====== Zarządzanie bezpieczeństwem systemów informatycznych ======

Zarządzanie bezpieczeństwem systemów informatycznych jest trwałym procesem składającym się z pewnej liczby innych procesów. Niektóre procesy, takie jak zarządzanie konfiguracją i zarządzanie zmianami, dotyczą dyscyplin innych niż bezpieczeństwo. Procesem, w odniesieniu do którego doświadczenie wykazało jego znaczną użyteczność w zarządzaniu bezpieczeństwem systemów informatycznych, jest zarządzanie ryzykiem i jego podproces – analiza ryzyka. Pewne procesy zarządzania bezpieczeństwem systemów informatycznych, włączając w to zarządzanie ryzykiem, analizę ryzyka, zarządzanie zmianami i zarządzanie konfiguracją 
przedstawiono na rysunku.

{{:bsk:zbsi.png|:bsk:zbsi.png}}


====== Procesy zarządzania bezpieczeństwem systemów informatycznych ======

===== Zarządzanie konfiguracją =====

Zarządzanie konfiguracją jest procesem śledzenia zmian w systemie i może być wykonywane formalnie, lub nieformalnie. Podstawowym celem bezpieczeństwa w zarządzaniu konfiguracją jest zapewnienie, aby zmiany w systemie nie obniżały efektywności zabezpieczeń i całkowitego bezpieczeństwa instytucji.

===== Zarządzanie zmianami =====

Zarządzanie zmianami jest procesem używanym w celu identyfikacji nowych wymagań bezpieczeństwa, w momencie gdy następują zmiany w systemie informatycznym.
Zmiany w systemach informatycznych to między innymi:
  * nowe procedury,
  * nowe funkcje,
  * aktualizacje oprogramowania,
  * zmiany sprzętowe,
  * nowi użytkownicy, w tym grupy użytkowników zewnętrznych i anonimowych,
  * dodatkowe połączenia sieciowe i międzysieciowe.

===== Zarządzanie ryzykiem =====

Proces zarządzania ryzykiem polega na porównywaniu określonego ryzyka z zyskami i/lub kosztami zabezpieczeń oraz tworzeniu strategii wdrożenia i polityki bezpieczeństwa instytucji w zakresie systemów informatycznych zgodnej z polityką bezpieczeństwa instytucji oraz celami działania instytucji. Należy rozważyć różne rodzaje zabezpieczeń oraz wykonać analizę kosztów i/lub zysków. Zabezpieczenia są wybierane dla odpowiednich ryzyk i potencjalnych następstw. Należy także wziąć pod uwagę poziom akceptowalnego ryzyka szczątkowego.

===== Analiza ryzyka =====

Analiza ryzyka identyfikuje ryzyko, które ma być kontrolowane lub zaakceptowane. W kontekście bezpieczeństwa systemów informatycznych, analiza ryzyka dla systemów informatycznych składa się z analizy wartości zasobów, zagrożeń i podatności. Ryzyko określane jest poprzez potencjalne następstwa spowodowane naruszeniem poufności, integralności, dostępności, rozliczalności, autentyczności i niezawodności. Wynikiem analizy ryzyka jest określenie prawdopodobnego ryzyka dla zasobów. Analiza ryzyka jest częścią zarządzania ryzykiem i może być ukończona bez zbędnego poświęcania czasu i angażowania zasobów poprzez przeprowadzenie początkowej skróconej analizy wszystkich systemów. Określi to, które systemy mogą być odpowiednio chronione poprzez procedury postępowania lub podstawową ochronę.

===== Rozliczalność =====

Skuteczne zabezpieczenia wymagają rozliczalności i bezpośredniego przypisania i przyjęcia do wiadomości obowiązków z zakresu bezpieczeństwa. Obowiązki i rozliczalność powinny być przypisane do właścicieli zasobów, dostawców zasobów i użytkowników systemów informatycznych. W konsekwencji istotna dla bezpieczeństwa jest własność zasobów i związane z tym obowiązki z zakresu bezpieczeństwa oraz audyt bezpieczeństwa.

===== Uświadamianie w zakresie bezpieczeństwa =====

Uświadamianie w zakresie bezpieczeństwa jest kluczowym elementem skutecznych działań w zakresie bezpieczeństwa. Brak uświadomienia w zakresie bezpieczeństwa i słaba praktyka personelu w tej dziedzinie może znacząco zredukować skuteczność zabezpieczeń. Pracownicy instytucji są generalnie uważani za jedne z najsłabszych punktów w zabezpieczeniach. W celu zapewnienia odpowiedniego poziomu uświadomienia w zakresie bezpieczeństwa w instytucji, ważne jest rozpoczęcie i realizacja programu uświadamiania w zakresie bezpieczeństwa. Celem programu uświadamiania w zakresie bezpieczeństwa jest objaśnienie pracownikom, partnerom i dostawcom:
  * celów bezpieczeństwa, strategii i polityk bezpieczeństwa,
  * potrzeby wdrożenia zabezpieczeń i związanych z tym ról i obowiązków.

===== Monitorowanie =====

Używanie zabezpieczeń powinno być monitorowane w celu zapewnienia ich prawidłowego działania, upewnienia się, że zmiany w środowisku nie wpłynęły na efektywność działania zabezpieczeń oraz, że zapewniona jest rozliczalność. Automatyczne narzędzia do przeglądania i analizy dzienników działań są pomocne w zapewnieniu zamierzonej skuteczności działania zabezpieczeń. Narzędzia te mogą także być użyte do wykrywania niepożądanych zdarzeń, a ich użycie ma efekt odstraszający. 

===== Planowanie awaryjne i odtwarzanie po katastrofie =====

Plany awaryjne zawierają informacje o tym, jak prowadzić działalność, gdy procesy ją wspomagające są osłabione lub niedostępne. Plany te powinny opisywać wszystkie możliwe składniki różnych scenariuszy sytuacji awaryjnych, w tym:
  * różne okresy trwania awarii,
  * utratę różnych rodzajów funkcji,
  * całkowitą utratę fizycznego dostępu do budynków instytucji,
  * potrzebę powrotu do stanu, który istniałby, gdyby przerwa w działaniu nie nastąpiła.

Plany odtwarzania po katastrofie opisują jak przywrócić działanie systemów informatycznych po wystąpieniu niepożądanego incydentu, który wpłynął na ich funkcjonowanie. Plany odtwarzania po katastrofie zawierają:
  * kryteria definiujące katastrofę,
  * odpowiedzialność personalną za wprowadzenie w życie planu odtwarzania,
  * odpowiedzialność za różne działania odtwarzające,
  * opis działań odtwarzających.

====== Polecam ======

{{:bsk:polityka_bezpieczenstwa-wytyczne_do_zarzadzania.pdf|:bsk:polityka_bezpieczenstwa-wytyczne_do_zarzadzania.pdf}}

[[http://student.wieik.pk.edu.pl/~da57139/materialy/part1.tar.bz2|Norma PN-I-13335-1:1999 (pliki od 8 do 13)]]

pozdrawiam 8-)