Úroveň bezpečnosti IT je odrazem vyzrálosti managementu

Robert Gogela, 02. říjen 2008 07:30 0 komentářů

Klic
Při prosazování bezpečnosti IT se často dostanete do situace, kdy musíte některým lidem odpovídat na otázky typu "Jaký to má význam zabývat se bezpečností IT?" Odpověď není tak složitá, může znít například takto: "Pro mě, a možná i pro vás, žádný. Nemělo by to však být jedno majiteli firmy. Ten se samozřejmě může kdykoliv svobodně rozhodnout majetek firmy rozdat, ale neměl by umožnit, aby jej o majetek firmy snadno připravili vlastní zaměstnanci nebo konkurence."

Robert-gogela
Robert Gogela, Information
Security Senior Consultant,
Asseco Czech Republic

Zajištění přiměřené bezpečnosti IT je dnes podmínkou úspěšného fungování všech typů organizací. Případné podcenění této skutečnosti může vést až k totálnímu kolapsu fungování organizace v důsledku bezpečnostního incidentu. Fungování organizace je úkolem vrcholového managementu. Součástí tohoto úkolu je i řízení bezpečnosti provozovaných informačních systémů. Základem řízení bezpečnosti IT v organizaci je pak existence procesů a struktur bezpečnostního managementu.

Základní principy bezpečnostního managementu

Dříve než můžeme začít budovat bezpečnost IT, musí existovat pevný výchozí bod –bezpečností cíle a způsob jejich naplňování. Stanovení bezpečnostních cílů vychází z předpokladu, že byla v organizaci provedena analýza rizik informačních systémů a na jejím základě byly formulovány bezpečnostní pravidla a postupy – tedy bezpečnostní politika IT.

Při její formulaci musí být naplněny následující základní principy bezpečnostního managementu:

-- Každé pravidlo definované v bezpečnostní politice je přiřazeno konkrétnímu zaměstnanci a zahrnuto mezi jeho pracovní povinnosti.
-- Postavení a pravomoci zaměstnance musí být takové, aby mu umožnily plnění úkolů v bezpečnostním managementu.
-- Odpovědnosti zaměstnance ve struktuře bezpečnostního managementu vždy zahrnují všechny odpovědnosti jeho podřízených.
-- Bezpečnost je v organizaci prosazována shora dolů, bezpečnostní management musí mít podporu vrcholového vedení.
-- Bezpečnostní management musí mít dostatečné materiální zabezpečení.
-- Bezpečnostní management musí mít dostatečné personální obsazení.
-- Dodržování každého bezpečnostního pravidla je kontrolováno.
-- Žádný zaměstnanec nemůže vykonávat funkci kontrolora pro vlastní činnost.
-- Zaměstnanec nesmí být podřízen nikomu, jehož činnost kontroluje.
-- Každé bezpečnostní pravidlo je periodicky revidováno.
-- Každé bezpečnostní pravidlo je revidováno při změně výchozích podmínek.
-- Každé bezpečnostní pravidlo je revidováno na základě výsledků bezpečnostního auditu.
-- V oblasti informačních systémů nelze slučovat činnosti administrátora systému a administrátora bezpečnosti. Administrátor systému provádí nastavení systémových parametrů neovlivňujících bezpečnost spravovaného systému, naproti tomu administrátor bezpečnosti nastavuje pouze bezpečnostní parametry.

Postavení bezpečnostního managementu v organizaci

Teorie uvádí, že bezpečnostní management by měl mít postavení nezávislého organizačního celku, který je přímo podřízen vrcholovému vedení. Tímto způsobem získáme zcela nezávislý bezpečnostní tým, který za předpokladu, že bude finančně zainteresován na množství a způsobu řešení bezpečnostních incidentů, má optimální předpoklady k dokonalému řízení bezpečnosti.

Pokud však zvážíme, že každý člen tohoto týmu bude odborníkem v příslušné oblasti, zjistíme, že náklady na takovou strukturu řízení bezpečnosti jsou obrovské. Dalším komplikací je to, že většina činností nenaplní celý pracovní fond jednotlivce a funkce v bezpečnostním managementu nelze slučovat. Je zcela zřejmé, že budování teoreticky nejsprávnějšího bezpečnostního managementu je vyhrazeno pouze pro organizace, kde je hledisko výše vynakládaných prostředků podružné.

V praxi se ukázalo jako bezpečné a efektivní následující řešení:

-- Nebudovat paralelní bezpečnostní strukturu.
-- Přímo pod vedením organizace vytvořit malou skupinu specialistů, která zajišťuje činnosti tvorby pravidel na nejvyšší úrovni a zkoumání pravidel na všech úrovních. Tím je zajištěno vytvoření kvalitních bezpečnostních dokumentů na nejvyšší úrovni a přímá zpětná vazba ze všech úrovní řízení bezpečnosti.
-- Tvorbu pravidel nižší úrovně, realizaci a kontrolu realizace zajišťovat v rámci nižších organizačních jednotek.
-- Na tvorbu a aktualizaci (revizi) bezpečnostních dokumentů využívat služeb externí specializované organizace.
-- Pro provádění auditů vyšší úrovně využívat služeb externí specializované organizace.
Řízení bezpečnosti při outsourcingu IT

Zvláštní pozornost musíme věnovat řízení bezpečnosti informačních systémů, které jsou spravovány externí organizací. Nejsložitější situace z hlediska bezpečnosti nastává v případě, kdy nemáme objektivní možnost kontroly dodržení bezpečnostních pravidel.

