UNICORN COLLEGE BAKALÁŘSKÁ PRÁCE

UNICORN COLLEGE Katedra informačních technologií

BAKALÁŘSKÁ PRÁCE

Volně dostupné nástroje řízení bezpečnosti dle ISMS

Autor BP: Jan Sláma Vedoucí BP: Ing. David Hartman, Ph.D.

2013 Praha

Čestné prohlášení Prohlašuji, že jsem svou bakalářskou práci na téma Volně dostupné nástroje řízení bezpečnosti dle ISMS vypracoval samostatně pod vedením vedoucího bakalářské práce a s použitím výhradně odborné literatury a dalších informačních zdrojů, které jsou v práci citovány a jsou také uvedeny v seznamu literatury a použitých zdrojů. Jako autor této bakalářské práce dále prohlašuji, že v souvislosti s jejím vytvořením jsem neporušil autorská práva třetích osob a jsem si plně vědom následků porušení ustanovení § 11 a následujících autorského zákona č. 121/2000 Sb.

V……………………. dne ………..

……………………… (Jan Sláma)

Poděkování Děkuji vedoucímu bakalářské práce Ing. Davidu Hartmanovi, Ph.D. za vedení, shovívavost a odbornou pomoc při vypracování mé bakalářské práce. Dále bych rád poděkoval panu Petru Hněvkovskému za cenné informace, o obecné osvětlení problematiky.

Volně dostupné nástroje řízení bezpečnosti dle ISMS Open source ISMS tools

5

Abstrakt Hlavním cílem této práce je najít vhodný, volně dostupný nástroj pro řízení bezpečnosti informací dle ISMS. V teoretické části práce je stručně definován pojem ISMS, zběžně popsán soubor norem ISO / IEC 27000 a současně jsou vysvětleny fundamentální pojmy a principy nutné pro pochopení ISMS. V následující části práce jsou představeny tři volně dostupné nástroje pro řízení bezpečnosti informací, které jsou popsány jak z hlediska funkčností, tak i podporovaných standardů, typu distribuce a osobní zkušenosti autora. V rámci provedeného hodnocení z nich je vybrán jeden nejvhodnější kandidát, který dle nastavených parametrů představuje jakési hledané optimum, a ten je také v další části práce popsán detailněji. Pomocí takto vybraného nástroje je následně provedena rámcová analýza rizik fiktivní firmy.

Práce si rozhodně neklade za cíl pokrýt komplexně problematiku bezpečnosti informací ve firmě, tím méně dovést firmu k úspěšné certifikaci. Je především rámcovým nástinem, jak při zavádění ISMS postupovat při použití zvoleného nástroje. Klíčová slova: bezpečnost informací, informační aktiva, ISMS, řízení rizik, analýza rizik, Verinice, zvládání rizik

6

Abstract The prior aim of this thesis is to find out a suitable open source tool for information security management in accordance with ISMS. The ISMS concept is briefly defined in the theoretical part of the project together with general introduction to the set of standards ISO /IEC 27000 and, an explanation of fundamental terms and principals that are necessary for ISMS understanding. Three open source tools for information security are listed in the following part of the thesis. These tools are described from the view of their functionality, supported standards, types of distribution, and personal experience of the author. Based on the particular evaluation of each of them and regarding to parameters set as an optimum, the most convenient candidate is chosen and then described in more details. Finally the general risk analysis of a virtual company is conducted by the chosen tool.

Nor complete coverage of complex company information security nor successful certification of the company can be considered as targets of this project. It has to be understood mainly as a principal outline of how to proceed with the chosen tool when introducing ISMS.

Keywords: information security, asset, ISMS, risk management, risk analysis, Verinice, risk treatment

7

Obsah 1

Úvod ............................................................................................................................. 11

2

Systém řízení bezpečnosti informací ............................................................................ 12 2.1

Co je ISMS a k čemu slouží .................................................................................. 12

2.2

Historie a vývoj normy.......................................................................................... 12

2.3

Struktura a obsah ISO / IEC 27001 ....................................................................... 14

2.4

Pojmy a principy ISMS ......................................................................................... 15

2.4.1

Informační aktivum........................................................................................ 16

2.4.2

CIA triáda, bezpečnostní atributy .................................................................. 17

2.4.3

Zodpovědnost a nepopiratelnost .................................................................... 18

2.4.4

Autentizace, autorizace a řízení přístupu ....................................................... 18

2.4.5

Zranitelnost, hrozba, dopad, útok a riziko ..................................................... 18

2.4.6

PDCA ............................................................................................................. 20

2.5

3

Fáze ISMS ............................................................................................................. 21

2.5.1

Ustavení ISMS ............................................................................................... 21

2.5.2

Fáze zavádění a provozu ISMS ..................................................................... 23

2.5.3

Fáze monitorování a přezkoumání ISMS ...................................................... 24

2.5.4

Fáze udržování a zlepšování .......................................................................... 24

ISMS a volně dostupný software .................................................................................. 26 3.1

ESIS Executive Security Information System ...................................................... 26

3.1.1

Podporované standardy .................................................................................. 26

3.1.2

Popis architektury .......................................................................................... 27

3.1.3

Distribuce ....................................................................................................... 27

3.1.4

Dokumentace ................................................................................................. 27

3.1.5

Zkušenosti s použitím .................................................................................... 27

3.2

OSSIM................................................................................................................... 28

3.2.1


3.2.2


3.2.3

Integrované volně dostupné nástroje ............................................................. 29

3.2.4

Distribuce ....................................................................................................... 30

3.2.5

Dokumentace ................................................................................................. 31 8

3.2.6 3.3


Verinice ................................................................................................................. 31

3.3.1


3.3.2


3.3.3

Distribuce ....................................................................................................... 32

3.3.4

Dokumentace ................................................................................................. 33

3.3.5


3.4

Výběr nástroje ....................................................................................................... 33

3.5

Popis produktu Verinice ........................................................................................ 34

3.5.1

Funkcionality a vlastnosti .............................................................................. 34

3.5.2

Popis metody posuzování rizik ve Verinice .................................................. 34

3.5.3

Metriky pro posuzování a hodnocení rizik .................................................... 35

3.5.4

Ohodnocení informačních aktiv..................................................................... 35

3.5.5

Standardní definice metrik ve Verinice ......................................................... 36

3.5.6

Určení a vyhodnocení hrozeb ........................................................................ 37

3.5.7

Stanovení a posouzení zranitelnosti ............................................................... 38

3.5.8

Určení pravděpodobnosti rizikového scénáře ................................................ 38

3.5.9

Stanovení míry rizika informačního aktiva ................................................... 39

3.5.10

Zvládání rizik ................................................................................................. 40

3.5.11

Výstupy .......................................................................................................... 41

3.5.12

Popis uživatelského rozhraní ......................................................................... 43

3.5.13

Popis objektů modelu..................................................................................... 50

3.5.14

Objektový model ISMS ve Verinice .............................................................. 60

3.6

Implementace ISMS s pomocí Verinice ............................................................... 61

3.6.1

Popis fiktivní firmy ........................................................................................ 61

3.6.2

Organizační struktura společnosti .................................................................. 62

3.6.3

Identifikované firemní procesy ...................................................................... 64

3.6.4

Struktura sítě a používané technologie .......................................................... 71

3.6.5

Rozhodnutí o zavedení ISMS ........................................................................ 72

3.6.6

Identifikace aktiv ........................................................................................... 73

3.6.7

Postup při použití nástroje ............................................................................. 76

3.6.8

Systém sledování a vyhodnocování ............................................................... 78

9

3.6.9

Další doporučení ............................................................................................ 79

4

Závěr ............................................................................................................................. 80

5

Conclusion .................................................................................................................... 82

6

Seznam použitých zdrojů ............................................................................................. 84

7

Slovník .......................................................................................................................... 86

8

Seznam obrázků............................................................................................................ 87

9

Seznam tabulek ............................................................................................................. 88

10

Seznam příloh ........................................................................................................... 89

10.1

Příloha 1 – Matice vztahů ISM modelu ................................................................ 90

