Uspeti v globaliziranem svetu

1. Uspeti v globaliziranem svetu Kako varna je vaša pot? 2006 Global Information Security Survey

2. Večja informacijska varnost omogoča podjetjem uspešno obvladovanje tveganj. Vendar pa so zaradi dinamike tveganja potrebne nenehne izboljšave in izpopolnitve postopkov informacijske varnosti.

3. Vsebina • Osnovne informacije (ozadje) • Povzetek poročila • Pet prednostnih nalog pri zagotavljanju informacijske varnosti • Izzivi informacijske varnosti, s katerimi se bodo v letu 2007 inv prihodnosti morale soočiti družbe • Kaj prinaša prihodnost

4. Osnovne informacije - statistični podatki • V raziskavi je sodelovalo skoraj 1200 organizacij • iz 48 držav • in 23 različnih gospodarskih panog. • Kar 82% vseh sodelujočih opravlja funkcijo direktorja, vodje informacijske tehnologije, ali varnostnega inženirja.

5. Osnovne informacije - namen raziskave Raziskava je bila sestavljena iz dveh delov (vprašalnika in primerjalne analize): • V vprašalniku je bil poudarek na: • prednostnih nalogah informacijske varnosti in • ukrepih organizacij v zvezi s tem. • Primerjalna analiza skladnosti z ISO 17799 standardom se je posvetila 11 področjeminformacijske varnosti in kontrol.

6. Povzetek poročila – kaj smo že dosegli • Večja vlaganja: • Zaposleni. • Procesi. • Tehnologija. • Večja vpletenost poslovodstva. • Pozitiven vpliv zahtev nadzornih organov. • Dozorelost pri vodenju.

7. Povzetek poročila – nujnost trajnega nadzora in izboljšav • Pomen informacij za poslovne namene se bo še naprej stopnjeval. • Predpisi bodo vse bolj zahtevni. • Podjetja bodo vse več pozornosti namenila skrbi za večjo informacijsko varnost.

8. Pet prednostnih nalog informacijske varnosti • Integracija informacijske varnosti z organizacijo • Širitev vpliva skladnosti s predpisi • Obvladovanje tveganj pri poslovanju s kupci in dobavitelji • Večja pozornost varstvu zasebnosti in osebnih podatkov • Načrtovanje in razvoj informacijske varnosti

9. Integracija informacijske varnosti z organizacijo

10. Pozitivni trendi • Skoraj dve tretjini anketiranih preko različnih organizacijskih odborov, sestankov in drugih formalnih postopkov zagotavlja vključevanje informacijske varnosti v proces obvladovanja tveganj. • 43% družb meni, da je informacijska varnost sestavni del postopkov obvladovanja tveganj (porast v primerjavi s 40% zabeleženih v letu 2005). • Rezultati primerjalne analize skladnosti z ISO 17799 standardom kažejo, da postaja informacijska varnost sestavni del splošnega procesa obvladovanja tveganj. • Zaradi pomanjkanja strokovnih virov s področja informacijske varnosti morajo organizacije preučiti možnost prenosa dela tovrstnih storitev na zunanje izvajalce. • Integracija informacijske varnosti z organizacijo

11. Področja, kjer je potrebno trajno izpopolnjevanje in izboljšanje • Več kot polovica družb priznava, da obvladovanje tveganj s področja informacijske varnosti še ni sestavni del celotnega obvladovanja tveganj družbe. Odstotek družb s strateško politiko po kateri je informacijska varnost aktivno udeležena v procesu obvladovanja tveganj • Integracija informacijske varnosti z organizacijo

12. At least annually Less often Never Področja kjer je potrebno trajno izpopolnjevanje in izboljšanje • Več kot 40% družb ne pripravlja rednih poročil o informacijski varnosti. Pogostost poročanja funkcije informacijske varnosti. • Integracija informacijske varnosti z organizacijo

13. Področja, kjer je potrebno nenehno izpopolnjevanje in izboljšanje • Večino podjetij ne najema zunanjih izvajalcev informacijske varnosti, s čimer povečujejo tveganje neupoštevanja varnostnih zahtev kupcev in gospodarske panoge. • Integracija informacijske varnosti z organizacijo

14. Širitev vpliva skladnosti s predpisi

15. Pozitivni trendi • Skladnost s predpisi je najučinkovitejši način povečanja naložb v informacijsko varnost. • V večini primerov je skladnost sestavni del celovitih naporov organizacije pri obvladovanju tveganj. • Skoraj 80% družb se strinja, da je skladnost s predpisi ojačala informacijsko varnost. • Širitev vpliva skladnosti s predpisi

16. Področja kjer je potrebno trajno izpopolnjevanje in izboljšanje • Skladnost bo v prihodnjem letu osnovni dejavnik informacijske varnosti. Kljub temu… • pa si le polovica družb aktivno prizadeva doseči skladnost z regulativo. Trije ključni dejavniki ki so ali bodo pomembno vplivali na postopke informacijske varnosti • Širitev vpliva skladnosti s predpisi

17. Področja kjer je potrebno nenehno izpopolnjevanje in izboljšanje • Manj kot polovica anketirancev se redno posvetuje s poslovodstvom o potrebah in zahtevah informacijske varnosti. • Rezultati primerjalne analize kažejo, da organizacije še nimajo začrtanih postopkov skladnosti s predpisi. • Širitev vpliva skladnosti s predpisi

