+ All Categories
Home > Documents > PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena...

PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena...

Date post: 22-Jul-2020
Category:
Upload: others
View: 4 times
Download: 0 times
Share this document with a friend
29
Transcript
Page 1: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

Politika informa�cn�� bezpe�cnosti, Dodatek

PV017 �Bezpe�cnost IT

Jan Staudek

http://www.�.muni.cz/usr/staudek/vyuka/

} w���������� ������������ !"#$%&'()+,-./012345<yA|Verze : podzim 2019

Page 2: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

Obsah dodatku

2 XXX tip �u pro tvorbu politiky informa�cn�� bezpe�cnosti

2 Politika informa�cn�� bezpe�cnosti dle z �akona o kybernetick �e

bezpe�cnosti

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 1

Page 3: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

XXX tip �u pro tvorbu politiky informa�cn�� bezpe�cnosti

2 Bezpe�cnostn�� politika je nejefektivn�ej�s��,

kdy�z si ji organizace nap���se sama

X Vyps �an��m bezpe�cnostn��ch c��l �u a pl �an �u se vytv �a�r�� dokument,kter �y lze vyu�z��t pro v��ce �u�cel �u

{ je n �avodem kam zam�e�rovat zabezpe�covac�� �usil��{ pom�ah �a m�e�rit �usp�e�snost a/nebo postup implementace bezpe�cnosti{ jestli�ze dojde k chybn �emu zam�e�ren�� nebo se zjist�� ne �usp�e�snostpostupu, pom�u�ze naj��t spr �avn �e zam�e�ren�� dal�s��ho pracovn��ho �usil��

{ je z �akladem pro budouc�� rozvoj a dolad'ov �an�� bezpe�cnosti

X Napsanou BP mohou autorizovan�� jedinci �c��st a hodnotit.

X Napsan �a BP se st �av �a spole�cn �ym standardem pro implementaci,�r��zen�� a administraci informa�cn�� bezpe�cnosti v organizaci

X Bez napsan �e BP �usil�� bude zabezpe�covac�� �usil�� chaotick �e, nec��lev�edom�ea mnohdy nespolehliv �e.

X Napsan �a BP je pevn �ym z �akladem pro �usp�e�snost zabezpe�covac��ho �usil��.

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 2

Page 4: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

XXX tip �u pro tvorbu politiky informa�cn�� bezpe�cnosti

2 Politika informa�cn�� bezpe�cnosti by m�ela b �yt kl���cov �ym

faktorem p�ri v�sech rozhodnut��ch o �cinnosti organizace,

nen�� pravda, �ze ovliv �nuje �cinnost pouze IT odd�elen��

X Byly doby, kdy byl probl �em informa�cn�� bezpe�cnosti pova�zovan �yza probl �em po�c��ta�cov �ych ,,exot �u"

X Ve sv�etle sou�casn �e informa�cn�� ekonomiky je bezpe�cnost informac��b �azov �ym po�zadavkem nap�r���c v�semi aspekty mal �e i velk �e organizace.

X Bez �u�celn �eho zaji�st �en�� informa�cn�� bezpe�cnosti je organizace vystavenarizik �um �utok �u jak zven�c��, tak i zevnit�r i rizik �um n �ahodn �ych chyb.

X Prosazov �an�� bezpe�cnostn�� politiky v r �amci v�sech v �yznamn �ychpodnikatelsk �ych rozhodnut�� je pom�ah �a p�redev�s��m z hlediskadlouhodob �eho zachov �an�� pro�lu organizace ne�z p�ri �re�sen��okam�zit �ych bezpe�cnostn��ch probl �em�u

(�re�sen�� takov �ych probl �em�u podporuje Pl �an zvl �adnut�� rizik)

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 3

Page 5: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

XXX tip �u pro tvorbu politiky informa�cn�� bezpe�cnosti

2 Zam�estnanci mus�� b �yt �skolen�� pro dodr�zov �an�� bezpe�cnostn��

politiky

X Je chybou o�cek �avat, �ze �ze zam�estnanci budou dodr�zovat bezpe�cnostn��politiku, pokud si nejsou v�edomi jej�� existence a jej��ho obsahu.

