymagań o określonych ISO/IEC 27001:2005 lub o wytycznych podawanych w IOS?IEC 27002:20005. Twierdzenie o zgodności z o niniejszą normą międzynarodową o nie jest odpowiednie ISO/IEC 27000:2009 ISO/IEC 27001:2005 Terminy i definicje 4.1 Struktura niniejszej normy międzynarodowej 3.1 projekt SZBI Wszystkie ustrukturalizowane działania prowadzone przez organizację dla wdrożenia SZBI 4.1 Podstawowa struktura rozdziałów Wdrożenie SZBO jest ważną działalnością i o zwykle jest prowadzone jako projekt w organizacji Niniejsza norma międzynarodowa objaśnia o wdrożenie SZBI poprzez skoncentrowanie się na inicjatywie, o planowaniu i definiowaniu procesu Proces planowania końcowego wdrożenia SZBI o zawiera pięć faz z których każda jest o przedstawiona w oddzielnym rozdziale Wszystkie rozdziały mają zbliżoną strukturę jak opisano poniżej 09/06/2011 (c) BSz Strona 4 z 19

4. Te pięć faz to Uzyskanie akceptacji kierownictwa o dla rozpoczęcia projektu SZBI (5) Definiowanie zakresu, granic i polityki SZBI (6) Prowadzenie analizy o wymagań bezpieczeństwa informacji (7) Prowadzenie oceny ryzyka i o planowanie postępowania z ryzykiem (8) Projektowanie SZBI (9) 4.1 Dodatkowe informacje są przedstawione w załącznikach Podsumowanie działań z odsyłaczami do ISO/IEC 27001:2005 Role i odpowiedzialności w bezpieczeństwie informacji Informacja o planowaniu audytów wewnętrznych Struktura polityk Informacja o planowaniu monitorowania i pomiaru 4.2 Podstawowa struktura rozdziału Każdy rozdział zawiera Jeden lub wiele celów znajdujących się na o początku rozdziału Jedno lub wiele działań niezbędnych do o osiągnięcia celu etapów lub celów Każde działanie jest określone w podklasach Działanie w każdej podklasie ma poniższą strukturę Działanie Definiuje co jest potrzebne dla wykonania o działania lub części działań 09/06/2011 (c) BSz Strona 5 z 19

4.2 Wejście Wejście określa punkt startowy taki jak o istnienie udokumentowanych decyzji lub o wyjścia z innych działań opisanych w niniejszej normie międzynarodowej Wejście może być określana jako o kompletne wyjście z działania w związanym rozdziale lub o specyficzna informacja z działania dodanego poprzez powołanie rozdziału 4.2 Zalecenie Zalecenie podaje szczegółową informację jak wykonać te działanie. Niektóre zalecenia mogą nie być odpowiednie we wszystkich przypadkach o i inne sposoby osiągnięcia wyników mogą być właściwsze 4.2 Wyjście Wyjście określa wynik poprzez zakończenie działalności o lub dostarczenie wyniku o np. dokument Wyjście jest takie same niezależnie od o wielkości organizacji lub zakresu SZBI Inne informacje Inne informacje dostarczają dodatkową informacje, o która towarzyszy wykonywaniu działania o np. odwołania do innych norm 4.3 Diagramy Projekt jest często przedstawiony w postaci graficznej lub diagramów jako pokazujący działania i wyjścia 09/06/2011 (c) BSz Strona 6 z 19

5. Uzyskanie akceptacji kierownictwa dla rozpoczęcia projektu SZBI 5.1. Przegląd akceptacji kierownictwa dla rozpoczęcia projektu SZBI Cel Uzyskanie akceptacji kierownictwa dla rozpoczęcia projektu SZBI przez określenie przypadku biznesowego i planu projektu 09/06/2011 (c) BSz Strona 7 z 19