10.2

Příloha 2 - Příklady základních ISMS dokumentů ................................................ 91

10.3

Příloha 3 – Dekompozice procesu BP02 ............................................................... 92

10.4

Příloha 4 – Inventura ICT zařízení ........................................................................ 93

10.5

Příloha 5 – Verinice Asset Inventory Report ........................................................ 94

10.6

Příloha 6 – Další Verinice Inventory reporty ........................................................ 95

10.7

Příloha 7 – Verinice Scenarios report ................................................................... 96

10.8

Příloha 8 – Verinice ISM Risk Assessment report................................................ 97

10.9

Příloha 9 – Verinice ISM Statement of Applicability ........................................... 98

10.10

Příloha 10 – Verinice Risk Treatment report .................................................... 99

10.11

Příloha 11 – Popis vloženého CD .................................................................... 100

10

1 Úvod Bezpečnost informací je v současné době stále více v centru pozornosti současných organizací, neboť ovlivňuje ve své podstatě všechny business procesy každé organizace. Správné zavedení a řízení bezpečnosti informací přináší důležité konkurenční výhody a podporuje tak celkové obchodní cíle organizace, naproti tomu nesprávné zvyšuje celkové náklady organizace a může vést, ve svých konečných důsledcích, až k uzavření firmy. Právě z tohoto důvodu je mnoho lidmi bezpečnost informací stále vnímána jako maření podnikání, které navíc stojí velké peníze. Nicméně si nutně musíme uvědomit, že není chybou nástroje jeho špatné používání - pokud si totiž zvolíme nevhodná pravidla a postupy a stanovíme nedosažitelné cíle, bude bezpečnost jen zatěžovat firemní zdroje, aniž by přinášela jakákoli pozitiva. Na tento scénář existuje krásná anglická zkratka Garbage In, Garbage Out, která nám říká, že pokud do systému vložíme nevhodná data, nemůže z něj vystoupit nic jiného, než data chybná. Cílem informační bezpečnosti je dle [1, kap. 2.2] chránit cenné zdroje organizace, jako jsou informace, počítačový hardware a software a další aktiva. K tomuto účelu je nutno správně zvolit a vhodně používat odpovídající ochranná opatření tak, aby byla v souladu a napomáhala hlavnímu poslání organizace tím způsobem, že chrání své fyzické a finanční zdroje, případně pověst, právní postavení nebo zaměstnance a další hmotná a nehmotná aktiva. Pro podporu zavádění a řízení informační bezpečnosti existují drahé komerční nástroje a ještě dražší konzultanti, nicméně to je něco, co si většina malých organizací nemůže dovolit a přes to by řízení bezpečnosti ráda zavedla. Tato práce si klade za cíl najít vhodný volně dostupný nástroj pro řízení bezpečnosti dle ISMS nastíní jak jej použít pro řízení bezpečnosti v organizaci.

11

2 Systém řízení bezpečnosti informací V této kapitole bude definován pojem systému pro řízení bezpečnosti informací, neboli ISMS, zběžně popsána rodina norem ISO / IEC 27000 a její historie, dále některé důležité pojmy a principy nutné pro pochopení ISMS a detailnější popis PDCA cyklu ISMS.

2.1 Co je ISMS a k čemu slouží Anglická zkratka ISMS znamená Information Security Management System, překládáno do češtiny jako Systém řízení bezpečnosti informací. ISMS je komplexní struktura požadavků, doporučení, a dalších nástrojů, které při správném dodržování vedou k zajištění informační bezpečnosti, hmotných i nehmotných aktiv a zdrojů subjektu, obecně na přijatelnou a hlavně definovanou úroveň. V současné době, kdy je možno nehmotnou informaci obdržet na obrovskou vzdálenost téměř instantně, je tyto nutno odpovídajícím způsobem ochraňovat a ISMS nám k tomu poskytuje patřičné nástroje. ISMS je velmi úzce spjat a dostal se do povědomí především ve spojení s informačními technologiemi, neboť v prvních fázích masového rozšíření výpočetní techniky a hlavně rozšíření internetového obchodování a aktivit s ním spojených, byl kladen důraz především na všeobecnou dostupnost než na zabezpečení, což občas vedlo k nevyhnutelným ztrátám. Teprve později, a to především ve velkých firmách a státních organizacích, byly nastaveny definované postupy pro činnosti nebo reakce, případně monitorovací a vyhodnocovací mechanismy pro zabezpečení informací. Musíme si ale uvědomit, že: „zabezpečení informací a norma ISO / IEC 27001 se netýká jen informačních technologií, systém managementu bezpečnosti informací v sobě zahrnuje řízení, politiku, organizaci i pravidelné přezkoumávání. Náročnými částmi systému ISMS jsou např. analýza hodnoty vlastního majetku v oblasti IT, analýza rizik ve vztahu k informacím, management informačních rizik, prohlášení o zajištění informací a další postupy“ [2].

2.2 Historie a vývoj normy K pojmu ISMS se úzce váží normy z rodiny standardů ISO / IEC 27000, především tedy ISO / IEC 27001 a ISO / IEC 27002, které historicky vznikly z britského standardu BS7799. Dle [3] je tento standard založen na kodexu, který původně vydalo Britské Ministerstvo průmyslu a obchodu, aby adresoval bezpečnost informací. Tento kodex byl 12

rozdělen na dvě části. První obsahovala především kritéria a metriky pro hodnocení bezpečnosti IT a druhá pak soupis osvědčených a doporučených postupů pro zajištění bezpečnosti informací. První část kodexu obecně vedla k vytvoření toho, co dnes známe pod pojem ITSEC, což je strukturovaný soubor kritérií pro vyhodnocení bezpečnosti počítačových systémů a produktů. Druhá pak vyústila do vytvoření dokumentu označovaného jako DISC PD003, který prošel dalším vývojem pod patronací NKC (National Computing Centre) a konsorciem uživatelských organizací.

Ve [3] se dále uvádí, že PD0003 byl rozčleněn do 10 sekcí, z nichž každá popisuje dlouhou řadu cílů, způsobů řízení a kontroly. Přestože byl publikován na počátku 90. let, jeho formát a obsah je stále velmi podobný současnému ISO 17799 / 27002 standardu. Od té doby

prodělával

dokument

PD0003

neustálý

vývoj

pod

patronací

Britského

Standardizačního Úřadu BSI a v roce 1995 se z něj stává formální standard, známý jako BS7799.

Další vývoj pokračoval ve dvou hlavních směrech - BSI rozvinul další standard, specifikace systému řízení bezpečnosti informací, která byla zveřejněna v roce 1998 jako BS7799-2, zatímco z BS7799-1, který přešel pod záštitu ISO, se v roce 2000 stává ISO / IEC 17799. Norma ISO / IEC 17799 byla hned po roce revidována na konferencích pracovních skupin a kontinuálně procházela změnami a revizemi až do roku 2005, kdy byla publikována nová verze normy. BS7799-2 zatím následoval méně komplikovanou trajektorii. Jelikož byla norma BS7799-2 již značně sladěna s přístupem jiných norem ISO, jako je například ISO 9000 pro popis procesů, byla její adaptace pro přijetí jako ISO 27001 daleko více přímočará s menším počtem připomínek a revizí, a tak byla zveřejněna v říjnu 2005. Koncem roku 2007 přišly snahy sladit systém číslování rodiny norem, a proto byla ISO / IEC 17799 přejmenována na ISO 27002. V následující tabulce je přehledně chronologicky zobrazen vývoj ISO / IEC27000 až do současnosti.