18. Obvladovanje tveganj pri poslovanju s kupci in dobavitelji

19. Pozitivni trendi • Več kot tretjina družb, ki so sodelovale v raziskavi, pri poslovanju z dobavitelji uporablja predpisane postopke obvladovanja tveganj. Kako podjetja obvladujejo tveganja pri poslovanju z dobavitelji • Obvladovanje tveganj pri poslovanju s tretjimi osebami

20. Pozitivni trendi • Dve tretjini družb meni,da dobavitelji in poslovni partnerji izpolnjujejo zahteve njihove varnostne politike in postopkov informacijske varnosti. • Dobavitelji bodo v prihodnjem letu še več pozornosti namenili skladnosti z zahtevami informacijske varnosti in certificiranju. • Obvladovanje tveganj pri poslovanju s tretjimi osebami

21. Področja kjer je potrebno trajno izpopolnjevanje in izboljšanje • Pri poslovanju z dobavitelji le 6% organizacij uporablja formalne postopke obvladovanja tveganj, ki so jih potrdili neodvisni ocenjevalci. • Polovica družb obvladuje tveganja pri poslovanju z dobavitelji na neformalen način, če sploh. • Obvladovanje tveganj pri poslovanju s tretjimi osebami

22. Področja kjer je potrebno trajno izpopolnjevanje in izboljšanje • Le 14% organizacij zahteva neodvisni pregled postopkov informacijske varnosti svojih poslovnih partnerjev. Najpogostejše zahteve obvladovanja tveganj pri poslovanju z dobavitelji in poslovnimi partnerji • Obvladovanje tveganj pri poslovanju s tretjimi osebami

23. Področja kjer je potrebno trajno izpopolnjevanje in izboljšanje • Le četrtina organizacij zahteva od dobaviteljev spoštovanje sprejetega standarda. • Dve tretjini dobaviteljev še ni pridobilo neodvisne potrditve postopkov informacijske varnosti kot zagotovilo varnosti podatkov in njihove pogodbene neoporečnosti. • Obvladovanje tveganj pri poslovanju s tretjimi osebami

24. Večja pozornost varstvu zasebnosti in osebnih podatkov

25. Pozitivni trendi • Kot prednostna poslovna naloga je varstvo zasebnosti in osebnih podatkov druga najmočnejša gonilna sila informacijske varnosti. • Tri četrtine anketirancev aktivno sodeluje pri reševanju vprašanj v zvezi z zasebnostjo in varstvom osebnih podatkov. • Večja pozornost varstvu zasebnosti in osebnih podatkov

26. Pozitivni trendi • Skoraj 60% organizacij rešuje probleme v zvezi z varstvom zasebnosti in osebnih podatkov na formalen način. Kako podjetja rešujejo probleme varstva zasebnosti in osebnih podatkov • Večja pozornost varstvu zasebnosti in osebnih podatkov

27. Področja kjer je potrebno trajno izpopolnjevanje in izboljšanje • Le tretjina sodelujočih vsaj enkrat letno organizira sestanke z izvajalci varstva zasebnosti in osebnih podatkov. • Le četrtina ima v pripravi projekte s področja varstva zasebnosti. • Rezultati primerjalne analize kažejo, da je splošna raven zavedanja pomembnosti kontrol dostopa do podatkov zelo nizka. • Nizka raven izobraževanja izvršilnega osebja s področja zasebnosti. • Večja pozornost varstvu zasebnosti in osebnih podatkov

28. Načrtovanje in razvoj informacijske varnosti

29. Pozitivni trendi • Več anketirancev je pripravljeno aktivno sodelovati pri doseganju poslovnih ciljev podjetja. • Skoraj 80% organizacij je že določilo in uvedlo kritične postopke pri načrtovanju neprekinjenega poslovanja. • 75% organizacij je ocenilo tveganje povezano z informacijsko tehnologijo v okviru načrtovanja neprekinjenega poslovanja. • Skoraj 50% organizacij je že ali namerava sprejeti ustrezni standard informacijske varnosti. • Načrtovanje in razvoj informacijske varnosti

30. Pozitivni trendi • Večina odobrava strukturno oceno informacijske varnosti. • Skoraj tri četrtine organizacij bi za ocenjevanje informacijske varnosti izbralo notranjo revizijo. Metode, ki jih organizacije najpogosteje uporabljajo pri ocenjevanju informacijske varnosti • Načrtovanje in razvoj informacijske varnosti

31. Področja kjer je potrebno trajno izpopolnjevanje in izboljšanje • 50% sodelujočih se strinja, da predstavljajo nove tehnologije pomemben dejavnik tveganja. Kljub temu… • je dejavnost informacijske varnosti najmanj aktivna pri reševanju in obvladovanju teh tveganj. • Načrtovanje in razvoj informacijske varnosti

32. Področja kjer je potrebno trajno izpopolnjevanje in izboljšanje • Tretjina družb priznava, da še nima določenega časovnega okvira okrevanja po katastrofi. • Skoraj polovico organizacij še ni preizkusilo načrta neprekinjenega poslovanja. • Manj kot polovica ima pripravljen strateški načrt kriznega komuniciranja. Postopki, ki jih družbe uporabljajo pri načrtovanju neprekinjenega poslovanja. • Načrtovanje in razvoj informacijske varnosti

33. Globalni izzivi in prednostne naloge informacijske varnosti vletu 2007 in v prihodnje • Skladnost s predpisi • Varstvo zasebnosti in osebnih podatkov • Certificiranje s sprejetimi standardi • Primerjava s sprejetimi standardi in prakso družb • Obvladovanje tveganj

34. Kaj prinaša prihodnost

35. Kaj prinaša prihodnost

36. Kontaktna oseba:Damir SavanovićErnst&Young d.o.o.damir.savanovic@si.ey.com