Mezinárodní konference ICT Fórum PERSONALIS 2006 Procesní řízení informační bezpečnosti ve státní správě Ing. Jindřich KODL, CSc. Praha

Osnova Úvod –Architektura orientovaná na služby Informační bezpečnost ve státní správě –COBIT –ITIL –ISO/IEC 17799:2005 a ISO/IEC 27001:2005 Procesy při řízení informační bezpečnosti ICT Fórum / Personalis Praha

Úvod Rozvoj informačních technologií a Internetu přivodil mj. vypracování programů elektronizace činnosti orgánů státní správy (resp. veřejné správy) zahrnutých pod pojmem e-government základní cílE-government se netýká pouze využívání Internetu zaměstnanci orgánu státní správy, ale stanovuje základní cíl: –Vytvořit „elektronickou“ administrativu ICT Fórum / Personalis Praha

Úvod E – administrativa zahrnuje např.: –on-line nabídky služeb –možnosti v připojení občanů na agendy státní správy Jedná se např. o: –podání informace o admin. postupech –on-line formuláře –distribuci oficiálních dokumentů (oznámení, výzva apod.) em –diskusní fóra ICT Fórum / Personalis Praha

Úvod Transformační proces v rámci státní správy je obdobný procesu, který musela podstoupit podniková sféra při vytváření prostředí pro elektronický business ICT Fórum / Personalis Praha

Architektura orientovaná na služby Efektivní přístup k transformaci činností firem i organizací v podnikové sféře využívá metodika Architektura orientovaná na služby „Architektura orientovaná na služby“ (SOA – Service Oriented Architecture) inovaci státní správy SOA ukazuje, že může podstatně přispět při inovaci státní správy. Představuje možnost využít výsledky postupů při definování a implementaci business a technologických služeb. ICT Fórum / Personalis Praha

Architektura orientovaná na služby Ve státní správě lze definovat tři základní skupiny služeb: –státní správa - obyvatelstvo –státní správa – podniková sféra –služby v rámci orgánů státní správy ________________________ Analýzy v Německu v rámci realizace programu e-government ukázaly na požadavek zajistit cca 400 typů služeb ICT Fórum / Personalis Praha

Architektura orientovaná na služby Elektronizace státní správy z pohledu využívání informačních technologií Architektonický model pro aplikace ve státní správě ICT Fórum / Personalis Praha Přístupové body - Zpracování informací - Vývoj infrastruktury a aplikací - databázové prostředí

Informační bezpečnost ve státní správě V průběhu svého standardního životního cyklu prochází informace etapou: Vytvoření; Uložení; Zpracování; Přenosu a distribuce; Užití. ICT Fórum / Personalis Praha Během všech těchto etap ale může u dané informace dojít k jejímu: Zničení; Znehodnocení; Využití k jiným účelům (vesměs neoprávněným); Ztrátě; Nedostupnosti.

Informační bezpečnost ve státní správě Základní trendy Trend orientace architektury IS na podporu služeb; Trend orientace na procesní stránku činností organizace – místo na technická řešení. ICT Fórum / Personalis Praha

Informační bezpečnost ve státní správě Postup v rámci SOA procesní model podpory služeb reaguje na požadavky svázané s činností orgánu státní správy z architektonických hledisek orientovaných na: –služby klientům, –informace, –technologie, –správu systémů, –bezpečnost. ICT Fórum / Personalis Praha

Informační bezpečnost ve státní správě Metodologie COBIT verze 4 –strukturovaný pohled na řízení IT - model RACI využitý pro určení míry zodpovědnosti řídících složek, tj. kdo je (Responsible, Accountable, Consulted, Informed), –definice vedoucích rolí na jednotlivých úrovních a požadované činnosti, –organizační struktury procesů. V rámci COBIT je vytvořeno strukturované prostředí, ve kterém organizace může fungovat, resp. je poukázáno na to „CO“ má z pohledu řízení oblasti IT zajišťovat. ICT Fórum / Personalis Praha

Informační bezpečnost ve státní správě Rámec popisující „ JAK“ jsou definovány řídící procesy v prostředí IT, resp. „JAK“ jsou v informační infrastruktuře svázány procesy řízení bezpečnosti s ostatními řídícími procesy, je obsažen v ITIL (Information Technology Infrastructure Library), což je obsáhlý a logicky utříděný soubor postupů, zejména pro řízení služeb a návazných procesů. ICT Fórum / Personalis Praha

Informační bezpečnost ve státní správě Normy ISO/IEC 17799: 2005 a ISO/IEC 27001: Předpis zahrnující zásady pro správu informační bezpečnosti (Code of practice for information security management) 2.Definice požadavků na správu systému řízení bezpečnosti informací (Information Security Management System – ISMS). Norma ad 2) zvýrazňuje procesní pojetí při zavádění ISMS do prostředí organizace. ICT Fórum / Personalis Praha

Procesy řízení informační bezpečnosti Návrh (dle přístupu SOA) bezpečnostních procesů navazuje na: –vyhodnocení výsledků z metodologie COBIT v.4; –postupy definované v rámci ITIL; –východiska normy ISO/IEC soustředěné na požadované činnosti, které je třeba zajistit při zavádění ISMS do prostředí IS. ICT Fórum / Personalis Praha

Procesy řízení informační bezpečnosti Zavedení bezpečnostních procesů těsně souvisí zavedením systému řízení informační bezpečnosti (ISMS). ICT Fórum / Personalis Praha

Procesy řízení informační bezpečnosti Fáze plánování –definice politiky ISMS,ve vazbě na bezpečnostní politiku státu –definice postupů a procesů při řízení rizik (identifikace, hodnocení), –vymezení rizik v souvislosti s dopadem na celkovou politiku a cíle stanovené v jednotlivých orgánech státní správy. Fáze implementace –zavedení procesů a postupů, –implementace bezpečnostních opatření. Fáze kontroly –monitorování navrženého ISMS. Fáze provozu –realizace nápravných opatření. ICT Fórum / Personalis Praha

Otázky a doplnění ICT Fórum / Personalis Praha

Děkuji za pozornost Ing. Jindřich Kodl, CSc. ICT Fórum / Personalis Praha