13

Tabulka 1: Vývoj rodiny norem ISO / IEC 27000 Rok

Aktivita

1992

Britské Ministerstvo průmyslu a obchodu (DTI) zveřejnil "Kodex pro řízení bezpečnosti informací"

1995

Dokument je revidován a znovu vydán British Standards Institute (BSI) v roce 1995 jako BS7799

1996

Začínají se objevovat první nástroje pro podporu a dodržování BS7799 (například COBRA), první certifikovaný auditor David Lilburn Watson

1998

BSI vydává Specifikaci systému řízení bezpečnosti informací, jako BS7799-2, z původní BS7799 se stává BS779-1

1999

První hlavní revize BS7799-1 zveřejněna, akreditace a certifikace jsou zahájeny, LRQA a BSI jsou první certifikační orgány

2000

V prosinci se objevuje první ISO standard derivovaný z BS7799-1, vzniká ISO / IEC 17799

2001

Je vypuštěna první ISO / IEC 17799 sada nástrojů

2005

Z BS7799-2 se stává ISO / IEC 27001 a ISO / IEC 17799 je revidováno

2007

ISO / IEC 17799 přejmenováno na ISO / IEC 27002 a je vydáno ISO / IEC 27006

2008

Vydány specifikace ISO / IEC 27005 a ISO / IEC277999

2009

Vydány specifikace ISO / IEC 27000, ISO / IEC 27003, ISO / IEC 27004 a ISO / IEC 27033-1

2010

Vydány specifikace ISO / IEC 27033-3

2011

Vydány specifikace ISO/IEC 27007, ISO/IEC 27008, ISO/IEC 27031, ISO/IEC 27034-1 a 27035, revize 27006

2012

Vydány specifikace ISO/IEC 27010, ISO/IEC 27032 a ISO/IEC 27033-2

Zdroj: Vlastní zpracování

Dosud jsme hovořili o ISO/IEC 27000 jako o rodině norem. Jak je patrné z tabulky, jejich počet neustále roste a je stále revidován. V návaznosti na rozhodnutí vytvořit řadu souvisejících standardů v roce 2005, výbor JTC1/SC27 inicioval rozvoj řady z nich. ISO 27000, ISO 27004 a ISO 27005 jsou neustále ve stádiu aktivního vývoje. Objevují se však nové, jako například ISO/IEC 27799.

2.3 Struktura a obsah ISO / IEC 27001 Zdroj [4] definuje ISO / IEC 27001:2005 následující části: •

Úvod - standard používá procesní přístup.

•

1. Rozsah - určuje obecné požadavky ISMS vhodné pro organizace jakéhokoliv typu, 14

velikosti nebo druhu. •

2. Normativní odkazy - pouze ISO / IEC 27002:2005 není absolutně nezbytné pro použití 27001.

•

3. Termíny a definice - krátký, formální glosář, brzy bude nahrazena ISO / IEC 27000.

•

4. Systém managementu bezpečnosti informací – je „páteří“ této normy, vycházející z Demingova principu Plan-Do-Check-Act cyklu, v němž Plan = definovat požadavky, hodnocení rizik, rozhodnout, které prvky jsou použitelné, Do = realizovat a provozovat ISMS; Check = sledovat a přezkoumávat ISMS, Act = udržovat a neustále zlepšovat ISMS. Také specifikuje konkrétní dokumenty, které jsou nezbytné a musí být zřízeny. Dále říká, že musí být vedena dokumentace a záznamy o provozu ISMS (např. pro účely certifikačních auditů).

•

5. Odpovědnost managementu – management musí prokázat svůj závazek k ISMS a především odsouhlasit rizika, zdroje a rozpočet projektu na provádění a provoz ISMS.

•

6. Vnitřní audity ISMS - Organizace musí provádět pravidelné interní audity, aby ohodnotila efektivitu a význam jednotlivých nasazených ISMS protiopatření.

•

7. Řízení přezkoumání ISMS - vedení musí přezkoumat vhodnost, přiměřenost a účinnost ISMS nejméně jednou za rok, poté posoudí možností ke zlepšení a potřebu změn.

•

8. Zlepšování ISMS - organizace musí neustále zlepšovat ISMS na základě posouzení a v případě potřeby provádět změny s cílem zajistit jeho vhodnost a účinnost, dále řešit neshody (nedodržení), a pokud je to možné, řešit prevenci opakujících se problémů.

•

Příloha A - Cíle řízení a kontroly - seznam titulů kontrolních sekcí v ISO / IEC 27002, a to až do druhé úrovně číslování (např. 9.1, 9.2), 133 celkem.

•

Příloha B - OECD principy a tato mezinárodní norma - tabulka stručně ukazuje, které části této normy splňují 7 klíčových zásad stanovených v pokynech OECD pro bezpečnost informačních systémů a sítí.

•

Příloha C - Vztah mezi ISO 9001:2000, ISO 14001:2004 a touto mezinárodní normou standard sdílí stejnou základní strukturu norem systémů řízení, což znamená, že organizace, která realizuje jednu z výšeuvedených norem by měla být obeznámena s pojmy jako PDCA, záznamy a audity.

2.4 Pojmy a principy ISMS V následujících kapitolách si objasníme některé pojmy a principy z terminologie systému 15

řízení bezpečnosti informací, abychom blíže porozuměli problematice. 2.4.1 Informační aktivum Publikace [1, kap. 5.1] říká, že informační aktivum, nebo též Asset, je definovatelná část informace, která může být uchovávaná v jakékoli formě a zároveň uznávána jako "cenná" pro organizaci. Takováto informace může pocházet i z více informačních zdrojů. Může se jednat pouze o adresu nebo název souboru, ale například i o plány na vydání nového produktu, který by měl zahanbit konkurenci.

Informační aktiva tedy musí splňovat alespoň některou z následujících podmínek: 1. Jsou považovány za hodnotné a přínosné pro organizaci. 2. Nejsou jednoduše nahraditelné bez nákladů na znalosti, čas, zdroje organizace nebo jejich kombinaci. 3. Váže se na ně image a pověst organizace. 4. Obsah, který nesou, je možno klasifikovat jako privátní nebo tajný. 5. Jejich ztráta negativně ovlivní výkon nebo to, jak je organizace svým okolím vnímána.

Informační aktiva je výhodné dále klasifikovat dle typu. Existuje několik základních stupňů dělení, jež uvádí například [7] nebo [8], nicméně zde bude předveden ten, který je v souladu s použitím v nástroji zvoleném pro praktickou část.

Informační aktiva tedy můžeme dělit například následujícím způsobem: •

Informace – do této kategorie patří každá informace v rámci organizace. Tyto informace jsou získávány, tříděny a ukládány v různých formách. Mohou to být například databáze s informacemi o výrobě, stavu skladu nebo kontakty dodavatelů, dále ovšem také různé typy logů. Do této kategorie mohou dále patřit provozní postupy, legislativou vynucené archivované informace, nebo i krizové směrnice a kontingenční plány.

•

Software – představuje programové vybavení běžící na nějakém fyzickém zařízení. Ten lze dále dělit na aplikační software, neboli konkrétní aplikace pro podporu podnikání v organizaci a systémový software, což je základní software, většinou krabicové řešení, které slouží k poskytování základních funkčností fyzických zařízení.

•

Fyzické - jedná se o hmotná zařízení, především tedy výpočetní techniku, jako jsou sálové počítače, servery, stolní počítače, notebooky a další klientská zařízení jako 16

například chytré telefony a tablety. Dále sem patří komunikační zařízení - modemy, routery, switche, ústředny a faxy. V neposlední řadě paměťová média - magnetické pásky, disky, CD, DAT, dále USB a jiná flash paměťová média, stejně jako technické vybavení, což jsou záložní zdroje, klimatizace, generátory, zabezpečovací a monitorovací systémy. Zřejmě poslední položkou je inventář, kam patří trezory, skříně a další vybavení. •

Služby – do této kategorie patří zdroje, které organizace povětšinou outsourcuje, pro příklad uveďme: IT služby, jako je webhosting a mailhosting, cloudové služby, nebo komunikační služby, kam patří hlasová komunikace, datová komunikace, wide area network a další. Mohou sem spadat také služby prostředí, jako je klimatizace, topení, osvětlení a elektrická energie, kanalizace.

•

Lidé – do této kategorie spadají zaměstnanci a ostatní personální vybavení jako nositelé know-how.

•

Nezařaditelné – image firmy, právní status a další.

