ISMS VE STÁTNÍ SPRÁVĚ A SAMOSPRÁVĚ Vladimír Sekerka, ICZ a.s. 07.04.2008, Hradec Králové www.i.cz

Obsah ISMS a ISO 27001 Důvody a přínosy zavádění Cyklus PDCA Postupy a principy Specifiká zavádění ISMS ve SSaS www.i.cz

ISMS a ISO 27001 Systém řízení bezpečnosti informací podle ČSN ISO/IEC 27001 Systémy managementu bezpečnosti informací – Požadavky Zavedení vybraných opatření podle ČSN ISO/IEC 17799 (ISO/IEC 27002) Soubor postupů pro management bezpečnosti informací www.i.cz

Důvody a přínosy zavádění Zlepšení stavu bezpečnosti informací udržována trvale zlepšována Efektivnější vynakládání prostředků směřovány do míst s významnými riziky Certifikace – záruka pro okolí menší význam než u komerčních organizací - není potřeba odlišit se od konkurence zůstává jako signál pro zákazníky = občany ochrana os. údajů apod. www.i.cz

Soustavné zlepšování opakováním cyklu PDCA www.i.cz

Postup zavádění Plánuj: Dělej: Kontroluj Jednej Bezpečnostní politika Analýza rizik Volba opatření Dělej: Implementace opatření Návrh a implementace bezpečnostních procesů a postupů Kontroluj Interní kontroly (Např. penetrační testy) Jednej Implementace nápravných a preventivních opatření Odstranění zjištění z interních auditů www.i.cz

Principy Odpovědnost vedení Procesní přístup Řízení rizik Využití ISO/IEC 27001 a ISO/IEC 17799 (ISO/IEC 27002) Soustavné zlepšování (cyklus PDCA) přehodnocování a audit www.i.cz

Specifika zavádění ve státní správě a samosprávě Významná část informací v podobě papírových dokumentů Obtížnější hodnocení dopadů při analýze rizik s výjimkou ochrany osobních údajů a dodržování lhůt V případě zavádění v resortech –samostatnost složek www.i.cz

Děkuji za vaši pozornost Vladimír Sekerka vladimir.sekerka@i.cz +420 244 100 768 ICZ a.s. Divize bezpečnost www.i.cz www.i.cz

Členění ISO/IEC 27001 Systém řízení bezpečnosti informací Odpovědnost vedení Interní audity ISMS Přezkoumávání ISMS vedením organizace Zlepšování ISMS Příloha A: Cíle opatření a jednotlivá bezpečnostní opatření. www.i.cz

Členění ISO/IEC 27002 Bezpečnostní politika Organizace bezpečnosti Klasifikace a řízení aktiv Bezpečnost lidských zdrojů Fyzická bezpečnost a bezpečnost prostředí Řízení komunikací a provozu Řízení přístupu Nabývání, vývoj a údržba systémů Řízení bezpečnostních incidentů Řízení kontinuity činnosti organizace Shoda s požadavky www.i.cz

Řízení rizik Riziko = kombinace pravděpodobnosti události a jejích následků Zvládání rizik odstranění (snížení) rizika (opatřením) přenesení rizika (např. pojištěním) vyhnutí se riziku (např. zrušením procesu) akceptace rizika Identifikace a ohodnocení rizika je podmínkou pro jeho zvládání Tolerance k riziku www.i.cz