Strategie informační bezpečnosti

1. Strategie informační bezpečnosti Ivo Vašíček

2. Proces systému informační bezpečnosti • ANALÝZA RIZIK • inventura aktiv • seznam hrozeb a zranitelností • BEZPEČNOSTNÍ AUDIT • kontrola shody • ověření vhodnosti • STRATEGIE • cíle • prostředky • IMPLEMENTACE • opatření • řešení

3. Neustálé zlepšování • Vyšší cíle • Efektivnější postupy • Rostoucí hrozby • Účinnější opatření

4. Formulace strategie • Přehled požadavků • Ověření možností splnění požadavků • Stanovení cílů • Plán plnění cílů (Určení prostředků a zodpovědností) • Formulace závazného dokumentu (vnitřní předpis) • Deklarace úrovně informační bezpečnosti – veřejně prezentované strategie ISMS

5. Příprava strategie - 1. Požadavky zainteresovaných stran • Vlastníci, zřizovatelé • Management • Pracovníci • Zákazníci • Dodavatelé • Veřejnost Strategie informuje ZS o tom, co mohou očekávat a co mají garantováno z hlediska ochrany informací !

6. Zjištění požadavků zainteresovaných stran • K jakým informacím chtějí mít přístup? • Jaké informace nezbytně potřebují? • Jaké informace o nich uchováváme? • Jak si „cení“ svých informací? Jak moc je chtějí chránit?

7. Vlastníci, zřizovatelé • Přezkoumání zřizovacích dokumentů z hlediska práv zřizovatelů (akcionářů apod.) • Dohody mezi managementem a zřizovateli • Jaké informace musíme komu poskytovat • K jakým informacím musíme umožnit přístup • Jaké informace získáváme od „vlastníků“ a jak je musíme chránit

8. Management(stanovuje procesy, cíle a přiděluje prostředky) • Přezkoumání organizační struktury a přístupových práv • Stanovení požadované úrovně informační bezpečnosti • Jaké informace musíme komu poskytovat? • K jakým informacím musíme komu umožnit přístup? • Jaké informace chce management chránit? (soupis individuálních požadavků) • Jaké náklady ochrany informací management očekává?

9. Pracovníci • Požadavky personalistiky • Výkonné procesy, přístupová práva • Podněty ke zlepšování • Jaké informace o pracovnících musíme uchovávat? (definuje management) • Jaké informace potřebují pro svoji práci? (ověříme - s managementem) • Jaké informace potřebují chránit, a proč? (soupis požadavků)

10. Zákazníci(u úřadu občané) • Obchodní útvary • Realizační útvary (včetně servisních) • Finanční útvary • Jaké informace o zákaznících musíme uchovávat? • Jaké jsou obchodní požadavky na ochranu dat zákazníků? (smluvní garance ochrany svěřených dat) • K jakým informacím mají mít zákazníci přístup?

11. Dodavatelé • Obchodní útvary • Realizační útvary (včetně servisních) • Finanční útvary • Jaké informace o dodavatelích musíme uchovávat? • Jaké jsou obchodní požadavky na ochranu dat dodavatelů? (smluvní garance ochrany svěřených dat) • K jakým informacím mají mít dodavatelé přístup? • Jaké informace dodavatelům svěřujeme a jaké stanovujeme požadavky na jejich ochranu?

12. Veřejnost • Platná legislativa • Obchodní a marketingová strategie • Jaké informace musíme uchovávat? (ze zákona) • Jaké informace o okolí potřebujeme uchovávat? (OMS) • Jaké informace musíme poskytovat? (ze zákona) • Jaké informace musíme chránit? (ze zákona) • Jaké jsou podmínky pro pořizování a ochranu informací? (ze zákona) • Jaké jsou speciální požadavky na ochranu informací? (NBÚ)

13. Výběr legislativy • Zákon 101-2000Sb. – o ochraně osobních údajů • Zákon 106 -1999Sb. – Svobodný přístup k informacím • Zákon 227-2000Sb. – O elektronickém podpisu • Zákoník práce 262-2006 Sb. v aktuálním znění • ….