2.4.2 CIA triáda, bezpečnostní atributy ISMS definuje pro informační aktiva bezpečnostní atributy. Tyto atributy postihují určité vlastnosti, které jsou od aktiva vyžadovány, případně jsou na něm monitorovány. Základní hodnocené atributy, někdy také zvané CIA triáda, jsou dostupnost, důvěrnost a integrita. Existují ještě další hlediska a tudíž další bezpečnostní atributy. Například Parkerianova hexáda [9] definuje k předchozím třem ještě vlastnictví, autenticitu a užitečnost, nicméně pro účel této práce bude CIA triáda dostatečnou pro pokrytí problému. Prvním atributem z CIA je confidentiality, neboli důvěrnost. Ta je definována v [1, kap. 2.2] jako taková vlastnost informace, která zajišťuje, že není k dispozici nebo není sdělována nepovolaným osobám, nebo jiným subjektům, obecně procesům, které by neměly mít k informaci přístup. Dalším sledovaným atributem je integrity, česky integrita. Ta je dle [1, kap. 2.2] definována jako vlastnost zajišťující přesnost a kompletnost informačního aktiva, případně metody používané k jejímu řízení. Posledním členem triády je availability, neboli dostupnost. Dle [1, kap. 2.2] tato vlastnost zajišťuje přístupnost informačního aktiva v případě použití subjektem k tomu autorizovaným.

17

2.4.3 Zodpovědnost a nepopiratelnost V ISMS je také hluboce zakotven princip osobní zodpovědnosti za informační aktiva. Každé aktivum musí totiž mít definovanou osobu, která je za něj zodpovědná a ta pak přejímá zodpovědnost za jeho správu, řízení a rozvoj. S touto myšlenkou dále souvisí i princip nepopiratelnosti, který říká, že musí být stanoveny metody a postupy takové, aby bylo vždy možno dokázat, zda činnost vykonala osoba, která tvrdí, že jí vykonala. Nebo naopak, aby bylo možno dokázat, že činnost vykonala, i když tvrdí, že nikoli. Typicky, se například nepopiratelnost odkazuje na schopnost zajistit, že účastník smlouvy nemůže popřít pravost svého podpisu na dokumentu či odesílatel mailové zprávy nemůže popřít, že ji poslal on.

2.4.4 Autentizace, autorizace a řízení přístupu Například [12, str. 42] míní autentizací subjektu proces ověření jeho identity, který splňuje požadovanou úroveň. Existují tři možné typy autentizace, které se mohou dále mezi sebou kombinovat - něco mít, něco znát a něčím být. Něco mít, znamená například vlastnictví USB klíčenky s certifikátem, něco znát je například znalost kombinace jména a hesla a něčím být se většinou pojí s nějakou vlastností autentizovaného subjektu, jako například DNA, otisk prstu či oční rohovky. Autorizace dle [12, str. 42] vyjadřuje oprávnění subjektu používat nějaký objekt na základě předem definovaných pravidel. Typicky se zjišťuje po autentizaci subjektu, není to však nutně pravidlem. Řízení přístupu popisuje [1, kap. 6.1] jako mechanismus, který zabraňuje neautorizovanému subjektu v přístupu do systému a omezuje autorizovaný subjekt pouze na takové aktivity, pro které má autorizaci.

2.4.5 Zranitelnost, hrozba, dopad, útok a riziko Obecně má každé informační aktivum nějakou formu zranitelnosti. Zranitelnost informačního aktiva definuje náchylnost aktiva k tomu, aby byly kompromitovány některé, případně všechny, bezpečnostní atributy jeho a často i bezpečnostní atributy aktiv na něm závislých. Stejně jako informační aktiva můžeme zranitelnosti kategorizovat. Různá literatura nám dává různé možnosti, my se ovšem budeme držet typů, které používá nástroj zvolený 18

pro praktickou část práce. Ten rozděluje zranitelnosti do následujících kategorií definovaných v katalogu ISO/IEC 27005, příloha D: •

Hardwarové – zranitelnosti HW, například nedodržování cyklů výměny, citlivost na kolísání napětí nebo nevyhovující uskladnění.

•

Softwarové – zranitelnosti SW, například problémy konkrétních verzí programů nebo protokolů, nedostatek kopií záloh nebo neexistující logování přístupů.

•

Síťové – zranitelnosti sítě, například nevyhovující architektonické řešení, špatná síťová kabeláž nebo nechráněný citlivý provoz sítě.

•

Personální – zranitelnosti vycházející především ze zaměstnanců, například jejich nedostatek, nízké povědomí zaměstnanců o bezpečnosti informací nebo nedostatek kontrolních mechanizmů.

•

Organizační – zranitelnosti vycházející z organizace a jejích procesů, případně jejich neexistenci, například neexistence formálních auditů, nevhodné SLA smlouvy s dodavateli služeb nebo nefungující či nevhodná politika mailové korespondence.

•

Lokační – zranitelnosti dané situací umístění, například poloha v zátopové oblasti, nedostatečné zajištění budov, dveří a oken nebo nestabilní elektrická síť.

Hrozba není ani tak vázaná na konkrétní aktivum, jako spíše na zranitelnost tohoto aktiva. Je to v podstatě využití zranitelnosti tak aby výsledkem bylo kompromitování některého, případně všech bezpečnostních atributů jeho a často i bezpečnostní atributy aktiv na něm závislých. Hrozby můžeme například dělit do následujících kategorií: •

Ohrožení funkčnosti – například chyby v používání nebo, popření akcí nebo zneužití oprávnění.

•

Ohrožení informace – například změna funkce SW, špehování na dálku nebo krádež vybavení.

•

Poruchy díky radiaci – například poruchy díky elektromagnetickému, infračervenému záření nebo elektromagnetickému pulsu.

•

Ztráta základních služeb – například porucha klimatizace, dodávky vody nebo proudu.

•

Přírodní události – například klimatický fenomén, záplavy nebo zemětřesení.

•

Fyzické poškození – například zničení zařízení nebo paměťového média, znečištění případně požár, mráz či koroze.

•

Technické selhání – například porucha nebo chyba na zařízení, nefunkčnost software.

•

Nepovolené činnosti – například nepovolené zpracování dat, ztráta integrity dat nebo 19

neautorizované použití zařízení. Úroveň kompromitování informačního aktiva, respektive ovlivnění provozu firmy kompromitováním informačního aktiva, se také někdy označuje jako dopad a je vyčíslitelná použitím specializovaných expertních metrik. Útok v ISMS vyjadřuje zneužití zranitelnosti nějakou formou hrozby a riziko je závislé na pravděpodobnosti útoku na informační aktivum a dopadu.

2.4.6 PDCA Dalším ze základních principů ISMS je tzv. Demingův princip, neboli princip PDCA – “Plan-Do-Check-Act”,

který

je

zcela

v

souladu

s

původní

Demingovou

myšlenkou metodiky řízení kvality TQM v poválečném Japonsku. Tento princip ohraničuje řízení bezpečnosti jako dlouhodobou aktivitu, která v cyklu opakuje činnosti plánování, provádění, monitorování a vyhodnocení a odpovídající reakce v závislosti na výsledku předchozího vyhodnocení. Na následujícím obrázku je zobrazen PDCA princip tak jak ho, dle [5], popisuje ISO / IEC 27001:2005.

Obrázek 1: PDCA


20

V následující tabulce jsou popsány jednotlivé fáze ISMS z obrázku 1.

Tabulka 2: Fáze ISMS Plánuj (ustavení ISMS)

Ustavení politiky ISMS, cílů, procesů a postupů souvisejících s managementem rizik a zlepšováním bezpečnosti informací tak, aby poskytovaly výsledky v souladu s celkovou politikou a cíli organizace.

Dělej (zavádění a provozování ISMS)

Zavedení a využívání politiky ISMS, opatření, procesů a postupů.

Kontroluj (monitorování a přezkoumání ISMS)

Posouzení, kde je to možné i měření výkonu procesu vůči politice ISMS, cílům a praktickým zkušenostem a hlášení výsledků vedení organizace k přezkoumání.

