Az ISO es tanúsításunk tapasztalatai

Információbiztonsági kerekasztal-beszélgetés

Az ISO 27001-es tanúsításunk tapasztalatai

Bartek Lehel Zalaszám Informatika Kft. 2012. május 11.


Az ISO 27000-es szabványsorozat az adatbiztonság – a védelmi rendszer olyan, a védekező számára kielégítő állapota, mely a kezelt adatok bizalmassága, sértetlensége, rendelkezésre állása szempontjából – teljes körű (minden elemre kiterjed), – zárt (minden releváns fenyegetésre kiterjed), – időben folytonos, és a – kockázatokkal arányos

állapotának fenntartására vonatkozó legjobb gyakorlat leírása: Biztonságmenedzsment rendszer kialakítása és üzemeltetése.


Releváns részei ISO 27001 – ISMS rendszer kialakítása és üzemeltetése – tanúsítható ISO 27002 – Legjobb gyakorlat ISO 27003 – Bevezetés ISO 27004 – Metrikák ISO 27005 – Kockázatelemzési módszertan Stb.


132 kontrollcél A.5.1 Információbiztonsági politika A6.1. Belső szervezet A6.2. Külső ügyfelek A7. Vagyontárgyak kezelése A8. Az emberi erőforrások biztonsága A9. Fizikai védelem és a környezet védelme A10. A kommunikáció és az üzemeltetés irányítása A11. Hozzáférés-ellenőrzés A12. Információs rendszerek beszerzése, fejlesztése és fenntartása A13. Információbiztonsági incidensek kezelése A14. Működés folytonosságának irányítása A15. Követelményeknek való megfelelés


PDCA ciklus Tervezés (az ISMS kialakítása) ISMS-politika, -célok, -folyamatok és -eljárások kialakítása. Végrehajtás (az ISMS bevezetése és működtetése) Az ISMS-politika, -intézkedések, -folyamatok és -eljárások bevezetése és működtetése. Ellenőrzés (az ISMS figyelemmel kísérése és átvizsgálása) A folyamatok teljesítményének értékelése, és ahol lehetséges, mérése az ISMS-politikával, -célokkal és a gyakorlati tapasztalatokkal összevetve, továbbá az eredmények jelentése a vezetésnek átvizsgálás céljából. Beavatkozás (az ISMS fenntartása és fejlesztése) Helyesbítő és megelőző tevékenységek végrehajtása a belső ISMS-átvizsgálás (audit) és vezetőségi átvizsgálás eredményei, illetve egyéb lényeges információk alapján az ISMS folyamatos fejlesztése érdekében.


Kockázatelemzés Eszközök, Fenyegetések Meglevő kontrollok Sérülékenységek Károk, következmények Valószínűségek Kockázatok


Biztonságmenedzsment mindig, mindenhol van.


Biztonságmenedzsment mindig, mindenhol van. Csak legfeljebb: • Nem a vezetés igényei szerint • Nem a vezetés támogatásával • Nem alkot rendszert • Nincs felülvizsgálat és fejlesztés • A teljesítményt nem ismerik el


Bevezetés, első tanúsítás Felkészítő szervezet • Kontrollok áttekintése (lyukak, rendszerbe szervezés, alul- és túlvédekezés), alkalmazási terület • Külső szem, a szokásos megoldásokkal való összehasonlítás • Vezetés szembesítése a nem tudatosan vállalt kockázatokkal • Részvétel a kockázatelemzésben, a szabályozások és folyamatok leírásában • Biztonsági vezető felkészítése • Felkészültség ellenőrzése Legalább egy fő függetlenített hozzáértő A biztonságért felelős munkakörökben megnövekedett munkateher Esetleges beruházások


Kapcsolat a minőségirányítással Nagy könnyebbség, ha van 9001 Szabvány szinten egymáshoz illesztett rendszerek PDCA ciklus, feljegyzések és kezelésük, stb. azonosak Munkafolyamatok könnyen beilleszthetők – mellé vagy bele? Belső audit – együtt vagy külön?


Megváltozott működés Alkalmazkodás a környezet változásaihoz A belső (szervezeti és technológiai) változásokhoz A vezetés védelmi igényének, kockázatvállalási hajlandóságának változásához Belső és külső ellenőrzés Mindezek eredménye: Személyi szinten: • Technologizáltabb munkavégzés • A szabályok (legjobb gyakorlat) internalizálódása Cégszinten: • Jogi megfelelés • Megbízhatóság tényleges fejlődése


Költségek

Költségek

Összköltség

Védelem költsége

Kárérték

Védelem erőssége


Összefoglalás Az informatikai rendszerek biztonsága egyre kritikusabb terület; Az ISMS biztosítja a téma professzionális megközelítését; A tanúsított rendszer megnyugtató bizonyosságot jelent, és a külső felek részére is igazolja a megbízhatóságot; Garantálja a védelem folyamatos működését, szinten tartását; Javítja a piaci pozíciót, biztosítja a követelményeknek való megfelelést.


Kérdések?

Elérhetőség:

[email protected]

Köszönöm a figyelmet.

Az ISO es tanúsításunk tapasztalatai

Recommend Documents