X Pro dlouhodob �e (trval �e) dodr�zov �an�� bezpe�cnostn�� politiky nesta�c�� anijednor �azov �e informov �an�� zam�estnanc �u.

X Organizace mus�� zav �est pr �ub�e�zn �y trval �y �skol��c�� syst �em pro p�estov �an��bezpe�cnostn��ho uv�edom�en��.

X V�sichni zam�estnanci maj�� absolvovat ka�zd �y p �ulrok, resp. jednou ro�cn�ez �akladn�� �skolen�� zam�e�ren �e na udr�zov �an�� minim �aln�� �urovn�einforma�cn�� bezpe�cnosti v cel �e organizaci.

X Na t �eto b �azi pak lze vyvinout speci�ck �a �skolen�� zam�e�ren �a na konkr �etn��pracovn�� role, c��len �a na dosa�zen�� maxim �aln�� produktivity pr �acep�ri pou�z��v �an�� bezpe�cnostn��ho syst �emu.

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 4

Page 6: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

XXX tip �u pro tvorbu politiky informa�cn�� bezpe�cnosti

X V�sechna bezpe�cnostn�� �skolen�� mus�� b �yt revidov �ana tak �casto, jak jeaktualizov �ana bezpe�cnostn�� politika.

X Zam�estnance, kte�r�� opakovan�e poru�suj�� bezpe�cnostn�� pravidla,se nutn �e pro�skolit dodate�cn �ymi, roz�si�ruj��c��mi kurzy.

X Pokud po takov �ych dodate�cn �ych �skolen��ch zam�estnanec d �ale poru�sujebezpe�cnost, mus�� b �yt z pozice, na kter �e bezpe�cnost poru�suje, uvoln�en �y

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 5

Page 7: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

XXX tip �u pro tvorbu politiky informa�cn�� bezpe�cnosti

2 Bezpe�cnostn�� politika nebude organizaci chr �anit p�red v�semi

mo�zn �ymi hrozbami.

X C��lem bezpe�cnostn�� politiky je sn���zen�� rizika naakceptovatelnou �urove �n

X Jej�� �r �adn �e zaveden�� a prosazov �an�� zma�r�� v�et�sinu generick �ych �utok �u

X I p�ri neomezen �em rozpo�ctu, v�zdy budou existovat nezn �am�a rizika,nezn �am�e hrozby a neo�cek �avan �e �utoky,kter �e bezpe�cnost informac�� poru�s��.

X �Z �adn �a implementace bezpe�cnosti nezaru�c�� perfektn�� bezpe�cnost,perfektn�� bezpe�cnostn�� opat�ren�� neexistuje,neexistuj�� nenapadnuteln �e infrastruktury

X Smyslem zaveden�� informa�cn�� bezpe�cnosti je d �at organizaci tu nejv�et�s���sanci odvr �atit nebo p�re�z��t �utoky, nikoli zaru�cit perfektn�� bezpe�cnost

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 6

Page 8: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

XXX tip �u pro tvorbu politiky informa�cn�� bezpe�cnosti

2 �U�cinn �a bezpe�cnostn�� politika je

bezpe�cnostn�� politika, kter �a se trvale aktualizuje a reviduje

X Nic netrv �a v�e�cn�e, nic netrv �a { Panta rhei { v�sechno plynepravil pravil Platon, kdy�z interpretoval H �erakleitovoNelze dvakrat vstoupit do teze reky

X Bezpe�cnost nen�� nikdy statick �y stav, rizika a hrozby, jim�z �cel��organizace se neust �ale m�en��.

X Ch �ap �an�� bezpe�cnosti rychle zastar �a abude nedostate�cn �e, pokud nen�� pravideln�e revidov �ano a zlep�sov �ano.

