Řízení informační bezpečnosti a veřejná správa Kladno 1.prosince 2008 Doc.RNDr. Milan BERKA, CSc.
Systém řízení informační bezpečnosti Různé certifikace bezpečnosti a jejich význam NBÚ, ISO, Objekty a zařízení IS Normy BS 7799, ČSN ISO/IEC 17799, ISO ISO/IEC 27000, ČSN ISO/IEC 25000, ČSN ISO TR 13335, ISO TR 14516 ČSN ISO/IEC 15408, ČSN ISO/IEC 19000, Legislativa - dopady Zákon 128, 129, 365 o informačních systémech ve veřejné správě Zákon o elektronických komunikacích SPAM pokuta 10 mil.kč Autorský zákon nelegální SW milionové pokuty Zákon o ochraně osobních údajů pokuta 10-50 mil. Kč Vyhláška 529 k zákonu 365 dnes - ISMS rok 2011 Organizace zavádění do praxe organizační zastřešení rozhodnutí vedení organizace, role stanovení priorit atd.
Nesete následky Neřešení bezpečnosti Napadení telefonních ústředen 9 mil. Neoprávněné volání přes GSM bránu. Napadení VoIP služeb přes SIP 100 000 Euro škoda neoprávněná zahraniční volání, jiný operátor 600 000 škoda. Nelegální SW nejmenovaná organizace 8 mil. škoda a povinnost dokoupit SW, soudní řízení s managementem Rozesílání nevyžádaných e-mailů zaměstnanec rozesílal nabídky z firemního mailu, UOOU 10 mil. Pokuta Únik osobních dat zaměstnance nejmenovaná organizace 7 mil. Pokuta Vše za posledních 6 měsíců. Za rok předtím jsem registroval pouze jednu kauzu. Roční nárůst o 1 000 %.
Postup při implementaci Rozhodnutí vedení o zavádění ISMS - existuje Stanovení rozsahu a struktury ISMS Politika ISMS schválení vedením (jedna strana A4) Zavedení systematického řízení rizik AR - IT Stanovení bezpečnostních politik CBP schválí vedení (pět stran A4), ostatní vydá a schválí IT Implementace a provoz ISMS IT nebo dle návrhu org.struktury Monitorování a přezkoumávání ISMS audity, zprávy IT schvaluje vedení Údržba a zlepšování ISMS rutinní provoz té věci
Postup při implementaci
Analýza a řízení rizik Metodika (mnoho možných metodik ) CRAMM ALE CORAX COBIT Určení aktiv Určení hrozeb Určení zranitelností Výpočet rizika a následků Určení možných protiopatření (z normy 136, technických, organizačních a dalších) Modelování změny rizik Výběr vhodných maximální efekt s minimálními náklady Opakování cyklu
Analýza rizik Aktiva Stanovit přesně čím se budeme zabývat seznam aktiv HW evidence, nákup, inventarizace SW evidence, licence, nákupy, inventarizace Aplikace Lidé Informace ve všech formách (včetně papíru, medií, systémů) Odpovědnost vlastník / správce Správa Hodnota aktiva cena, ztráta z výpadku, nedostupnosti, zničení Návaznosti mezi aktivy Výše ohodnocení aktiva zvyšuje riziko
Analýza rizik Hrozby Co kterému aktivu hrozí část obecně z normy ISO 13335 Hrozby ze zkušenosti Klasifikace hrozeb Statistika incidentů Obecné tabulky Ohodnocení hrozeb Výše hrozby zvyšuje riziko Zranitelnosti Možnost uplatnění hrozby Ohodnocení Výše zranitelnosti zvyšuje riziko
Analýza rizik Opatření (protiopatření) Ochrana aktiva proti hrozbě Ohodnocení vyjadřuje účinnost Snižuje riziko Riziko Závisle proměnná, přímo úměrná hodnotě aktiva, přímo úměrná velikosti hrozby, přímo úměrná zranitelnosti a nepřímo úměrná přijatým opatřením Parametr pravděpodobnost charakterizuje to, že se hrozba na aktivum skutečně uplatní, jde o výskyt dané události Řešení rizika Přijetí rizika Přenesení na dodavatele nebo pojišťovnu Plán snižování rizik
hodnota rizika Snižování maximálních rizik Snižování rizik maximální rizika na aktivech 40 35 30 25 20 Řada3 Řada2 Řada1 15 10 5 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 hrozba
sumární riziko Snižování sumárních rizik Snižov ání rizik hrozby sumárně 3000 2500 2000 Řada3 1500 Řada2 Řada1 1000 500 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 hrozba
maximální riziko Snižování rizik po aktivech Rizika po aktiv ech 50 45 40 35 30 25 20 Řada3 Řada2 Řada1 15 10 5 0 1 6 11 16 21 26 31 36 41 46 51 56 61 66 71 76 81 86 91 96 101 106 111 116 121 126 131 136 141 146 151 156 161 166 171 aktiva
Plán snižování rizik Opatření Politika ISMS vytvoření a schválení politiky ISO/IEC 27001 Kap.4-8 Bezpečnostní politiky vytvoření a schválení struktury politik a předpisů ISO/IEC 27001 Kap.4-8 ISO/IEC 17799 Kap.5 Definice PoA Prohlášení o aplikovatelnosti (specifikuje schválené opatření k realizaci dle opatření ISO) Křížová kontrola vůči příloze A normy ISO/IEC 27001, aby nebyly opomenuté žádné cíle či opatření potřebné pro ISMS organizace. ISO/IEC 27001 Kap.4-8 Odpovědnost, termín, zdroje leden, únor 2008 20 000,- 50 hodin březen duben 2008 80 000,- 200 hodin Duben 2008 interně 30 hodin
Politika ISMS a Bezpečnostní politika informací Bezpečnostní politika, jak vyplývá z požadavku normy je povinný dokument. Vychází ze specifických podmínek organizace, jejich procesů, struktury a používaných aktiv. Tento povinný dokument musí být schválen vrcholovým vedením organizace a musí s ním seznámeni všichni zaměstnanci organizace. Minimální obsah politiky ISMS je následující: cíle v oblasti ISMS, celková strategie a rámec zásad ISMS požadavky vyplývající z hlavních činností organizace, legislativní, normativní požadavky a smluvní závazky, organizační a odpovědnostní strukturu a vazby informační bezpečnosti v systému řízení organizace stanovení kritérií a způsobu řízení rizik a základní bezpečnostní opatření
Organizace dokumentace Směrnice, předpisy, postupy, řády,.. Celková bezpečnostní politika Bezpečnostní politika informací Bezpečnostní politika systému XYZ - RAS, Autentizace, Autorizace, Účetnictví, Přístup do objektů, Utajované skutečnosti,... Bezpečnostní projekty / Plány zvládání rizik Podřízenost a nadřízenost předpisů Co kde uvádět?