5.2. Wyjaśnienie priorytetów organizacji dla opracowania SZBI Działanie Zaleca się żeby Cele wdrożenia SZBI były włączone poprzez spełniania priorytetów dotyczących bezpieczeństwa informacji i wymagań Wejście Cele strategiczne organizacji Przegląd systemu zarządzania Wykaz prawnych, regulacyjnych i kontraktowych wymagań dotyczących bezpieczeństwa informacji mających zastosowanie dla organizacji 5.2 Wyjście Podsumowanie celów, o priorytetów bezpieczeństwa informacji i o wymagań dla SZBI Wykaz regulacyjnych kontraktowych i branżowych o wymagań związanych z bezpieczeństwem informacji Ogólna charakterystyka biznesu, o organizacji lokalizacji o aktywów i o technologii 5.3. Zdefiniowanie zakresu SZBI 5.3.1 Opracowanie wstępnego zakresu SZBI Działanie Zaleca się żeby cele wdrożenia SZBI zawierały wstępną definicję zakresu, która jest niezbędna dla projektu SZBI Wejście Wyjście z 5.2 Wyjście Dokument zawierający wstępny zakres SZBI 5.3 5.3.2. Zdefiniowanie ról i odpowiedzialności dla wstępnego zakresu SZBI Działanie Zaleca się aby Ogólne role i odpowiedzialności o dla wstępnego zakresu SZBI zostały zdefiniowane Wejście Wyjście z 5.3.1 Wykaz interesariuszy którzy o uzyskają korzyści z wyników projektu SZBI Wyjście Dokument lub tabela określająca role i odpowiedzialności z nazwiskami i organizacją potrzebną dla udanego wdrożenia SZBI 09/06/2011 (c) BSz Strona 8 z 19

5.4 Utworzenie opisu biznesowego i projektu planu do zaakceptowania przez kierownictwo Działanie Zaleca się żeby aprobata kierownictwa i zapewnienie zasobów dla wdrożenia SZBI były uzyskane poprzez określenie opisu biznesowego i propozycji projektu SZBI Wejście o Wyjście z 5.2. o Wyjście z 5.3 Zakres SZBI Związane role i odpowiedzialności Wyjście o udokumentowana akceptacja przez kierownictwo wykonywania projektu i przydzielonych zasobów o Opis biznesowy o Wstępny projekt SZBI z kamieniami milowymi Takimi jak szacowanie ryzyka, wdrożenie, wewnętrzny audyt, przegląd dokonywany przez kierownictwo 6. Definiowanie zakresu, granic i polityki SZBI 6.1. Przegląd definiowania zakresu, granic i polityki SZBI Cel Określenie szczegółowego zakresu i granic SZBI Oraz opracowanie polityki SZBI i Uzyskanie poparcia od kierownictwa 09/06/2011 (c) BSz Strona 9 z 19

6 6.2 Definiowanie organizacyjnego zakresu i granic 6.3 Definiowanie teleinformatycznego zakresu i granic 6.4. Definiowanie fizycznego zakresu i granic 6.5. Integrowanie wszystkich zakresów i granic aby otrzymać zakres i granice SZBI 6.6. Opracowanie polityki SZBI i uzyskanie akceptacji przez kierownictwo 7. Prowadzenie analizy wymagań bezpieczeństwa informacji 7.1. Przegląd prowadzenia analizy wymagań bezpieczeństwa informacji Cel Określenie związanych wymagań wspomaganych przez SZBI Identyfikowanie aktywów informacyjnych I uzyskanie bieżącego statusu bezpieczeństwa informacji w zakresie 09/06/2011 (c) BSz Strona 10 z 19

7 7.2 Definiowanie wymagań bezpieczeństwa dla procesów SZBI 7.3. Identyfikowanie aktywów w zakresie SZBI 7.4 Prowadzenie oceny bezpieczeństwa informacji 8. Prowadzenie oceny ryzyka i planowanie postępowania z ryzykiem 8.1. Przegląd prowadzenia oceny ryzyka i planowania postępowania z ryzykiem Cel Definiowanie metodyki o postępowania z ryzykiem, o identyfikowanie analizowanie i ocena ryzyk o w bezpieczeństwa informacji o dla wyboru opcji postępowania z ryzykiem i o wyboru celów stosowania zabezpieczeń i zabezpieczeń 09/06/2011 (c) BSz Strona 11 z 19