X �Uto�cn��ci rozv��jej�� nov �e �utoky ka�zdodenn�e.

X Organizace mus�� sv �e bezpe�cnostn�� ochrany zlep�sovatalespo �n se stejnou frekvenc�� jako �uto�cn��ci

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 7

Page 9: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

XXX tip �u pro tvorbu politiky informa�cn�� bezpe�cnosti

2 Bezpe�cnostn�� politika m�a zahrnovat sledov �an�� v �ykonu.

X Je jedn��m z nejv��ce p�rehl���zen �ym c��l �u informa�cn�� bezpe�cnostije ochrana dostupnosti.

X V �yrazn�e se po�zaduje ochrana d �uv�ernosti a integrity,ochrana dostupnosti se �casto ignoruje.

X Jeden aspekt ochrany dostupnosti je sledov �an�� v �ykonu.

X Sledov �an�� trend �u propustnosti, zpo�zd�en��, chyb, p�renosov �ych tok �u,frontov �an�� zpr �av, chyb p�ri komunikaci, v�casnosti varov �an�� na selh �an��hardware, n �alady zam�estnanc �u, infekc�� �skodliv �ym software nebopenetrac��, umo�zn�� si v�simnou probl �emu d�r��ve, ne�z nastane.

X Ochrana p�red ztr �atou energie se m�a zam�e�rit na v�casnost detekcea prevence, nikoli na rychlou reakci a zotaven��.

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 8

Page 10: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

XXX tip �u pro tvorbu politiky informa�cn�� bezpe�cnosti

2 Co nem�u�zete obh �ajit / dok �azat u soudu,

nen�� ani spolehliv �e ani u�zite�cn �e pro bezpe�cnost.

X Pokud zaji�st �en�� bezpe�cnosti organizaci nepom�u�ze vyhr �at soudn��p�r��pad, zabr �anit placen�� pokut za poru�sov �an�� regula�cn��ch omezen��nebo ochr �anit p�red ru�cen��m �ci nedbalostmi, tak prost�e nen�� dobr �e.

X Aby organizace mohla potrestat potrestat podez�rel �eho,mus�� m��t siln �e d �ukazy o tom, co se d�elo a kdo to d�elal.

X Mus�� existovat konkr �etn�� dokumentovan �e politiky, ty se mus�� p�r��sn�edodr�zovat, mus�� existovat chr �an�en �e auditn�� syst �emy, jasn �e vymezen��autorizace a neobejiteln �a autentizace.

X V t �ymu vyv��jej��c��m bezpe�cnostn�� politiku by m�el participovattechnicky orientovan �y pr �avn��k.

X Bezpe�cnost mus�� b �yt implementovan �a tak, aby v �ysledkem pod �an���zaloby bylo vynesen�� rozsudku ve prosp�ech organizace ane odhalen�� nedostatk �u v organizaci.

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 9

Page 11: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

XXX tip �u pro tvorbu politiky informa�cn�� bezpe�cnosti

2 V�sichni mus�� dodr�zovat bezpe�cnostn�� politiky nebo

�celit d �usledk �umX �Z �adn �e v �yjimky, �z �adn �a bo�zsk �a kr �alovsk �a pr �ava,

�z �adn �e p�redpokl �adan �e n �aroky.X Kdo pracujete v/s/pro organizaci,

mus�� dodr�zovat jej�� bezpe�cnostn�� politiky.X Odpov�ednost za bezpe�cnost m �a ka�zd �y v cel �e person �aln�� hierarchii,

od vrcholov �eho veden�� a�z po posledn��ho zam�estnanceX Ka�zd �y je fakticky �clenem bezpe�cnostn�� t �ymuX Pokud n�ekdo aktivn�e nepodporuje bezpe�cnost,

bezpe�cnostn�� �usil�� organizace podkop �av �aX Kdy�z zam�estnanci vid��, �ze �clenov �e veden�� nedodr�zuj�� pravidla,

ignoruj�� nebo aktivn�e poru�suj�� restrikce,vn��maj�� tato omezen�� jako um�el �a a bezv �yznamn �a

X Co mus�� dodr�zovat zam�estnanec, mus�� dodr�zovat i vrcholov �e veden��X Kdy�z dojde k naru�sov �an�� bezpe�cnosti, mus�� b �yt odpov��daj��c�� aktivity

zastaveny a mus�� b �yt aplikov �any adekv �atn�� reakce ap �uvodce mus�� �celit d �usledk �um.