Jednej (udržování a zlepšování ISMS)

Přijetí opatření k nápravě a preventivních opatření, založených na výsledcích interního auditu ISMS a přezkoumání systému řízení ze strany vedení organizace tak, aby bylo dosaženo neustálého zlepšování ISMS.


Zde je nutno dodat, důležitou informaci: „PDCA nelze v žádném případě považovat za lineární proces, daleko spíše se jedná o nekonečný proud vzájemně vnořených PDCA smyček na různých úrovních detailu pohledu, které jsou realizovány v rámci jednotlivých činností a opatření každé fáze PDCA“ [16, str. 12].

2.5 Fáze ISMS V předchozím textu byla přiblížena implementace Demingova principu v ISMS a jeho rozdělení do čtyř základních fází. V dalším textu budou jednotlivé fáze popsány ve větším detailu a bude vysvětleno, jak se ISMS plánuje a zavádí a budou popsány výstupy potřebné v průběhu celého PDCA cyklu.

2.5.1 Ustavení ISMS Tato fáze je první fází PDCA diagramu, v jejímž rámci probíhají přípravné aktivity. Dochází k určení rozsahu ISMS, sběru informací o aktivech společnosti, analýze rizik a dalších aktivit pro přípravu zavedení ISMS. Stěžejní aktivity ustavení ISMS jsou tedy: 1. Definice rozsahu systému řízení bezpečnosti informací neboli ISMS scope – stanovení a konkrétní definice rozsahu projektu ISMS z hlediska postižených aktiv a procesů a 21

jeho náročnosti na zdroje organizace. Patří sem cíle organizace, organizační struktura společnosti, používané technologie, rozpočet na ISMS a další. 2. Angažování vrcholového managementu do projektu ISMS - získání písemného souhlasu a podpory vedení, jak materiální tak morální. Management by se měl písemně zavázat k podpoře projektu ISMS, delegovat bezpečnostního ředitele zodpovědného za řízení projektu a alokovat zdroje a pravomoci potřebné pro projekt. 3. Definice politiky řízení bezpečnosti informací organizace – stanovení hlavních cílů bezpečnostní politiky organizace v souladu se souhlasem vedení. Tento dokument by měl shrnovat základní cíle bezpečnostní politiky organizace a zohledňovat při tom obchodní cíle spolu s legislativními požadavky. 4. Definice metodiky a metrik pro hodnocení rizika a stanovení akceptačních kritérií – existuje velké množství příruček a dokumentace, dokonce i volně dostupných nástrojů, které používají různé metody a definované metriky. Použité metriky a metodiky mohou být obsaženy v dokumentu bezpečnostní politiky, případně být součástí dokumentu o řízení rizik. 5. Identifikace a přidělení odpovědnosti za informační aktiva, ohodnocení informačních aktiv v rámci ISMS scope z hlediska bezpečnostních atributů. Může být součástí dokumentu rolí ISMS, případně inventáře aktiv. 6. Identifikace rizik na základě relevantních zranitelností a hrozeb – vzniká na základě sběru informací od osob zodpovědných za informační aktiva společnosti, expertních odhadů, historických statistika a dalších metod. 7. Analýza a vyhodnocení rizik na základě pravděpodobnosti útoku a dopadu na organizaci. 8. Posouzení akceptovatelnosti rizik na základě stanovených metrik. 9. Stanovení metod pro zvládání rizik, nastavení odpovídajících protiopatření. Metody zvládání rizik mohou být tyto: Vyhnutí se riziku – pokud jsou rizika nezvládnutelně velká, doporučuje se úplně opustit rizikovou aktivitu. Snížení

rizika

–

vhodnými

protiopatřeními

redukovat

riziko

na

akceptovatelnou úroveň. Přenesení rizika – přenesení odpovědnosti za rizika na externí subjekt například metodou outsourcingu a SLA. Akceptování rizika – je rozhodnutí nepodnikat proti riziku žádná opatření, musí být formálně evidováno s příslušnou odpovědností. 22

10. Prohlášení o aplikovatelnosti je dalším z řady dokumentů nutných pro projekt ISMS. Shrnuje použitá protiopatření s odůvodněním jejich použití. Lze taktéž stanovit takzvaná kritéria vyspělosti protiopatření a pomocí nich použitá protiopatření vyhodnocovat.

Body 4 až 8 lze přitom shrnout pod jednu aktivitu známou jako analýza rizik nebo anglicky Risk Analysis. V rámci Řízení rizik pak probíhají postupně všechny tyto aktivity. Řízením rizik se podrobně zabývá norma ISO/IEC27005, existuje mnoho nástrojů a metodik pro efektivní řízení rizik jako například [12] nebo [13].

2.5.2 Fáze zavádění a provozu ISMS Cílem této fáze je zavedení ISMS v takovém rozsahu, jak bylo definováno v předchozí fázi. Zavedení všech protiopatření, politik a zodpovědností v rámci organizace dále provádění školení a řízení rizik. V této fázi tedy probíhají následující aktivity:

1. Cílem této fáze je zavedení ISMS v takovém rozsahu, jak bylo definováno v předchozí fázi. Zavedení všech protiopatření, politik a zodpovědností v rámci organizace dále provádění školení a řízení rizik. V této fázi tedy probíhají následující aktivity: 2. Vyčlenění zdrojů pro provoz ISMS - určení objemu materiálních a lidských zdrojů pro jednotlivé aktivity provozu ISMS, definování odpovědností a detailního obsahu školení, příruček a dokumentace. 3. Zavedení bezpečnostních opatření v rozsahu definovaném v předchozí fázi – prosazení protiopatření definovaných ve fázi ustavení a případné stanovení výjimek. Tato aktivita může předcházet, následovat nebo probíhat současně s následující aktivitou. 4. Provádění a dokumentování školení bezpečnosti, vedení záznamů, prezence informační osvěta pro zaměstnance, zákazníky a dodavatele. Vysvětlení nutnosti opatření, aby nevypadala jen jako „zbytečná práce navíc“. Navíc je zde důležitý princip nepopiratelnosti – pokud máme důkaz, že se zaměstnanec školení účastnil a nemůže popřít, že nebyl s tématem seznámen. 5. Vytváření příruček a definovaných postupů pro zaměstnance – mohou být v různých formách, jako příklad uveďme firemní intranet nebo vývěska. Tento krok obecně zjednodušuje přístup zaměstnanců k informacím ohledně firemního systému řízení bezpečnosti. Zjednodušuje a činí následné zaškolování zaměstnanců méně náročné na 23

zdroje firmy, neboť nový zaměstnanec je schopen seznámit se firemním ISMS aniž by muselo probíhat školení. 6. Ukládání a archivace důležitých informací pro pozdější vyhodnocení, jako jsou například aplikační logy přístupů, záznamů o dostupnosti a dalších údajů důležitých pro sledování výkonnosti ISMS.

2.5.3 Fáze monitorování a přezkoumání ISMS V této fázi jsou prováděny aktivity, které mají za úkol zjistit efektivitu a obecně ohodnotit provoz firemního ISMS jako takového. Mezi tyto aktivity patří kontinuální monitoring, interní audit a vyhodnocení fungování ISMS vedením společnosti.

Aktivity v průběhu fáze monitorování:

1. Kontinuální monitoring – prováděn rolemi zodpovědnými za provoz ISMS, vyhodnocuje především efektivitu použitých protiopatření a bezpečnostních pravidel a jejich dodržování. Dále sem patří dokumentace incidentů, která zahrnuje dokumentaci jakéhokoli útoku nebo známého zneužití zranitelnosti spolu s okolnostmi, zúčastněnými subjekty a dalšími důležitými informacemi pro možné posouzení. V nižší úrovni pohledu se jedná především o kontroly a vyhodnocování logů a testování zranitelností. 2.

Interní audit – prováděn většinou dedikovanou rolí interního auditora. Mělo by se jednat o kompletní, systematické, zdokumentované a nezávislé prošetření ISMS s důrazem na dodržování procesních postupů a prověření funkce bezpečnostních protiopatření a pravidel. Interní audit by měl poskytnout relevantní data pro posouzení ISMS vedením společnosti, tudíž by měl pokrývat celou jeho šíři.