14. Ověření možností splnění požadavků - 2. • Přehled aktiv • Seznam požadavků • Návrhy na opatření • Časová náročnost • Zdrojová náročnost (personální, finanční,…) • Výsledek opatření (které požadavky a do jaké míry budou uspokojeny) • Konsolidovaný návrh (náklady, čas) • Minimální varianta • Optimální varianta • Náklady splnění speciálních požadavků (konkrétní) Podklady pro rozhodování managementu

15. Návrhy opatření • Omezení přístupových práv • Použití šifrovacích prostředků • Školení pracovníků • Úpravy procesů • Nákup hardware, software • …. POŽADAVEK NA OCHRANU INFORMACÍ - PŘIJATELNÁ MÍRA RIZIKA S OHLEDEM NA HROZBY- ZRANITELNOST A NÁKLADY

16. Stanovení cílů - 3. Diskuse s managementem (na základě předloženého návrhu) • Stanovení úrovně a rozsahu ISMS • Personální zdroje • Finanční a jiné prostředky • Časové rámce • Kompetence a odpovědnosti Podklady pro přípravu konkrétního plánu rozvoje ISMS

17. Schválené cíle • Splnění základních legislativních požadavků • Certifikace ISO 27001 • Získání prověrky „TAJNÉ“ • Zvýšená ochrana zákaznických dat (garantovaná) • Zvýšená ochrana obchodních informací • Zvýšená ochrana manažerské korespondence • ….

18. Plán plnění cílů - 3. Určení zdrojů (na základě schválených cílů) • Konkrétní odpovědnost za cíle • Stanovení etap, přesný popis cíle • Finanční plán • Plán použití zdrojů • Plán součinností • Určení prostředků a zodpovědností • Podklad pro formulaci dokumentu strategie ISMS a realizaci strategie

19. Plán plnění cílů • Analýza • Diskuse návrhu • Úpravy dokumentace • Školení • Ověření • …. Odpovídá, počet hodin práce, náklady na SW, počet hodin součinnosti, školení…

20. Formulace závazného dokumentu – 5. (vnitřní předpis) • Odpovědnosti a kompetence • Četnost a rozsah auditů • Metoda a proces • Identifikace aktiv • Analýzy rizik • Řešení incidentů • Výčet závazných postupů a předpisů • Přehled cílů ISMS (odpovědnost, termín, náklady, parametr cíle) Strategie ISMS zastřešuje veškerý výkon aktivit IB.

21. Ukázka interní normy:

22. Deklarace úrovně informační bezpečnosti – veřejně prezentované strategie ISMS – 6. Prezentace stávající a plánované úrovně ISMS • Jistoty ochrany informací pro zákazníky • Jistoty ochrany informací pro dodavatele • Jistoty ochrany informací pro zaměstnance Strategie informuje ZS o tom, co mohou očekávat a co mají garantováno z hlediska ochrany informací !

23. Ukázka veřejné prezentace: GSM Banking - Zaručení bezpečnosti Zaručení maximální bezpečnosti Společnost T-Mobile provozuje službu T-Mobile GSM Banking od roku 1998. Komunikace mezi bankou a zákazníkem probíhá prostřednictvím kódovaných a šifrovaných SMS zpráv. Tento způsob komunikace s bankou patří mezi absolutně nejbezpečnější ze všech. Služba T-Mobile GSM Banking je prostředkem komunikace mezi zákazníkem a bankou. Obsahem této komunikace jsou informace podléhající bankovnímu tajemství. Největší důraz je kladen na bezpečnost. Zamezení neoprávněného přístupu Uživatel mobilního telefonu podporujícího bankovní služby obdrží v bance při aktivaci služby T-Mobile GSM Banking (platí pro starší typy karet) či spolu se SIM kartou (platí pro Universal SIM) speciální číselný kód - BPUK. Na základě tohoto kódu si zvolí osobní přístupový kód BPIN. Správným zadáním kódu BPIN je podmíněno provedení všech bankovních operací. Bezpečnost přenosu dat Přenos dat je zabezpečen šifrováním. Každá bankovní SIM karta má svůj šifrovací klíč, prostřednictvím kterého se provádí zabezpečení komunikace s bankou. Tento klíč je uložen v chráněné oblasti SIM karty a je dostupný pouze po zadání správného kódu BPIN. Odeslaná zpráva z mobilního telefonu je přijata bankou pouze tehdy, pokud je zašifrována správným šifrovacím klíčem.