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 10

Page 12: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

XXX tip �u pro tvorbu politiky informa�cn�� bezpe�cnosti

2 Zam�estnanci pot�rebuj�� uvoln�en��.

X Studie prok �azaly, �ze zam�e�ren�� na pracovn�� �ukoly po dobu del�s�� ne�z50 minut v dob�e bez 5 a�z 10 minutov �e p�rest �avky zp �usobuje sn���zen��produktivity.

X Pokud se takov �a mo�znost relaxace zam�estnanc �um neposkytne,budou si hledat vlastn�� skryt �e cesty k takov �emu uvoln�en��

X Je d �ule�zit �e usilovat vyv �a�zenost mezi lidskou p�rirozenost�� a bezpe�cnost��a poskytnout zam�estnanc �um jist �e mno�zstv�� nepracovn�� svobody

X To si m�u�ze vy�z �adat vytvo�ren�� zvl �a�stn��ch s��t'ov �ych cest, virtu �aln��chsyst �em�u nebo alternativn��ch ,,hrac��ch/relaxa�cn��ch prostor �u"

X Pokud je jist �a svoboda poskytnuta v prim �arn��m produk�cn��m prost�red��mus�� se zm��rnit p�r��snost Internetov �ych �ltr �u, z �akaz �u pou�z��v �an��n�ekter �eho software.

X Zam�estnanci mus�� b �yt informov �ani, �ze toto je jim nab��zeno jakoprivilegium, �ze jsou zam�estn �an�� proto, aby plnili pracovn�� �ukoly.A jakmile se produktivita sn���z��, toto privilegium se odebere.

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 11

Page 13: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

XXX tip �u pro tvorbu politiky informa�cn�� bezpe�cnosti

2 Bezpe�cnostn�� politika je p�redm�etem k diskusi.

X To, �ze v�sichni v organizaci maj�� dodr�zovat bezpe�cnostn�� politiku,je�st�e neznamen �a, �ze s n�� v�sichni souhlas��.

X V�sem zam�estnanc �um na v�sech �urovn��ch m�a b �yt d �ana mo�znostpolitiku kritizovat a vzn �a�set n �avrhy na zm�eny jej�� implementace.

X N�avrhy nemus�� b �yt akceptov �any, ale otev�ren�� se vnit�rn�� diskusi adebat �am o bezpe�cnosti vede ke zdrav�ej�s�� bezpe�cnosti,k produktivn�ej�s��m a bezpe�cn�ej�s��m infrastruktur �am.A zam�estnaci budou zasv�et�en�ej�s�� a spokojenej�s��.

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 12

Page 14: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

XXX tip �u pro tvorbu politiky informa�cn�� bezpe�cnosti

2 �U�cinnost a p�rijatelnost bezpe�cnosti

jsou dva neodd�eliteln �e faktory.

X Bezpe�cnost vy�zaduje udr�zovat rovnov �ahu mezi �u�cinn �ymi preventivn��miopat�ren��mi eliminuj��c��mi ne�z �adouc�� ud �alostia �unosnou komplikac�� pracovn��ch �cinnost�� autorizovan �ych osob

X Obstruk�cn��, t �e�zkop �adn �e, naru�suj��c�� nebo obt�e�zuj��c�� opat�ren��budou obch �azena, poru�sov �ana �ci likvidov �ana.