3. Vyhodnoceni ISMS vedením společnosti - probíhá minimálně jednou ročně, u nově zavedených systémů častěji. Management vyhodnotí fungování ISMS ve firmě na základě údajů z předchozích dvou aktivit. Rozsah a hloubka jsou závislé především na velikosti organizace na rozsahu ISMS.

2.5.4 Fáze udržování a zlepšování Těžištěm této fáze je udržování a zlepšování ISMS v organizaci. Toto se děje pomocí 24

zavedení nápravných a preventivních opatření, které jsou definovány na základě přezkoumání výsledků předchozí fáze. V této fázi v podstatě dochází k jakémusi “poučení z krizového vývoje”, kdy na základě informací z předchozí fáze, jako jsou bezpečnostní incidenty a výsledky auditů, společně s hodnocením ISMS vedením, revidujeme použitá protiopatření z hlediska vhodnosti a efektivity, upravujeme je, případně definujeme nová. Nedochází ovšem pouze k revizi protiopatření, ale k hloubkové revizi celého systému ISM jako takového a to nejen z hlediska fungování, ale také z hlediska finanční náročnosti, efektivity procesů a dalších hledisek.

25

3 ISMS a volně dostupný software V rámci této kapitoly budou představeny tři softwarové nástroje pro podporu řízení bezpečnosti informací. Jedná se o komplexnější nástroje, což činí detailnější popis velice problematický a rozsáhlý, proto budou popsány hlediska poskytovaných funkčností, podporovaných standardů, architektury a typu distribuce. Pro detailnější popis bude poté vybrán jen jeden vhodný kandidát a v něm bude provedena hrubá analýza bezpečnosti informačních aktiv fiktivní firmy, definována bezpečnostní protiopatření a doporučené další postupy.

3.1 ESIS Executive Security Information System Dle [10] je ESIS volně dostupný software, který integruje funkčnosti pro management IT bezpečnosti s nástroji pro optimální řízení s ním spojených rizik. ESIS je postaven na vizi, že procesy pro řízení rizik musí být integrovány tak, aby vytvořily end-to-end zastřešení od řízení rizik až po krizový management. ESIS je navržen jako multi-organizační framework s možností pokrytí procesů více organizací, kde každá organizace vlastní svůj vlastní oddělený datový prostor.

3.1.1 Podporované standardy Dle [11] ESIS podporuje mnoho různých standardů a velkou řadu ověřených technik pro řízení bezpečnosti organizace. Mezi podporované standardy patří: 1. ISO 27001 - Information Security Management System 2. ISO 27004 - Information Security Management: Measurement 3. ISO 27005 - IT Risk Management 4. ISO 31000 - Risk Management 5. ISO 38500 - IT Governance Standard 6. ISO 19011 - Audit Management 7. AZ/NZS 4360 - Risk Management

26

3.1.2 Popis architektury ESIS je řešen jako modulární framework, stojící na podpoře jiných systémů, jako je například SIEM o kterém bude řeč dále, pro sběr dat z těchto systémů používá takzvané sondy (probes), které čtou data z vygenerovaných XML souborů těchto podpůrných systémů. V současné době jsou k dispozici tyto moduly: •

Dashboard

•

Threat Process Management

•

Audit and Compliance Process Management

•

Risk Register

•

Risk Assessment Process Management

3.1.3 Distribuce ESIS instalační balík je volně ke stažení na stránkách http://esis.sourceforge.net/ buď jako instalační balík pro Linux nebo jako image virtuálního stroje běžícího na CentOS Linuxu. V době psaní tohoto dokumentu byl ESIS ve verzi 1.0.1 vydané v září 2010. Na [15] je sice půl roku stará informace, že nová, úplně přestavěná verze 1.1 bude vydána na jaře 2013, nicméně task log tomu nenapovídá ani v červenci 2013. 3.1.4 Dokumentace ESIS má velice obsáhlou instalační a administrátorskou dokumentaci v angličtině, nicméně jakákoli provozní dokumentace chybí a prezentace jsou pouze ve francouzském jazyce. 3.1.5 Zkušenosti s použitím Vzhledem k tomu, že současná veze je z roku 2010, doporučuji při použití verze pro VMware ještě před prvním spuštěním provést hardware upgrade na požadovanou verzi používaného VMware, zvětšit omezení velikosti HDD z 5GB minimálně na použitelných 40GB. Dále je vhodné se po prvním naběhnutí systému přihlásit nejprve do shell a spustit yum update pro provedení update systému.

ESIS nabízí pěkné uživatelské rozhraní ve Flash-i s typickým šnekovitým útvarem uprostřed představujícím menu. V modulu administrace určíme dle RACI odpovědnosti za další moduly (pro účely testování doporučuji přidělit administrátorovi práva R), jako je Asset Inventory, Risk Assessment, Audit a další. Poté můžeme vytvořit organizační

27

strukturu skládající se z geologických zón, lokací, oddělení a zaměstnanců a získáme přístup ke složce reportů, incidentů a oprávnění. Definujeme používané produkty a zdroje v modulu Asset Management a tím jsme v bohužel v podstatě skončili. K další činnosti a aktivnímu zapojení nástroje do ochrany síťové bezpečnosti je třeba jej integrovat do stávající síťové struktury. Zde ovšem narážíme na problém nedostatku dokumentace a především příkladů poněkud komplexní konfigurace sond (probes), které program používá ke sběru relevantních dat.

3.2 OSSIM OSSIM je komplexní volně dostupná distribuce softwarových nástrojů pro sledování provozu a bezpečnosti počítačových sítí neboli SIEM. Je produktem kalifornské společnosti Alien Vault sídlící v Mill Valley. Zkratka SIEM – Security Information and Event Management v sobě zahrnuje hned několik důležitých funkcionalit. První z nich je LMS neboli Log Management System. To znamená systém, který na jedno místo sbírá a ukládá logy z různých zařízení, operačních systémů či aplikací a napomáhá tak centralizovanému přístupu k těmto logům. Další v řadě je SLM/SEM neboli Security Log/Event Management, který sbírá především bezpečnostní informace z logů pro další analýzu. Následuje SIM neboli Security Information Management, který je v podstatě Asset Management System, ovšem s nástroji pro započítávání rizika. Velice důležitý je SEC neboli Security Event Correlation, který zpracovává údaje z různých zdrojů a na základě definovaných pravidel. Pro příklad.: systém neohlásí tři chybná přihlášení z interního stroje v průběhu měsíce, naopak tři chybná přihlášení v průběhu 5 sekund z geograficky vzdálených lokací by jistě oznámit měl. OSSIM je tedy řešení integrující množství volně dostupných nástrojů a pluginů podporující širokou škálu standardů, protokolů a aplikací. Klade si za cíl poskytovat funkční framework pro centralizovanou správu, organizaci a kontinuální zlepšování detekce a monitorování bezpečnostních událostí v organizaci. Díky jeho integrovanému řešení, pokrývá všechny vrstvy zabezpečení sítě – od nízko-úrovňového pohledu pro techniky – IDS – Intrusion Detection, tak i vyšší ucelené pohledy na evidenci zdrojů a hrozeb a jejich monitorování. Mezi jeho další výhody patří snadná rozšiřitelnost o uživatelem definované pluginy a kontinuální on line aktualizace ze široké a stále se rozrůstající databáze. Dalším přínosem je fakt, že tento produkt je architektonicky navržen jako vysoce škálovatelný, použitelný pro více sítí a instalovatelný na více strojích, tudíž je vodný pro použití jak v malých, tak i středních a středně-velkých podnicích. 28