Obsah dokumentů Jeden velký dokument / mnoho menších? Strategie Taktické cíle Postupné upřesňování pravidel Implementace opatření Např. politika přístupu k informacím, zálohování dat, různé systémy různá pravidla, technické prostředky atd.
Požadavky na dokumentaci Rozsah a předmět ISMS Kvalifikace informací z hlediska citlivosti k ISMS Seznam aktiv Řízení dokumentů Řízení záznamů Řízení neshod Řízení nápravných opatření Řízení preventivních opatření Interní audity ISMS Analýza a hodnocení rizik Zpráva o hodnocení rizik Plán řízení rizik ( cíle a programy řízení rizik) Prohlášení o aplikovatelnosti ( POA) Dokumentované postupy nezbytné pro zajištění efektivního fungování a provozu ISMS Plány havárie a obnovy ( Disaster Recovery Plan DRP) Plány kontinuity podnikání ( Business Continuity Planning BCP)
Popisy procesů řízení dokumentace ISMS pravidla jsou stejná jako u dokumentace systému jakosti dle ISO 9001 zacházení s informacemi ve všech jejich formách, včetně klasifikace informací a výměny s jinými organizacemi, řízení přístupů do ISMS správa počítačové sítě, zejména ve vztahu k bezpečnosti používaných síťových služeb, fyzická bezpečnost, práce v bezpečnostních zónách a ochrana zařízení a médií, šifrování, nasazování šifrovacích prostředků a správa klíčů, management bezpečnostních incidentů, rozpoznávání incidentů, slabin a selhání, ohlašování, vyšetřování, informování, vyhodnocování, poučení z chyb a disciplinární proces, řízení změn, schvalování prostředků k nasazení, iniciování, řešení, testování a realizace velkých a malých změn, kontrolní činnost, protokolování užití systému a monitoring, ověřování technické shody, řízení kontinuity činností, plánování, formulace a dokumentace havarijních plánů a plánů obnovy funkčnosti, testování plánů
Vedení záznamů - doložení fungování pravidel Záznamy mohou být vedeny libovolnou formou písemně, elektronicky, v textovém, databázovém, tabulkovém nebo jiném formátu za podmínky že jsou: identifikovatelné umožňují v předem stanoveném rozsahu vyhledávání jsou přístupné autorizovaným osobám, resp. procesům jejich identifikace, uložení, ochrana, vyhledávání a přístupnost je dokumentována vedení každého záznamu musí být definováno v příslušné směrnici, resp. popisu procesu
Plány v rámci bezpečnosti IS Plán zachování kontinuity (hlavních činností) - BCP Plán zálohování a obnovy - DRP Havarijní plány (pro jednotlivé IS) a seznam všech havarijních plánů Plán testování havarijních plánů. Plán bezpečnostní výchovy a školení. Plán auditů ISMS
Zásady pro implementaci ISMS Bezpečnost informací něco stojí investované prostředky by měly produkovat výsledek a ne pouze nákladný konzultační proces Bezpečnost informací se musí stát prioritou vrcholového vedení Míra bezpečnosti by měla být úměrná škodě, která může být způsobena Bezpečnost informací není jednorázový akt, ale nikdy nekončící řízený proces Přehnané nároky na bezpečnost jdou na úkor funkcionality Nejúčinnější je bezpečnost, která se řeší od začátku implementace integrovaného systému a je jeho integrální součástí Prolomení bezpečnosti může zabránit kombinace opatření na několika vrstvách (organizační, personální, objektová, technická, komunikační, provozní, programová) Bezpečnost informací je multioborová problematika, kterou nezvládne běžný správce IS, administrátor ani programátor Bez důkladného a kontinuálního vzdělávání zaměstnanců v oblasti ISMS nelze provozovat sebelépe implementovaný systém Bezpečnost informací nesmí být překážkou podnikání, úspěšné podnikání není možné bez zajištění bezpečnosti informací Bezpečnostní manažer musí být podřízen pouze vrcholovému vedení nebo musí být nezávislý Vyvarovat se firem nebo jednotlivců, kteří o sobě prohlašují, že ISMS rozumí Implementace technologických prostředků není implementací ISMS Nikdy nevyloučíte škody a rizika zcela, můžete je pouze minimalizovat
Děkuji za pozornost Milan.Berka@gmail.com