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 13

Page 15: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

XXX tip �u pro tvorbu politiky informa�cn�� bezpe�cnosti

2 Bezpe�cnostn�� politika mus�� b �yt jasn �a, �ctiv �a, srozumiteln �a

X Nepi�ste bezpe�cnostn�� politiky v komplikovan �e jazyku pr �avn��chp�redpis �u nebo pouze pomoc�� obr �azk �u,

X V�sechny polo�zky v bezpe�cnostn�� politice vyj �ad�rete explicitn�e asnadno pochopitelnou formou

X Ka�zdou akci nebo omezen�� kladen �e na pracovn��ka napi�ste, vyj �ad�retealespo �n t�remi zp �usoby, pokud to jde.V�zdy pou�zijte jin �a slov, jin �e pojmy.

X Bud'te si jist��, �ze ka�zd �y �cten �a�r bezpe�cnostn�� politiky pln�e ch �apeco se od n�ej o�cek �av �a.

X Neporozum�en�� a mo�znost odli�sn �ych v �yklad �u bezpe�cnostn��ch n �avod �uvede k poru�sov �an�� bezpe�cnosti.

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 14

Page 16: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

XXX tip �u pro tvorbu politiky informa�cn�� bezpe�cnosti

2 P�redpisy a dosa�zen�� souladu s nimi jsou nutn �e zla

X Ka�zd �y, kdo pracuje podle p�redpis �u, z �akon �u nebo p�r��kaz �u v��,�ze je nesm��rn�e d �ule�zit �e b �yt s nimi v souladu.

X Jejich nedodr�zen�� m�u�ze v �est k p�r��sn �ym pokut �am, k odebr �an��autorizace, ke ztr �at�e klient �u/z �akazn��k �u, ke zru�sen�� smlouvy,m�u�ze m��t pr �avn�� d �usledky apod.

X P�ri navrhov �an�� a psan�� bezpe�cnostn�� politiky, je nutn �e za�c��t s p�redpisyjako se z �akladem, a pak lze expandovat na dal�s�� bezpe�cnostn�� prvkyz cel �e bezpe�cnostn�� infrastruktury.

X Po dokon�cen�� tvorby bezpe�cnostn�� politiky, v�zdy zkontrolujte,�ze soulad s p�redpisy z �ustal uchov �an.

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 15

Page 17: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

XXX tip �u pro tvorbu politiky informa�cn�� bezpe�cnosti

2 Kdy�z jste na pochyb �ach, konzultujte standardy

X Vytvo�ren�� bezpe�cnostn�� politiky se stalo standardn�� podnikatelskou�cinnosti, ale ne v�sichni p�redstavitel �e organizace maj�� v�zdy dostate�cn �eznalosti k vytvo�ren�� nebo ke zhodnocen�� bezpe�cnostn�� politiky.

X Prim �arn�� zdroje pro z��sk �an�� znalost��, resp. pro porovn �an��,zda postupujete spr �avn�e, jsou nap�r.

{ NIST SP 800-100 - Information Security Handbook

{ ISO 27002 - Information technology - Security techniques -Code of practice for information security management

{ Standard of Good Practice (SoGP) - Information Security Forum (ISF)

{ IT GOVERNANCE, A Manager's Guide to Data Security andISO 27001/ISO 27002, Alan Calder & Steve Watkins,Kogan Page Limited, ISBN 978 0 7494 5271 1

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 16

Page 18: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

Dodatek, politika dle z �akona o kyb. bezpe�cnosti

2 Struktura politiky informa�cn�� bezpe�cnosti dle

z �akona o kybernetick �e bezpe�cnosti

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 17

Page 19: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

Dodatek, politika dle z �akona o kyb. bezpe�cnosti

2 Politika syst �emu �r��zen�� informa�cn�� bezpe�cnosti

X C��le, principy a pot�reby �r��zen�� informa�cn�� bezpe�cnosti

X Rozsah a hranice syst �emu �r��zen�� informa�cn�� bezpe�cnosti

X Pravidla a postupy pro �r��zen�� dokumentace

X Pravidla a postupy pro �r��zen�� zdroj �u a provozu syst �emu �r��zen��informa�cn�� bezpe�cnosti

