ISMS VE STÁTNÍ SPRÁVĚ A SAMOSPRÁVĚ

Prezentace na téma: "ISMS VE STÁTNÍ SPRÁVĚ A SAMOSPRÁVĚ"— Transkript prezentace:

1 ISMS VE STÁTNÍ SPRÁVĚ A SAMOSPRÁVĚ
Vladimír Sekerka, ICZ a.s. , Hradec Králové

2 Obsah ISMS a ISO 27001 Důvody a přínosy zavádění Cyklus PDCA
Postupy a principy Specifiká zavádění ISMS ve SSaS

3 ISMS a ISO 27001 Systém řízení bezpečnosti informací podle ČSN ISO/IEC Systémy managementu bezpečnosti informací – Požadavky Zavedení vybraných opatření podle ČSN ISO/IEC (ISO/IEC 27002) Soubor postupů pro management bezpečnosti informací

4 Důvody a přínosy zavádění
Zlepšení stavu bezpečnosti informací udržována trvale zlepšována Efektivnější vynakládání prostředků směřovány do míst s významnými riziky Certifikace – záruka pro okolí menší význam než u komerčních organizací - není potřeba odlišit se od konkurence zůstává jako signál pro zákazníky = občany ochrana os. údajů apod.

5 Soustavné zlepšování opakováním cyklu PDCA

6 Postup zavádění Plánuj: Dělej: Kontroluj Jednej Bezpečnostní politika
Analýza rizik Volba opatření Dělej: Implementace opatření Návrh a implementace bezpečnostních procesů a postupů Kontroluj Interní kontroly (Např. penetrační testy) Jednej Implementace nápravných a preventivních opatření Odstranění zjištění z interních auditů

7 Principy Odpovědnost vedení Procesní přístup Řízení rizik
Využití ISO/IEC a ISO/IEC (ISO/IEC 27002) Soustavné zlepšování (cyklus PDCA) přehodnocování a audit

8 Specifika zavádění ve státní správě a samosprávě
Významná část informací v podobě papírových dokumentů Obtížnější hodnocení dopadů při analýze rizik s výjimkou ochrany osobních údajů a dodržování lhůt V případě zavádění v resortech –samostatnost složek

9 Děkuji za vaši pozornost
Vladimír Sekerka ICZ a.s. Divize bezpečnost

10 Členění ISO/IEC 27001 Systém řízení bezpečnosti informací
Odpovědnost vedení Interní audity ISMS Přezkoumávání ISMS vedením organizace Zlepšování ISMS Příloha A: Cíle opatření a jednotlivá bezpečnostní opatření.

11 Členění ISO/IEC 27002 Bezpečnostní politika Organizace bezpečnosti
Klasifikace a řízení aktiv Bezpečnost lidských zdrojů Fyzická bezpečnost a bezpečnost prostředí Řízení komunikací a provozu Řízení přístupu Nabývání, vývoj a údržba systémů Řízení bezpečnostních incidentů Řízení kontinuity činnosti organizace Shoda s požadavky

12 Řízení rizik Riziko = kombinace pravděpodobnosti události a jejích následků Zvládání rizik odstranění (snížení) rizika (opatřením) přenesení rizika (např. pojištěním) vyhnutí se riziku (např. zrušením procesu) akceptace rizika Identifikace a ohodnocení rizika je podmínkou pro jeho zvládání Tolerance k riziku