3.2.1 Podporované standardy OSSIM podporuje řadu standardů, jeho znalostní báze jsou kontinuálně aktualizovány. V rámci systému OTX – Open Threat eXchange dochází k neustálé aktualizaci známých ohrožení. Mezi podporované standardy patří: 1. PCI DSS 2. HIPAA 3. ISO 27002 4. SOX 5. GPG 13 3.2.2 Popis architektury Volně dostupná verze OSSIM se skládá ze čtyř vzájemně komunikujících komponent, které mohou být samostatně instalovatelné na oddělených strojích. Pro správnou funkci musí být samozřejmě nainstalovány a správně nakonfigurovány všechny čtyři komponenty 1. Server – provádí základní SIEM funkce: agregaci logů, korelační zpracování, reputační data a vyhodnocování rizik 2. Framework – zastřešuje komunikaci a management ostatních komponent a integrovaných volně dostupných nástrojů, poskytuje uživatelské rozhraní 3. Database – zajišťuje ukládání sebraných a vyhodnocených dat, síťových streamů, zdrojů a dalších formací potřebných k funkci OSSIM jako jsou například konfigurační data. 4. Sensor – sbírá a přijímá logy z ostatních systémů a aktivně monitoruje provoz sítě, dále spouští vyhledávání zdrojů (Asset Discovery), detekuje zranitelnosti a průniky do sítě, WiFi nebo počítače. 3.2.3 Integrované volně dostupné nástroje Server/Framework 1. Nagios – nástroj pro sledování dostupnosti síťových uzlů, aktivních prvků a služeb, které na nich běží. 29

2. OCSInventory – nástroj na sledování HW a SW inventáře na uzlech sítě. Poskytuje takové informace, jako celková velikost paměti, obsazené paměťové sloty, sériové číslo základní desky, verze OS, nainstalované aktualizace, verze ovladačů, obsazené místo na disku a další. 3. NFSen – nástroj pro monitorování a analýzy síťového provozu. 4. Ntop – další nástroj pro monitorování sítě. Sensor 1. Snort – NDIS a NIPS, neboli nástroj na zjišťování a prevenci průniků do počítačové sítě. Umožňuje v reálném čase analyzovat obsah IP datagramu. 2. Nfcap/Fprobe – zajišťuje sběr dat o síťovém provozu. 3. P0f – nástroj pro pasivní zjišťování operačních systémů podle specifických znaků v IP datagramu. 4. Pads – Passive Asset detection system – podobně jako předchozí, pouze pasivní analýzou paketů zjišťuje zdroje na síti, aniž by vytvářel zbytečný síťový provoz. 5. Arpwatch – nástroj pro monitorování AR protokolu. 6. Ntop – nástroj pro monitorování sítě. 7. Nmap – nástroj pro aktivní skenování zdrojů na síti. 8. OpenVAS/NESSUS – nástroje na detekci zranitelností síťových zdrojů. 9. OSSEC – HIDS neboli Host Intrusion Detection System je nástroj pro monitorování zabezpečení na síťových uzlech. Shromažďuje a analyzuje logy, provádí integritní testy souborů, detekci root-kitů a další. 10. Kismet – nástroj pro monitorování a NIDS pro WiFi. 3.2.4 Distribuce OSSIM instalační balík je volně ke stažení na stránkách AlienVault.com, jak v 32 bitové, tak 64 bitové verzi, běží na platformě Debian Linux 6.0 Sqeezee. V době psaní tohoto dokumentu byl ve verzi 4.2.3, a je kontinuálně updatován včetně signatur, pravidel a konfigurace integrovaných nástrojů.

30

3.2.5 Dokumentace OSSIM má velice obsáhlé fórum a dobrou dokumentaci v angličtině a španělštině, díky tomu nebylo nutno zkoušet mailovou komunikaci. 3.2.6 Zkušenosti s použitím OSSIM má velice jednoduchou instalaci a konfiguraci, která je navíc velice dobře zdokumentovaná na fóru produktu. Pro použití v jedné lokaci na více oddělených sítí, se jeví jako vhodné celé řešení postavit na virtuálním stroji. Pokud máme například v rámci jedné serverové místnosti soustředěno několik oddělených sítí s aktivními prvky, stačí přidat pouze jeden server s dostatečným počtem síťových rozhraní a ty přidělit různým virtuálním strojům dle potřeby. OSSIM potom nainstalujeme na různé virtuální stroje tak, že pro každou sledovanou síť vyčleníme jeden stroj nainstalovaný jako sensor a na jeden nainstalujeme profil databáze, frameworku a serveru, nebo je můžeme nainstalovat na separátní stroje. Jenom musím upozornit, že toto řešení je poněkud „hladové“ na síťová rozhraní, neboť pro každý sensor potřebujeme dvě – jedno pro management a druhé v promiskuitním modu pro monitoring. Nicméně z praxe se ukázalo jako vhodné neumisťovat sensor, minimálně ne takový, který provádí aktivní skenování sítě, na profil, kde nám běží server a framework. Dost často se totiž stává, že dobře nakonfigurovaný firewall začne pakety, které mu připadají jako skenování sítě zahazovat a blokovat takového útočníka. Pokud pak přistoupíme na server zvenku skrze směrovač a firewall, například pomocí VPN, odpovědi serveru už neprojdou přes firewall zpět, neboť budou zahozeny. OSSIM má velice příjemné a relativně přehledné GUI na to, kolik funkčností a různorodých nástrojů sdružuje. K velké změně došlo z verze 4.1 na 4.2, odkdy je možné provádět kompletní management sensorů z GUI a není potřeba používat shell.

3.3 Verinice Verinice je nástroj pro řízení bezpečnosti informací. Funguje v podstatě jako DMS a objektová databáze s GUI, navigací a odpovídajícími formuláři. Verinice obsahuje předdefinované objekty pro správu informační bezpečnosti, jimž je možno nastavovat konkrétní specifické atributy a případně vztahy. Jako výstup poskytuje Verinice přehledné reporty v mnoha různých standardních formátech. Vzhledem k tomu, že tento produkt je vybrán pro praktickou část a dále z důvodu neexistence dokumentace bude následující 31

kapitola obsáhlejší. Software je poskytován pod licencí GPLv3 a je vyvíjen německou společností SerNet, která se zabývá implementací bezpečnosti v několika velkých korporacích. Dle [14] je možné Verinice použít pro: •

Ustavení, provoz zlepšování ISMS podle normy ISO 27001:2005

•

Zajištění shody s normami jako je ISO 27002, BSI IT Baseline Security, VDA ISAssessment a další

•

Provádění analýzy rizik na základě normy ISO 27005

•

Audit, správu dokumentů, generování reportů a další

3.3.1 Podporované standardy Verinice podporuje řadu standardů z oblasti informační bezpečnosti. Mezi podporované standardy patří: 1. ISO 27001 2. ISO 27002 3. BSI IT Baseline Security 4. VDA IS-Assessment 5. ISO 27005 3.3.2 Popis architektury Volně dostupná verze Verinice je dodávaná jako samostatná lokální verze, což znamená, že oproti komerčnímu produktu nemá podporu sdílené databáze, a tím i možnost současné kooperace více lidí v rámci jednoho projektu. 3.3.3 Distribuce Verinice instalační balík, případně spustitelný archiv, je volně ke stažení na stránkách SerNet.de nebo verinice.org, jak v 32 tak 64 bitové verzi, pro Windows, Linux i Mac. V době psaní dokumentu byla Verinice ve verzi 1.6.2.

32

3.3.4 Dokumentace Verinice má bohužel velice špatnou, respektive téměř žádnou dokumentaci v angličtině, je sice možné za 50 euro zakoupit manuál k Pro verzi, nicméně pouze v německém vydání. Odezva na anglickém fóru se měří v řádu měsíců a první krátký video tutoriál se objevil na německém webu společnosti v červnu 2013. Na mailovou prosbu o zaslání anglické dokumentace nebo tutoriálů zástupci SerNet odpověděli:“We give the software for free, but we sell our knowledge“. V červnu 2013 se na německém webu společnosti objevil první webcast s předvedením funkce nástroje a od stejného data je ve Verinice integrován první tutoriál k ISM perspektivě. 3.3.5 Zkušenosti s použitím Verinice je ve volně dostupné verzi limitovaná na lokální instalaci, což je problém při kooperaci více lidí na projektu ISMS. Verinice ovšem umožňuje model vyexportovat a přenést na jiný počítač a pracovat na něm tam, je to nutno jen zohlednit při exportu, kde musíme zvolit možnost Prepare for reimport. Nespornou výhodou tohoto nástroje oproti ostatním je jeho komplexní pokrytí problematiky firemní bezpečnosti a existence katalogů pro podporu ISMS.