X Pravidla a postupy pro prov �ad�en�� audit �u kybernetick �e bezpe�cnosti

X Pravidla a postupy pro p�rezkoum�an�� syst �emu �r��zen��informa�cn�� bezpe�cnosti

X Pravidla a postupy pro n �apravn �a opat�ren�� a zlep�sov �an��syst �emu �r��zen�� informa�cn�� bezpe�cnosti

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 18

Page 20: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

Dodatek, politika dle z �akona o kyb. bezpe�cnosti

2 Politika organiza�cn�� bezpe�cnostiX Ur�cen�� bezpe�cnostn��ch rol�� a jejich pr �av a povinnost��

{ Pr �ava a povinnosti mana�zera informa�cn�� bezpe�cnosti{ Pr �ava a povinnosti architekta informa�cn�� bezpe�cnosti{ Pr �ava a povinnosti auditora informa�cn�� bezpe�cnosti{ Pr �ava a povinnosti garanta (vlastn��ka) aktiv{ Pr �ava a povinnosti v �yboru pro �r��zen�� informa�cn�� bezpe�cnosti

X Po�zadavky na odd�elen�� odpov�ednost��

2 Politika �r��zen�� dodavatel �uX Pravidla a principy pro v �yb�er dodavatel �u

X Pravidla pro hodnocen�� rizik dodavatel �u

X N�ale�zitosti smlouvy o �urovni slu�zeb a zp �usob �u a �urovn�� realizacebezpe�cnostn��ch opat�ren�� a o ur�cen�� vz �ajemn �e smluvn�� odpov�ednosti

X Pravidla pro prov �ad�en�� kontroly zaveden�� bezpe�cnostn��ch opat�ren��

X Pravidla pro hodnocen�� dodavatel �u

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 19

Page 21: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

Dodatek, politika dle z �akona o kyb. bezpe�cnosti

2 Politika klasi�kace aktiv

X Identi�kace, hodnocen�� a evidence prim �arn��ch aktiv{ Ur�cen�� a evidence jednotliv �ych aktiv v�cetn�e ur�cen�� jejich garanta{ Hodnocen�� d �ule�zitosti aktiv z hlediska d �uv�ernosti, integrity adostupnosti

X Pravidla ochrany jednotliv �ych �urovn�� aktiv{ Zp �usoby rozli�sov �an�� jednotliv �ych �urovn�� aktiv{ Pravidla pro manipulaci a evidenci aktiv podle �urovn�� aktiv{ P�r��pustn �e zp �usoby pou�z��v �an�� aktiv

X Zp �usoby spolehliv �eho smaz �an�� nebo ni�cen�� pam�et'ov �ych m�edi��

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 20

Page 22: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

Dodatek, politika dle z �akona o kyb. bezpe�cnosti

2 Politika bezpe�cnosti lidsk �ych zdroj �u

X Pravidla rozvoje bezpe�cnostn��ho pov�edom�� a zp �usoby jeho hodnocen��{ zp �usoby a formy pou�cen�� u�zivatel �u{ zp �usoby a formy pou�cen�� garant �u aktiv{ zp �usoby a formy pou�cen�� administr �ator �u{ zp �usoby a formy pou�cen�� dal�s��ch osob v bezpe�cnostn��ch rol��ch

X Bezpe�cnostn�� �skolen�� nov �ych zam�estnanc �u

X Pravidla pro �re�sen�� p�r��pad �u poru�sen�� bezpe�cnostn�� politikysyst �emu �r��zen�� informa�cn�� bezpe�cnosti

X Pravidla pro ukon�cen�� pracovn��ho vztahu nebo zm�enu pracovn�� pozice{ vr �acen�� sv�e�ren �ych aktiv a odebr �an�� pr �avp�ri ukon�cen�� pracovn��ho vztahu