Základním, a často i jediným prostředkem pro zajištění bezpečnosti informačního systému při spolupráci s externí organizací je zahrnutí bezpečnostních pravidel do obsahu smlouvy. Ve všech případech odpovídá za dodržení bezpečnostních pravidel zaměstnanec, který za organizaci podepisuje smlouvu s externí organizací. Pokud tento zaměstnanec nenese přímou odpovědnost za systém, který je předmětem smlouvy, měl by si interně vyžádat souhlas se zněním smlouvy před jejím podpisem od zaměstnance přímo odpovědného za bezpečnost příslušného systému.

Pokud to předmět smlouvy umožňuje, zakotvíme v podmínkách smlouvy kontrolní roli zaměstnanců organizace. V každém případě musí smlouva obsahovat závazek dodržování bezpečnostních pravidel ze strany externí organizace. Pro případ nedodržení smluvních podmínek musí smlouva obsahovat sankce, jejichž výše by měla být větší než hodnota ohrožených aktiv, která byla zjištěna v rámci analýzy rizik. Při uzavírání smlouvy je nezbytné důkladně zkoumat základní jmění externí organizace, které by mělo být řádově větší než celková suma sankcí v uzavřených smlouvách.

Výchozí axiomy bezpečnosti IT

Při zajišťování bezpečnosti IT je třeba mít vždy na paměti následující výchozí axiomy:

-- Neexistuje absolutně bezpečný informační systém.
-- Bezpečnost záleží především na lidech.
-- Technologie jsou jen nástroje k prosazení bezpečnosti.
-- Celková bezpečnost je určena nejslabším článkem v řetězci bezpečnostních opatření.
-- Bezpečnost je dynamický proces, který podléhá neustálému vývoji a hodnocení.
-- Bezpečnost komplikuje a znesnadňuje práci uživatele.
-- Nelze slučovat funkce výkonné a kontrolní ve všech fázích životního cyklu systému.
-- Uživatelům jsou přidělována minimální privilegia nezbytná pro jejich práci.
-- Bezpečnost systému musí být zachována i po obnově provozu systému, která následovala po selhání nebo havárii.

Profil

Autor článku zastává pozici Information Security Senior Consultant ve společnosti Asseco Czech Republic. Robert Gogela se zabývá problematikou bezpečnosti informačních systémů více než 10 let. Podílel se na realizaci projektu První certifikační autority (I.CA) a na bezpečnostních projektech informačních systémů ministerstva obrany a ministerstva vnitra. Specializuje se na analýzy rizik, vytváření architektur bezpečnosti informačních systémů a zajištění ochrany osobních údajů. Svůj volný čas věnuje cestování, jízdě na kole s přáteli a plavání.

Přečtěte si také

Jedou vaše informační technologie po bezpečné cestě?


Komentáře


RSS 

Komentujeme

Chatbot mluví za mrtvého – od nápadu k realizaci

Pavel Houser , 30. listopad 2016 13:00
Pavel Houser

Na webu The Verge popsala Casey Newton příběh dvou přátel (Eugenia Kuyda a Roman Mazurenko). Peripet...

Více





Kalendář


RSS 

Zprávičky

CETIN vydal dluhopisy za 25 miliard Kč

ČTK , 05. prosinec 2016 18:00

Česká telekomunikační infrastruktura (CETIN) upsala dluhopisy v eurech a korunách v celkovém objemu ...

Více 0 komentářů

Nahradí otisky prstů přístupová hesla?

ČTK , 05. prosinec 2016 14:30

Zní to jako skvělý nápad: zapomeňte na hesla a zamykejte telefon místo nich otiskem svého prstu. Je ...

Více 1 komentářů

Počítač a internet má na jižní Moravě více než 75 pct domácností

ČTK , 05. prosinec 2016 10:30

Počet jihomoravských domácností, které mají počítač a přístup k internetu, se loni přehoupl na jižní...

Více 0 komentářů

Starší zprávičky

Vodafone zvýšil do září počet zákazníků na 3,54 milionu

ČTK , 04. prosinec 2016 18:00

Mobilní operátor Vodafone zvýšil do konce září počet zákazníků na českém trhu meziročně o 146.000 na...

Více 0 komentářů

Nový škodlivý program ukradl údaje k milionu účtů Google

ČTK , 02. prosinec 2016 14:00

Nový škodlivý program Goolian narušil bezpečnost více než jednoho milionu účtů Google. Šíří se na za...

Více 1 komentářů

Telefony Nokia se příští rok vrátí na trh

ČTK , 02. prosinec 2016 10:30

Chytré telefony se značkou Nokia se objeví zpátky na trhu v příštím roce. Finská společnost Nokia dn...

Více 2 komentářů

CETIN nabídne příští rok operátorům připojení až 250 Mbit/s

ČTK , 01. prosinec 2016 17:00

Společnost Česká telekomunikační infrastruktura (CETIN) zvýší od května příštího roku rychlost inter...

Více 0 komentářů