8 9. Projektowanie SZBI 8.2 Prowadzenie oceny ryzyka 8.3. Wybór celów zabezpieczeń i zabezpieczeń 8.4 Uzyskanie autoryzacji kierownictwa o dla wdrożenia i eksploatacji SZBI 9.1 Przegląd projektowania SZBI Cel Zakończenie planu wdrożenia SZBI poprzez o Zaprojektowanie bezpieczeństwa organizacyjnego o w oparciu o wybrane opcje postępowania z ryzykiem o Jak również wymagania dotyczące zapisów i dokumentacji o I zaprojektowanie zabezpieczeń integrujących o bezpieczeństwo teleinformatyczne, fizyczne i organizacyjne procesy i o zaprojektowanie wymagań specyficznych dla SZBI 09/06/2011 (c) BSz Strona 12 z 19

9 Załączniki 9.2 Projektowanie organizacyjnego bezpieczeństwa informacji o 9.2.1 Projektowanie ostatecznej struktury organizacyjnej dla bezpieczeństwa informacji o 9.2.2 Projektowanie struktury dla dokumentowania SZBI o 9.2.3 Projektowanie polityki bezpieczeństwa informacji o 9.2.4. Opracowanie standardów i procedur bezpieczeństwa informacji 9.3 Projektowanie teleinformatycznego i o fizycznego bezpieczeństwa informacji 9.4 Projektowanie szczegółów bezpieczeństwa informacji o 9.4.1 Plan przeglądów dokonywanych przez kierownictwo o 9.4.2 Projektowanie uświadamiania, szkolenia i nauczania 9.5 Otrzymanie końcowego planu projektu SZBI A. Podsumowanie działań z odsyłaczami do ISO/IEC 27001:2005 B Role i odpowiedzialności w bezpieczeństwie informacji C Informacja o planowaniu audytów wewnętrznych D Struktura polityk E Informacja o planowaniu monitorowania i pomiaru Jakie dokumenty są wymagane aby udokumentować spełnienie wymagań SZBI Polityka bezpieczeństwa informacji Cele bezpieczeństwa informacji Metodyka postępowania z ryzykiem Raport z szacowania ryzyka Plan postępowania z ryzykiem Raport z analizy ryzyka Organizacja powinna Zidentyfikować ryzyko o zidentyfikować zasoby i ich właścicieli o Zidentyfikować zagrożenia dla tych zasobów o Zidentyfikować podatności zasobów o Zidentyfikować skutki utraty poufności, integralności i dostępności Ocenić ryzyko o Ocenić szkody dla biznesu wynikające z utraty bezpieczeństwa o Ocenić prawdopodobieństwo utraty bezpieczeństwa o Oszacować poziom ryzyka o Określić kiedy ryzyko jest akceptowane lub wymaga postępowania 09/06/2011 (c) BSz Strona 13 z 19

Cele bezpieczeństwa informacji Plan postępowania z ryzykiem Organizacja powinna sformułować cele, które Dotyczą bezpieczeństwa informacji Są związane z wymaganiami biznesu Udokumentowane Realizacja celów powinna być sprawdzana Plan postępowania z ryzykiem jest uzgodnionym dokumentem określający działania w celu zmniejszenia o nie akceptowalnego ryzyka i wdrożenia wymaganych zabezpieczeń o dla ochrony informacji Jakie jeszcze dokumenty są wymagane aby udokumentować spełnienie wymagań SZBI Deklaracja stosowania (jedna ale dotycząca 134 punktów) Polityki szczegółowe (około 10) Procedury wymagane w normie i załączniku A (około 18) Zapisy wymagane przez normę Deklaracja stosowania Deklaracja stosowania jest krytyczna dla celów stosowania zabezpieczeń i zabezpieczeń, które organizacja wybiera jako korzystne dla spełnienia potrzeb biznesowych. W deklaracji są także zapisane wykluczenia zabezpieczeń Deklaracja stosowania jest dokumentem w którym o demonstrowane jest jak organizacja kontroluje ryzyko. o Nie powinna być ona zbyt szczegółowa, aby nie przekazywać wrażliwych informacji osobom które chcą przełamać zabezpieczenia Deklaracja stosowania być używana przez o potencjalnych parterów handlowych, o jako samodzielny dokument lub o załącznik do certyfikatu używany przez organizację certyfikującą i o może być publicznie dostępna 09/06/2011 (c) BSz Strona 14 z 19

