Doporučená varianta bezpečnostní politiky IS by měla vždy vzejít z oponované a závazně přijaté bezpečnostní politiky organizace a bezpečnostní politiky IT organizace.
Rozeznáváme politiky 4 obecných typů:
1) Promiskuidní bezpečnostní politika - politika nikoho neomezující, povoluje každému dělat vše
2) Liberální bezp. politika - povoluje dělat vše, až na věci explicitně zakázané
3) Opatrná, resp. racionální bezp. politika - zakazující dělat vše, co není explicitně povoleno
4) Paranoidní bezp. politika - zakazující dělat vše potenciálně nebezpečné, tedy i to, co by nemuselo být explicitně zakazováno
Analýza rizika
Je nejdůležitější etapou stanovení bezpečnostní politiky. Znamená určení nebo odhad rizik, jejich analýzu a způsob řízení a kontroly. Rizika neomezujeme na minimum, ale na přijatelnou úroveň.
Jedna ze základních činností spojených s efektivním řešením informační bezpečnosti. Zahrnuje identifikaci existujících rizik, jejich ohodnocení a návrh opatření na jejich snížení na přijatelnou úroveň. Proces identifikace a ohodnocení rizika je také klíčovou součástí akceptovaných bezpečnostních standardů BS 7799 a ISO/IEC TR 13355.
Cílem je:
• identifikování, zvládnutí, odstranění nebo minimalizace událostí, které mají nežádoucí vliv na aktiva organizace
• zjištění hrozeb a rizik, kterým je IS vystaven
• určení, jaké škody mohou útokem vzniknout
• určení, která opatření rizika hrozeb odstraní nebo alespoň minimalizují, a co jednotlivá opatření stojí
Náplň analýzy rizik lze definovat jako proces porovnávání odhadovaných rizik proti přínosu resp. ceně možných bezpečnostních opatření.
Obecný model postupu:
• identifikace a ocenění aktiv
• nalezení zranitelných míst
• odhad pravděpodobností využití zranitelných míst
• výpočet očekávaných ztrát
• přehled použitelných opatření a jejich cen
• odhad ročních úspor aplikací zvolených opatření
Výsledkem je stanovení, kterým hrozbám je IS vystaven, jaká jsou rizika jednotlivých hrozeb,jaké škody mohou vzniknout a která opatření hrozby odstraní. Vypracuje se přehled použitých opatření a jejich cen a provede se odhad ročních úspor získaných aplikací určených bezpečnostních opatření.
Žádné komentáře:
Okomentovat