Implementace systému řízení bezpečnosti informací
Posouzení současného stavu bezpečnosti
Posouzení probíhá individuálními konzultacemi s uživateli a správci výpočetní techniky ve vztahu k doporučené praxi dle ISO/IEC 17799:2005. Výstupem je souhrnná zpráva pro oblasti:
- systémová bezpečnostní politika informací
- organizace bezpečnosti
- klasifikace a řízení aktiv
- personální bezpečnost
- fyzická bezpečnost a bezpečnost prostředí
- řízení komunikace a řízení provozu
- řízení přístupu
- vývoj a údržba systémů
- řízení kontinuity činnosti organizace
Analýza rizik
- identifikace a klasifikace aktiv
- ohodnocení aktiv
- identifikaci a klasifikace hrozeb
- identifikace a klasifikace zranitelností
- určení pravděpodobnosti uplatnění hrozby
- vyhodnocení rizik
Vytvoření systémové bezpečnostní politiky informací
Vytvoření dokumentu bezpečnostní politiky informací a prezentace dokumentu vedení organizace v procesu jeho schválení.
Bezpečnostní projekt
Projekt implementace schválené bezpečnostní politiky. Zpracování projektu vychází z provedené analýzy rizik. Bezpečnostní projekt není jednorázovým postupem, je třeba jej chápat a implementovat v souladu s principy „Plánuj – Dělej – Kontroluj - Jednej“.
Návrh organizace řízení bezpečnosti
Činnosti v oblasti bezpečnosti vyžadují řízení odpovědnými pracovníky. Organizace řízení bezpečnosti stanoví role, odpovědnosti a schvalovací postupy.
Proces řízení aktiv
Evidence aktiv, jejich atributů z pohledu bezpečnosti, vlastníků, klasifikace, označování a životního cyklu.
Bezpečnost lidských zdrojů
Role zaměstnanců, popisy práce v oblasti bezpečnosti, smluvní ujednání o odpovědnosti za bezpečnost informací.
Fyzická bezpečnost a řízení prostředí
Prevence před neoprávněným přístupem do vymezených prostor a fyzickým zásahům nebo poškození zařízení. Kontrola a evidence přístupu osob. Zabezpečení prostor. Režimy práce v zabezpečených oblastech.
Sledování a řízení prostředí (napájení, teplota).
Řízení provozu a komunikací
Provozní dokumentace a postupy, řízení změn. Přebírání a monitorování služeb třetích stran. Kritéria pro plánování a přejímání systémů. Ochrana proti škodlivému kódu. Procesy zálohování dat a jejich kontrola. Nakládání s výměnnými médií. Správa bezpečnosti sítě. Postupy pří výměně informací. Monitorování stavu a pořizování auditních záznamů.
Řízení přístupu
Formalizace postupů pro přidání/zrušení přístupu uživatel do informačního systému a jeho zařazení/odebrání do příslušných rolí. Schvalovací procedury přidělení přístupu. Politika a správa uživatelských hesel. Procesy autentizace. Řízení privilegovaného přístupu.
Rozvoj a údržba informačního systému
Stanovení požadavků organizace na bezpečnost jednotlivých komponent informačního systémů a způsoby jejich kontroly.
Zpracování bezpečnostních incidentů
Stanovení odpovědnosti a postupů při nahlášení a zpracování bezpečnostního incidentu, zajištění podkladů pro případné právní řízení.
Plán kontinuity
Vypracování plánu kontinuity činnosti organizace a stanovení pravidel pro jeho údržbu a testování.
Soulad s požadavky
Identifikace zákonných a smluvních norem a dokumentace jednotlivých požadavků. Vytvoření pravidel pro kontrolu jejich dodržování.