IT-prednasky-1-9

Terminologie, definice

• Dostupnost – zajištění, že informace je pro oprávněné uživatele v okamžiku její potřeby přístupná

• Důvěrnost – zajištění, že informace jsou přístupné pouze těm, kteří jsou k přístupu oprávněni

• Bezpečnost informací – ochrana důvěrnosti, integrity a dostupnosti informací

• Systém řízení bezpečnosti informací (ISMS)

  • Část celkového systému řízení organizace, založená na přístupu (organizace) k podnikatelským rizikům, která je zaměřena na vybudování, zavádění, provoz, monitorování, přehodnocování, údržbu a zlepšování bezpečnosti informací

  • Zahrnuje: organizační strukturu, politiky, plánovací činnosti, odpovědnosti, praktiky, směrnice, postupy, procesy, zdroje

• Integrita – zajištění správnosti a úplnosti informací a metod jejich zpracování

• Akceptace rizika – rozhodnutí přijmout riziko

• Analýza rizik – systematické používání informací k odhadu míry rizika a k určení zdrojů

• Hodnocení rizik – celkový proces analýzy a vyhodnocení rizik

• Vyhodnocení rizik – proces porovnávání odhadnutého rizika vůči daným kritériím pro určení jeho významu

• Řízení rizik – koordinované činnosti sloužící k řízení a kontrole organizace s ohledem na rizika

• Zvládání rizik – procesy výběru a přijímání opatření pro změnu rizika

• Prohlášení aplikovatelnosti – dokument popisující cíle opatření a samostatná opatření, která jsou relevantní a aplikovatelná na ISMS organizace a která jsou založená na výsledcích a závěrečných procesů hodnocení a zvládání rizik

ISO/IEC 27001:2005

• Doporučení, jak aplikovat ISO/IEC 27002:2005 v rámci procesu

  • Ustanovení, provozu, údržby a zlepšování ISMS

• V souladu se systémy řízení kvality nebo bezpečnosti prostředí

• Popisuje vhodný systém řízení, strukturu a procesy pro řízení bezpečnosti informací

• Na základě hodnocení rizik výběr opatření, která jsou aplikovatelná v prostředí firmy

• Správná definice ISMS je kritickým krokem pro zavedení ISMS ve firmě

• Přijetí ISMS – strategické rozhodnutí

Zavedení ISMS

• Model PDCA (Plan – Do – Check – Act)

  • Plánování – zavedení – kontrola – využití

  • Systém vývoje, zavedení a kontinuálního zlepšování (efektivnosti) ISMS

• Podmíněno

  • Podnikatelskými potřebami, podnikatelskými cíly, používanými procesy, velikostí a strukturou organizace

• JEDNODUCHÁ SITUCE = JEDNODUCHÉ ŘEŠENÍ

ISO/IEC 27002:2005

• Sbírka nejlepších bezpečnostních praktik z oblasti bezpečnosti informací – může být využita jako kontrolní seznam

• Mezinárodně přijatý standard

• 11 základních oddílů

• 39 cílů a opatření

• Stovky specifických opatření

Aplikovatelnost cílů

• Cílem není implementovat vše, ale naplnit všechny aplikovatelné cíle

  • Mohou se objevit požadavky na přeformulování cílů

  • Většina cílů jsou obecně aplikovatelná