{ zm�ena p�r��stupov �ych opr �avn�en�� p�ri zm�en�e pracovn�� pozice

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 21

Page 23: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

Dodatek, politika dle z �akona o kyb. bezpe�cnosti

2 Politika �r��zen�� provozu a komunikac��X Pravomoci a odpov�ednosti spojen �e s bezpe�cn �ym provozem

X Postupy bezpe�cn �eho provozu

X Po�zadavky a standardy bezpe�cn �eho provozu

X �R��zen�� technick �ych zranitelnost��

X Pravidla a omezen�� pro prov �ad�en�� audit �u kybernetick �e bezpe�cnosti abezpe�cnostn��ch test �u

2 Politika �r��zen�� p�r��stupuX Princip minim �aln��ch opr �avn�en��/pot�reba zn �at (need to know)

X Po�zadavky na �r��zen�� p�r��stupu

X �Zivotn�� cyklus �r��zen�� p�r��stupu

X �R��zen�� privilegovan �ych opr �avn�en��

X �R��zen�� p�r��stupu pro mimo�r �adn �e situace

X Pravideln �a revize p�r��stupov �ych opr �avn�en�� v�cetn�e adres �a�rov �ych slu�zeb

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 22

Page 24: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

Dodatek, politika dle z �akona o kyb. bezpe�cnosti

2 Politika bezpe�cn �eho chov �an�� u�zivatel �u

X Pravidla pro bezpe�cn �e nakl �ad �an�� s aktivy

X Bezpe�cn �e pou�zit�� p�r��stupov �eho hesla

X Bezpe�cn �e pou�zit�� elektronick �e po�sty a p�r��stupu na internet

X Bezpe�cn �y vzd �alen �y p�r��stup

X Bezpe�cn �e chov �an�� na soci �aln��ch s��t��ch

X Bezpe�cnost ve vztahu k mobiln��m za�r��zen��m

2 Politika z �alohov �an�� a obnovy

X Po�zadavky na z �alohov �an�� a obnovu

X Pravidla a postupy z �alohov �an��

X Pravidla bezpe�cn �eho ulo�zen�� z �aloh

X Pravidla a postupy obnovy

X Pravidla a postupy testov �an�� z �alohov �an�� a obnovy

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 23

Page 25: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

Dodatek, politika dle z �akona o kyb. bezpe�cnosti

2 Politika bezpe�cn �eho p�red �av �an�� a v �ym�eny informac��

X Pravidla a postupy pro ochranu p�red �avan �ych informac��

X Zp �usoby ochrany elektronick �e v �ym�eny informac��

X Pravidla pro vyu�z��v �an�� kryptogra�ck �e ochrany

2 Politika �r��zen�� technick �ych zranitelnost��

X Pravidla pro omezen�� instalace software

X Pravidla a postupy vyhled �av �an�� opravn �ych programov �ych bal���ck �u

X Pravidla a postupy testov �an�� oprav software

X Pravidla a postupy nasazen�� oprav software

2 Politika bezpe�cn �eho pou�z��v �an�� mobiln��ch za�r��zen��

X Pravidla a postupy pro bezpe�cn �e pou�z��v �an�� mobiln��ch za�r��zen��

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 24

Page 26: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

Dodatek, politika dle z �akona o kyb. bezpe�cnosti

2 Politika licencov �an�� softwaru a informac��

X Pravidla a postupy nasazen�� software a jeho evidence

X Pravidla a postupy pro kontrolu dodr�zov �an�� licen�cn��ch podm��nek

2 Politika dlouhodob �eho ukl �ad �an�� a archivace informac��

X Pravidla a postupy archivace dokument �u a z �aznam�u

X Ochrana archivovan �ych dokument �u a z �aznam�u

X Politika p�r��stupu k archivovan �ym dokument �um a z �aznam�um

2 Politika ochrany osobn��ch �udaj �u

X Charakteristika zpracov �avan �ych osobn��ch �udaj �u.Popis p�rijat �ych a proveden �ych organiza�cn��ch opat�ren��pro ochranu osobn��ch �udaj �u