Polityki W normie ISO 27001:2005 wymaga się oprócz polityki bezpieczeństwa informacji o opracowanie wielu polityk Wynika to także z koncepcji PN 13335-1 w którym zakładano kilku poziomową hierarchię polityk W dalszej części opracowania inne polityki oprócz polityki bezpieczeństwa informacji będą nazywane politykami szczegółowymi Wymagane polityki szczegółowe Polityka czystego biurka i czystego ekranu (A.11.3.3) Polityki dla ochrony informacji związanej z połączeniami pomiędzy biznesowymi o systemami informacyjnymi (A10.8.5) Polityka kontroli dostępu (A.11.1.1) Polityka przetwarzania i komunikacji mobilnej [A.11.8.1] Polityka pracy na odległość [A.11.8.2] Wymagane polityki szczegółowe [3] Polityka korzystania z usług sieciowych (A.11.4.1) Polityka używania zabezpieczeń kryptograficznych (A.12.3.1) Polityka dostępu do aplikacji biznesowych [A.11.6.1] Udokumentowane procedury wymagane przez normę ISO 27001- :2005 Procedura nadzoru nad dokumentacją [4.3.2] Procedura audytu wewnętrznego [6] Procedury działania korygującego [8.2] Procedury działań zapobiegawczych [8.3] Procedury natychmiastowego wykrycia i reakcji na incydenty oraz o wykrywania błędów w wynikach przetwarzania [4.2.2g] [4.2.3a]: 09/06/2011 (c) BSz Strona 15 z 19

Procedury Co z dokumentowaniem? Dokumentacja SZBI powinna zawierać e) Udokumentowane procedury potrzebne organizacji do o zapewnienia efektywnego planowania, eksploatacji i sterowania jej procesami bezpieczeństwa informacji A.8.1.1. Dokumentowanie procedur eksploatacyjnych Procedury eksploatacyjne wskazane przez politykę bezpieczeństwa powinny być udokumentowane i utrzymywane o Lepiej by było przez deklarację stosowania ale o polityka bezpieczeństwa informacji jest tutaj uznawana w pojęciu szerszym (jak ISO 17799:2000) Procedur z ISO 27001:2005 nie można wykluczyć ale procedury wymagane przez załącznik A Można wykluczyć o oczywiście w przypadku wykluczenia danego podpunktu załącznika A o i uzasadnienia tego wykluczenia Wymagane procedury [1] Procedury oznaczania informacją i postępowania z informacją [A.7.2.2] Procedury zarządzania incydentami związanymi z bezpieczeństwem [A.13.1.2] Procedury uświadamiania użytkowników o szkodliwym oprogramowaniu [A.10.4.1.] Wymagane procedury [3] Wymagane procedury [5] Procedury postępowania z informacją [A.10.7.3] Procedury dotyczące wymiany informacji [A.10.8.1] Formalna procedura rejestrowania i wyrejestrowania użytkowników [A 11.2.1]. Procedury pracy na odległość [A11.7.2] Formalne procedury kontroli zmian [A12.5.1] Procedura zapewnianie zgodności z prawem do własności intelektualnej [A.15.1.2.] 09/06/2011 (c) BSz Strona 16 z 19

Procesy wymienione w załączniku A Plany Proces autoryzacji nowych urządzeń do przetwarzania informacji [A.6.1.4] Formalny proces zarządzania nadzorujący przydzielanie haseł [A.11.2.3] Formalny proces przeglądu praw dostępu [A.11.2.4] Proces bezpiecznego rejestrowania [A.11.5.2] Proces zarządzania ciągłością działania= plan zapewnienia ciągłości działania+procedury+ o zapisy z testów+urządzenia+oprogramowanie [A.14] Proces audytu = procedura audytu+ planowanie audytu + ochrona narzędzi audytu[a.15.3] Plan postępowania z ryzykiem [4.2.2] (było) Plany zarządzania ciągłością działania [A14.1.2] Zasady i metody Zasady gromadzenia materiałów dowodowych [A.13.2.3] Metoda szacowania ryzyka [4.2.1c] Metoda audytów [6] Plan wdrażania systemu zarządzania bezpieczeństwa informacji przy wdrożonym SZJ Szkolenie dla zespołu wdrażającego Rozdanie ankiety samooceny Wstępna analiza stanu bezpieczeństwa informacji oraz istniejącej dokumentacji np procedur ( z ISO 9001), o zarządzeń, instrukcji (w tym instrukcji kancelaryjnej) Audyt wstępny zwłaszcza ochrony fizycznej i infrastruktury informatycznej Szkolenie dla zespołu prowadzącego analizę ryzyka, przygotowanie metodyki analizy ryzyka 09/06/2011 (c) BSz Strona 17 z 19

