bsk:proces_zarzadzania_bezpieczenstwem [mgr Wiki]

[[bsk:proces_zarzadzania_bezpieczenstwem]]
mgr Wiki

# Zarządzanie bezpieczeństwem systemów informatycznych

Zarządzanie bezpieczeństwem systemów informatycznych jest trwałym procesem składającym się z pewnej liczby innych procesów. Niektóre procesy, takie jak zarządzanie konfiguracją i zarządzanie zmianami, dotyczą dyscyplin innych niż bezpieczeństwo. Procesem, w odniesieniu do którego doświadczenie wykazało jego znaczną użyteczność w zarządzaniu bezpieczeństwem systemów informatycznych, jest zarządzanie ryzykiem i jego podproces – analiza ryzyka. Pewne procesy zarządzania bezpieczeństwem systemów informatycznych, włączając w to zarządzanie ryzykiem, analizę ryzyka, zarządzanie zmianami i zarządzanie konfiguracją przedstawiono na rysunku.

# Procesy zarządzania bezpieczeństwem systemów informatycznych

## Zarządzanie konfiguracją

Zarządzanie konfiguracją jest procesem śledzenia zmian w systemie i może być wykonywane formalnie, lub nieformalnie. Podstawowym celem bezpieczeństwa w zarządzaniu konfiguracją jest zapewnienie, aby zmiany w systemie nie obniżały efektywności zabezpieczeń i całkowitego bezpieczeństwa instytucji.

## Zarządzanie zmianami

Zarządzanie zmianami jest procesem używanym w celu identyfikacji nowych wymagań bezpieczeństwa, w momencie gdy następują zmiany w systemie informatycznym. Zmiany w systemach informatycznych to między innymi:

- nowe procedury,
- nowe funkcje,
- aktualizacje oprogramowania,
- zmiany sprzętowe,
- nowi użytkownicy, w tym grupy użytkowników zewnętrznych i anonimowych,
- dodatkowe połączenia sieciowe i międzysieciowe.

## Zarządzanie ryzykiem

Proces zarządzania ryzykiem polega na porównywaniu określonego ryzyka z zyskami i/lub kosztami zabezpieczeń oraz tworzeniu strategii wdrożenia i polityki bezpieczeństwa instytucji w zakresie systemów informatycznych zgodnej z polityką bezpieczeństwa instytucji oraz celami działania instytucji. Należy rozważyć różne rodzaje zabezpieczeń oraz wykonać analizę kosztów i/lub zysków. Zabezpieczenia są wybierane dla odpowiednich ryzyk i potencjalnych następstw. Należy także wziąć pod uwagę poziom akceptowalnego ryzyka szczątkowego.

## Analiza ryzyka

Analiza ryzyka identyfikuje ryzyko, które ma być kontrolowane lub zaakceptowane. W kontekście bezpieczeństwa systemów informatycznych, analiza ryzyka dla systemów informatycznych składa się z analizy wartości zasobów, zagrożeń i podatności. Ryzyko określane jest poprzez potencjalne następstwa spowodowane naruszeniem poufności, integralności, dostępności, rozliczalności, autentyczności i niezawodności. Wynikiem analizy ryzyka jest określenie prawdopodobnego ryzyka dla zasobów. Analiza ryzyka jest częścią zarządzania ryzykiem i może być ukończona bez zbędnego poświęcania czasu i angażowania zasobów poprzez przeprowadzenie początkowej skróconej analizy wszystkich systemów. Określi to, które systemy mogą być odpowiednio chronione poprzez procedury postępowania lub podstawową ochronę.

## Rozliczalność

Skuteczne zabezpieczenia wymagają rozliczalności i bezpośredniego przypisania i przyjęcia do wiadomości obowiązków z zakresu bezpieczeństwa. Obowiązki i rozliczalność powinny być przypisane do właścicieli zasobów, dostawców zasobów i użytkowników systemów informatycznych. W konsekwencji istotna dla bezpieczeństwa jest własność zasobów i związane z tym obowiązki z zakresu bezpieczeństwa oraz audyt bezpieczeństwa.

## Uświadamianie w zakresie bezpieczeństwa

Uświadamianie w zakresie bezpieczeństwa jest kluczowym elementem skutecznych działań w zakresie bezpieczeństwa. Brak uświadomienia w zakresie bezpieczeństwa i słaba praktyka personelu w tej dziedzinie może znacząco zredukować skuteczność zabezpieczeń. Pracownicy instytucji są generalnie uważani za jedne z najsłabszych punktów w zabezpieczeniach. W celu zapewnienia odpowiedniego poziomu uświadomienia w zakresie bezpieczeństwa w instytucji, ważne jest rozpoczęcie i realizacja programu uświadamiania w zakresie bezpieczeństwa. Celem programu uświadamiania w zakresie bezpieczeństwa jest objaśnienie pracownikom, partnerom i dostawcom:

- celów bezpieczeństwa, strategii i polityk bezpieczeństwa,
- potrzeby wdrożenia zabezpieczeń i związanych z tym ról i obowiązków.

## Monitorowanie

Używanie zabezpieczeń powinno być monitorowane w celu zapewnienia ich prawidłowego działania, upewnienia się, że zmiany w środowisku nie wpłynęły na efektywność działania zabezpieczeń oraz, że zapewniona jest rozliczalność. Automatyczne narzędzia do przeglądania i analizy dzienników działań są pomocne w zapewnieniu zamierzonej skuteczności działania zabezpieczeń. Narzędzia te mogą także być użyte do wykrywania niepożądanych zdarzeń, a ich użycie ma efekt odstraszający.

## Planowanie awaryjne i odtwarzanie po katastrofie

Plany awaryjne zawierają informacje o tym, jak prowadzić działalność, gdy procesy ją wspomagające są osłabione lub niedostępne. Plany te powinny opisywać wszystkie możliwe składniki różnych scenariuszy sytuacji awaryjnych, w tym:

- różne okresy trwania awarii,
- utratę różnych rodzajów funkcji,
- całkowitą utratę fizycznego dostępu do budynków instytucji,
- potrzebę powrotu do stanu, który istniałby, gdyby przerwa w działaniu nie nastąpiła.

Plany odtwarzania po katastrofie opisują jak przywrócić działanie systemów informatycznych po wystąpieniu niepożądanego incydentu, który wpłynął na ich funkcjonowanie. Plany odtwarzania po katastrofie zawierają:

- kryteria definiujące katastrofę,
- odpowiedzialność personalną za wprowadzenie w życie planu odtwarzania,
- odpowiedzialność za różne działania odtwarzające,
- opis działań odtwarzających.

# Polecam

:bsk:polityka_bezpieczenstwa-wytyczne_do_zarzadzania.pdf

Norma PN-I-13335-1:1999 (pliki od 8 do 13)

pozdrawiam

bsk/proces_zarzadzania_bezpieczenstwem.txt · Last modified: 2006/05/02 22:59 by 193.138.140.18