Přístup k řešení bezpečnosti IT Nemochovský František ISSS Hradec Králové, dubna 2005

Osnova Představení firmy Unisys Proč řešit bezpečnost IT Problémy při řešení bezpečnosti IT ve státní správě Jak přistoupit k řešení bezpečnosti Doporučený obsah úvodní studie řešení bezpečnosti Dotazy

Unisys - služby a řešení v IT

V jakých sektorech Unisys působí Finanční služby 80% největších světových bank Veřejná správa přes 1500 úřadů veřejné správy Telekomunikace 9 z 10 nejvýznamnějších světových telekomunikačních společností Doprava více než 200 leteckých společností Média 200 vydavatelů novin v 17 zemích

Unisys s.r.o. v České republice  působení na českém trhu od roku 1990  základní složení specialistů Unisys: konzultanti projektoví manažeři technická podpora Italská 35, Praha 2, , Tel:

Proč řešit bezpečnost IT Ochrana utajovaných skutečností zákon č.148/1998 Sb. o ochraně utajovaných skutečností vyhláška č. 56/1999 Sb. o zajištění bezpečnosti IS nakládajících s utajovanými skutečnostmi Další požadavky legislativy zákon č. 101/2000 Sb. o ochraně osobních údajů zákon č. 227/2000 Sb. o elektronickém podpisu nařízení vlády č. 495/2004 Sb., kterým se provádí zákon č. 227/2000 Sb. o elektronickém podpisu zákon č. 365/2000 Sb. o informačních systémech veřejné správy Zákon č. 480/2004 Sb. o některých službách informační společnosti Členství České republiky v EU Z potřeby organizace chránit svá data

Problémy při řešení bezpečnosti IT ve státní správě Řešení bezpečnosti IT je vyžadováno legislativou a normami Nedostatek finančních prostředků Podpora vedení Není definována struktura řízení bezpečnosti IT Nedostatek vlastních specialistů na řešení bezpečnosti Při trendu snižování počtu zaměstnanců státní správy je v podstatě nereálné rozšířit počet zaměstnanců o specialisty na řešení bezpečnosti IT

Jak přistoupit k řešení bezpečnosti splnění požadavků platné legislativy soulad řešení s platnými normami řešení bezpečnosti musí být řízený procesem řešení po jednotlivých etapách životního cyklu (bezpečnostní politika, analýza rizik, návrh řešení, implementace, testování, monitorování účinnosti, změnové řízení) řešení bezpečnosti zahrnuje i další související oblasti (personální, fyzická, administrativní, …) navržená a následně implementovaná bezpečnostní opatření eliminují hrozby nebo snižují pravděpodobnost jejich výskytu zbytkové riziko je pro organizaci akceptovatelné Normy pro řešení bezpečnosti IT vyžadují systémové řešení, které lze stručně charakterizovat jako:

Jak přistoupit k řešení bezpečnosti ? Jak se vypořádat s požadavky na řešení bezpečnosti IT při existujících problémech? = Nepouštět se „bezhlavě“ do řešení bezpečnosti, řešení zahájit zpracováním úvodní studie.

Důvody pro zpracování úvodní studie zhodnocení stávajícího stavu řešení bezpečnosti IT jako východiska pro další řešení bezpečnosti ochrana investic již vložených do řešení bezpečnosti definování strategického cíle v oblasti bezpečnosti IT definování zdrojů nutných pro další řešení bezpečnosti IT zpracování a zhodnocení možných variant řešení vytvoření kvalifikovaných podkladů pro strategické rozhodnutí managementu organizace o dalším řešení bezpečnosti IT

Důvody pro zpracování úvodní studie Co vše potřebuji k dosažení cílového stavu Výchozí stavCílový stav

Doporučený obsah úvodní studie řešení bezpečnosti Současný stav bezpečnosti informačního systému Hodnocení současného stavu (např. splnění požadavků norem) Identifikace již implementovaných bezpečnostních opatření Návrh strategických cílů v oblasti bezpečnosti IT Návrh etap řešení bezpečnosti (závisí na současném stavu řešení bezpečnosti) Nutné zdroje k dosažení definovaných cílů Lidské zdroje Časové zdroje Finanční zdroje Návrh a analýza variant dosažení cílů Doporučení a zdůvodnění varianty řešení

Úvodní studie řešení bezpečnosti Návrh a analýza variant dosažení cílů by měla zhodnotit, zda je organizace schopna řešit bezpečnost IT vlastními silami, nebo pro řešení bezpečnosti potřebuje využít odborníků specializovaných firem. Po zpracování úvodní studie řešení bezpečnosti IT doporučuji zorganizovat prezentaci jejích hlavních závěrů a doporučení pro vedení organizace, na této prezentaci pak detailněji objasnit a zdůvodnit doporučený postup. Úvodní studie, schválená vedením organizace s odpovídající schvalovací pravomocí, pak bude základem pro další postup řešení bezpečnosti. Zpracování úvodní studie (ať již vlastními silami nebo specialisty externí firmy) není časově ani finančně příliš náročné.

Další řešení bezpečnosti IT podle navržených etap v úvodní studii může být sice v čase rozloženo podle dostupnosti především finančních prostředků, bude však stále směřovat k dosažení definovaných cílů. Úvodní studie řešení bezpečnosti

Přístup k řešení bezpečnosti IT Otázky ?

Děkuji za pozornost Nemochovský František Přístup k řešení bezpečnosti IT