X Popis p�rijat �ych a proveden �ych technick �ych opat�ren��pro ochranu osobn��ch �udaj �u

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 25

Page 27: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

Dodatek, politika dle z �akona o kyb. bezpe�cnosti

2 Politika fyzick �e bezpe�cnosti

X Pravidla pro ochranu objekt �u

X Pravidla pro kontrolu vstupu osob

X Pravidla pro ochranu za�r��zen��

X Detekce naru�sen�� fyzick �e bezpe�cnosti

2 Politika bezpe�cnosti s��t �e

X Pravidla a postupy pro zaji�st �en�� bezpe�cnosti s��t �e

X Ur�cen�� pr �av a povinnost�� za bezpe�cn �y provoz s��t �e

X Pravidla a postupy pro �r��zen�� p�r��stup �u v r �amci s��t �e

X Pravidla a postupy pro ochranu vzd �alen �eho p�r��stupu k s��ti

X Pravidla a postupy pro monitorov �an�� s��t �e avyhodnocov �an�� provozn��ch z �aznam�u

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 26

Page 28: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

Dodatek, politika dle z �akona o kyb. bezpe�cnosti

2 Politika ochrany p�red �skodliv �ym k �odem

X Pravidla a postupy pro ochranu komunikace mezi vnit�rn�� a vn�ej�s�� s��t��

X Pravidla a postupy pro ochranu server �u a sd��len �ych datov �ych �ulo�zi�st'

X Pravidla a postupy pro ochranu pracovn��ch stanic

2 Politika nasazen�� a pou�z��v �an�� n �astroje pro detekci

kybernetick �ych bezpe�cnostn��ch ud �alost��

X Pravidla a postupy nasazen�� n �astroje pro detekcikybernetick �ych bezpe�cnostn��ch ud �alost��

X Provozn�� postupy pro vyhodnocov �an�� a reagov �an�� na detekovan �ekybernetick �e bezpe�cnostn�� ud �alosti

X Pravidla a postupy pro optimalizaci nastaven�� n �astroje pro detekcikybernetick �ych bezpe�cnostn��ch ud �alost��

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 27

Page 29: PV017 Bezpecnost IT · zdyV zijtpoue ajin slov, ejin pojmy. X Bud ' te si jist ,ze ry zdctakena bezpe cnostn politiky eplnape ch co se odejna.cekav o X Neporozum en a znostmo ychodlisn

Dodatek, politika dle z �akona o kyb. bezpe�cnosti

2 Politika vyu�zit�� a �udr�zby n �astroje pro sb�er a vyhodnocen��

kybernetick �ych bezpe�cnostn��ch ud �alost��

X Pravidla a postupy pro evidenci a vyhodnocen��kybernetick �ych bezpe�cnostn��ch ud �alost��

X Pravidla a postupy pravideln �e aktualizace pravidel pro vyhodnocen��kybernetick �ych bezpe�cnostn��ch ud �alost��

X Pravidla a postupy pro optim �aln�� nastaven�� bezpe�cnostn��ch vlastnost��n �astroje pro sb�er a vyhodnocen��kybernetick �ych bezpe�cnostn��ch ud �alost��

2 Politika bezpe�cn �eho pou�z��v �an�� kryptogra�ck �e ochrany

X �urove �n ochrany s ohledem na typ a s��lu kryptogra�ck �eho algoritmu

X pravidla kryptogra�ck �e ochrany informac��{ p�ri p�renosu po komunika�cn��ch s��t��ch{ p�ri ulo�zen�� na mobiln�� za�r��zen�� nebo vym�eniteln �e m�edium

X syst �em spr �avy kl���c �u

Jan Staudek, FI MU Brno | PV017 { Politika informa�cn�� bezpe�cnosti 28


Recommended