Plan... Plan... Szkolenie dla naczelnego kierownictwa wraz z uzgodnieniami zatwierdzenie harmonogramu prac Zatwierdzenie metodyki szacowania ryzyka Określenie poziomu akceptowalnego ryzyka Przeprowadzenie analizy ryzyka w tym uzupełnienie opisów procesów o identyfikację ryzyk Opracowanie polityki bezpieczeństwa informacji, uzupełnienie mapy procesów, celów i miar ich skuteczności Przygotowanie wstępnej wersji deklaracji stosowania określenie procedur i zabezpieczeń koniecznych do wykonania Określenie ewentualnych wyłączeń Opracowanie lub dostosowanie dokumentów wymaganych przez ISO 27001 (procedury zarządzania incydentami, o nadzoru nad dokumentami, audytu itp.) Opracowanie planu postępowania z ryzykiem Opracowanie polityk szczegółowych (np. w postaci zarządzenia dyrekcji) Plan... Opracowanie procedur eksploatacyjnych (wymaganych przez załącznik A) Wdrożenie zabezpieczeń wynikających z analizy ryzyka i załącznika A Przygotowanie ostatecznej wersji deklaracji stosowania Przeprowadzenie audytów wewnętrznych Przeprowadzenie przeglądu kierownictwa Funkcjonowanie systemu (3-6 miesięcy) Audyt certyfikacyjny (wstępny i właściwy) Powtórna analiza ryzyka i doskonalenie SZBI Przykłady dodatkowych procesów w zintegrowanym systemie zarządzania(1) Eksploatacja systemu zarządzania bezpieczeństwa informacji Monitorowanie bezpieczeństwa informacji Planowanie i przeprowadzanie przeglądów i audytów bezpieczeństwa informacji Działania korygujące i zapobiegawcze w zakresie SZBI Doskonalenie SZBI Nadzór nad dokumentacją i zapisami dotyczącymi SZBI 09/06/2011 (c) BSz Strona 18 z 19

Przykłady dodatkowych procesów w zintegrowanym systemie zarządzania(2) Proces Zarządzanie ciągłością działania Analiza zagrożeń dla ciągłości działania Opracowanie planu ciągłości działania Testowanie planu ciągłości działania Doskonalenie planu ciągłości działania Zastosowanie planu ciągłości działania Przywracanie stanu wyjściowego Przykłady dodatkowych procesów w zintegrowanym systemie zarządzania(3) Proces Zarządzania ryzykiem Tworzenie i weryfikacja metodyki Analiza ryzyka o Określenie aktywów o Określenie zagrożeń o Określenie podatności o Oszacowanie prawdopodobieństw o Określenie skutków o Uwzględnienie zabezpieczeń o Oszacowanie ryzyk Postępowanie z ryzykami Ocena wpływu zmian w otoczeniu na zagrożenia, podatności i ryzyka Doskonalenie Przykłady dodatkowych procesów w zintegrowanym systemie zarządzania(4) Proces Zarządzanie incydentami Utworzenie struktury dla zarządzania incydentami Budowa narządzi do rejestracji incydentów o Np. Help desk Opracowanie procedur reakcji na incydenty Reagowanie na incydenty Wyciąganie wniosków z incydentów Doskonalenie Można połączyć z procedurą postępowanie z wyrobem niezgodnym i odpowiednimi procedurami bhp i środowiskowymi Patrz też ISO/IEC TR 18044 Przykłady dodatkowych procesów w zintegrowanym systemie zarządzania(5) Proces Ochrona Fizyczna Planowanie ochrony fizycznej o I przygotowanie odpowiednich procedur Monitorowanie ochrony fizycznej o I firmy realizującej ochronę fizyczną o Okresowo kontrola lub audyt Reagowanie na incydenty z zakresu ochrony fizycznej Doskonalenie ochrony fizycznej 09/06/2011 (c) BSz Strona 19 z 19