ISMS

Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System).

ISMS je systém ve své struktuře určený normou ISO 27001. Ta poskytuje model ustavení, implementování, zpracovávání, monitorování, přezkoumávání, udržování a zlepšování ochrany informačních aktiv, aby byly dosaženy cíle organizace na základě posouzení rizik a úrovní akceptace rizik organizace navržených k efektivnímu ošetření a řízení rizik ztráty či poškození informace.

Hlavním úkolem ISMS je provádět vhodná opatření za účelem potlačení či minimalizace hrozeb informační bezpečnosti. Opatření jsou závislá na velikosti organizace a počtem aktivit, jež vykonává, přičemž se bere ohled na reálnou rizikovost aktivit organizace. Tato rizikovost je odvislá od toho, v jaké míře organizace zpracovává osobní či důvěrné údaje. Komplexní řešení informační bezpečnosti se týká především velkých organizací jako jsou banky, zdravotnické instituce a státní orgány.

Vývoj rámce ISMS

• Vymezení působnosti ISMS
• definice bezpečnostní politiky
• hodnocení rizika (jako součást Risk Management)
• management řízení rizik
• výběr vhodných opatření
• prohlášení o aplikovatelnosti

Model ISMS

ISMS je stejně jako jiné systémy řízení veden ve čtyřech krocích PDCA (Plánuj – Dělej – Kontroluj – Jednej). V případě ISMS jsou tyto kroky:

• Ustanovení
• Zavádění a provoz
• Monitoring
• Údržba a zlepšování

Ustanovení ISMS

Během ustanovení jsou vybrány vhodné formy řešení bezpečnosti informací. V této fázi probíhá analýza rizik.

• definice rozsahu, hranic a vazeb ISMS
• definice a odsouhlasení Prohlášení o politice ISMS
• analýza a zvládání rizik
  • definice přístupu organizace k hodnocení rizik
  • identifikace rizika včetně určení aktiv a jejich vlastníků
  • analýza a vyhodnocení rizik
  • identifikace a ohodnocení variant pro zvládání rizik
  • výběr cílů opatření a jednotlivých opatření pro zvládání rizik
  • souhlas vedení organizace s navrhovanými zbytkovými riziky a se zavedením ISMS
• Prohlášení o aplikovatelnosti

Tato etapa je klíčová pro běh celého procesu, je nutné vybrat způsob, jakým se budou řešit rizika. Riziku je možné se vyhnout (vyřešením bezpečnostní mezery), přenést jej (např. pojištěním) nebo jej akceptovat.

Zavedení a provoz

V této etapě jsou prováděna opatření naplánovaná během ustanovení. Především jsou určovány jednotlivé plány, termíny a zodpovědné osoby. Formuluje se dokument Plán zvládání rizik a začíná se zavádět. Zavádí se rovněž jednotlivá bezpečnostní opatření a určují se implementační, výkonnostní a dopadové metriky. Metriky se týkají vyškolení personálu, kvality hesel, účinností opatření, závazku managementu, ochrany proti škodlivému kódu, kontroly fyzického přístupu, vyhodnocení logů, řízení údržby a bezpečnosti z hlediska třetích stran.

Monitorování a přezkoumání

Provádí se prověření všech mechanismů a audit, je zavedena zpětná vazba.

Údržba a zlepšování

Během této fáze dochází ke sběru podnětů ke zlepšení ISMS a k nápravě všech nedostatků tzv. neshod, které se v ISMS objevují. Provádí se nápravná i preventivní opatření.