3.4 Výběr nástroje Výběr nástroje pro praktickou část byl původně navržen ve smyslu porovnání nástrojů z různých hledisek, bohužel nalezené a prezentované nástroje jsou natolik rozdílné, že nelze nalézt jednotný hodnotící pohled. Nástroj bude tedy vybrán dle toho, jak komplexně postihuje problematiku systému bezpečnosti informací v rámci organizace. ESIS, první z uvedených nástrojů, umožňuje nadefinovat organizační strukturu, typy a další atributy aktiv organizace, nicméně jakékoli výstupy a dynamické získávání dat, je pro správnou funkci a integraci nástroje nutno doprogramovat. Nástroj jistě bude možné použít pro podporu firemního ISMS, nicméně v takové firmě, která bude moci vyčlenit dostatečné zdroje na studium a vývoj komponent nutných pro jeho úspěšné provozování. OSSIM, následující z představených programů, je specializován pouze na zabezpečení síťové infrastruktury a zdrojů. Původně měl být nasazen společně s vybraným nástrojem v prostředí fiktivní firmy pro monitorování síťové infrastruktury, nicméně 33

vzhledem k rozsahu práce byl z praktické části vypuštěn. Posledním z představených produktů je Verinice. Tento software poskytuje intuitivní nástroje pro definování objektů informační bezpečnosti, správě vztahů mezi nimi a poskytování výstupů ve formě reportů pro jednotlivé aktivity v rámci zavádění a provozování ISMS, jako je například analýza rizik a zvládání rizik. Dále umožňuje provádět inventuru aktiv, lidských zdrojů, rizikových scénářů a další. Tento nástroj se jeví jako nejvhodnější kandidát pro použití v praktické části i pro jeho multiplatformní povahu.

3.5 Popis produktu Verinice V následující kapitole bude detailněji popsán zvolený nástroj. Vzhledem k tomu, že k Verinice není volně dostupná dokumentace, autor práce považuje za nutné popsat nástroj z hlediska funkčností, použitých objektů, uživatelského rozhraní a dalších vlastností, stejně jako základy fungování a použité algoritmy, aby bylo zřejmé, jakým způsobem bylo dosaženo výsledků v praktické části. 3.5.1 Funkcionality a vlastnosti •

Řízení bezpečnosti informací - Verinice obsahuje nástroje pro zavádění ISMS v souladu s mezinárodními normami, jako je ISO 27001.

•

Řízení rizik informační bezpečnosti – Verinice poskytuje nástroje pro posouzení rizik podle ISO 27005, umožňuje identifikovat vysoce riziková aktiva a provádět odpovídající reporty.

•

Provádění auditů – Verinice poskytuje unifikované rozhraní pro správu dokumentů a provádění auditů, jejich vyhodnocení a správu.

•

Použití existujících informací – Verinice poskytuje možnost importovat data z různých zdrojů včetně dat oddělených čárkou – známý formát CSV.

•

Reporting - Verinice používá BIRT report engine, identický například s report engine v produktu Tivoli společnosti IBM's. Reporty mohou být ve formátech PDF, XML nebo HTML.

3.5.2 Popis metody posuzování rizik ve Verinice Podle [17] je ve Verinice je algoritmus posuzování rizik (Risk Assessment) realizován tak, aby odpovídal implementačním požadavkům normy ISO 27005, to znamená že, realizace algoritmu odpovídá i hodnocení rizik v ISMS. 34

Parametry algoritmu jsou přizpůsobitelné a lze je snadno změnit v souboru XML, mezi ně patří například vymezené úrovně obchodních dopadů nebo stupně pravděpodobnosti u hodnocení rizik. Samotný algoritmus je poté jeden soubor (jedna třída v jazyce Java), tento lze také, samozřejmě při odpovídající úrovni znalostí, modifikovat. Posouzení rizik provedené ve Verinice se skládá z následujících kroků (viz ISO / IEC 27005, kapitola 6): •

Identifikace rizik

•

Odhad rizika

•

Hodnocení rizik

Jak víme z předchozího textu, tyto kroky musí předcházet následující aktivity: •

Definování rozsahu a kontextu, neboli ISMS scope

•

Identifikace aktiv

Verinice dále umožňuje definovat protiopatření a provádět analýzy zvládání rizik (Risk Treatment Analysis). 3.5.3 Metriky pro posuzování a hodnocení rizik Metriky pro hodnocení aktiv, hrozeb a zranitelnosti a metriky pro akceptaci rizika musí být, dle normy, organizací stanoveny a zaznamenávány do dokumentu hodnocení rizik. Verinice nám pro záznamy poskytuje odpovídající formuláře, které jsou k dispozici pro daný rozsah ISMS. Kromě toho je možné přiložit ke každému záznamu i dokument, případně jiný soubor, definující úplné zásady a metriky – Verinice nám totiž poskytuje i funkcionality dokument-management systému. 3.5.4 Ohodnocení informačních aktiv Předpokladem pro vyhodnocování rizik je ohodnocení informačních aktiv organizace. Všechna aktiva musí mít definovaného majitele nesoucího zodpovědnost za dané informační aktivum. Hodnota každého aktiva lze nastavit samostatně na základě hodnot informačních atributů metriky definované programem. Pro každé aktivum můžeme tedy nastavit hodnoty tří základních atributů - důvěrnosti, integrity a dostupnosti. 35

Verinice nicméně doporučuje používat procesní pohled, to znamená, že v první fázi určíme hodnoty bezpečnostních atributů business procesů organizace dle metrik aplikace a poté k nim přiřadíme používaná aktiva, na kterých procesy závisí. Verinice poté pomocí „dědičnosti“ přiřadí souvisejícím aktivům hodnoty „mateřského“ procesu. Dědičnost ve Verinice následuje princip maxima, který definuje, že pokud dva procesy závisí na jednom aktivu, aktivum dědí hodnoty procesu důležitějšího pro organizaci – procesu s vyšší hodnotou. Tento výpočet se provádí odděleně pro základní hodnoty důvěrnosti, integrity a dostupnosti. Dědění se provede pouze v případě, že bylo u aktiva nastaveno pro vybraný bezpečnostní atribut. To je ve výchozím nastavení programu povoleno pro všechny tři. Aktiva mohou být spojena s jinými vztahy závislosti, například jako vztah pokojů k domu. V tomto případě hodnoty dědí celý odkaz hierarchie, pokud je ponecháno výchozí nastavení. Hloubka dědičnosti není žádným způsobem omezena. V případě, že uživatel vytvoří kruhovou závislost, je zobrazena výstraha a další výpočet je u daného informačního aktiva a atributu přerušen, aby se program nedostal do nekonečné smyčky, pro ostatní objekty ale pokračuje nastavování dle dědičnosti dále. Výsledkem je seznam aktiv a jejich příslušné hodnoty (viz ISO / IEC 27005, Příloha E). Ty mohou být vytištěny ve formě reportů, nebo uloženy jako soubor. Velikou výhodou tohoto přístupu je, že uživateli postačí mít alespoň rámcové informace o přijatelných termínech obnovy a časových a finančních dopadech konkrétních business procesů, které lze stanovit například na určitou sumu za den. Přesný výpočet této hodnoty jistě není triviální, nicméně při hrubějších odhadech lze brát v úvahu pouze platy zaměstnanců, případně ztráty způsobené cenou ušlé příležitosti (Opportunity cost). 3.5.5 Standardní definice metrik ve Verinice Důvěrnost / Confidentiality •

0 Public – Žádné zvláštní požadavky.

•

1 External use – Informace pro interní použití, dále pro partnery nebo zákazníky. Možná finanční ztráta je mezi „?“ a „?“, možné porušení právních požadavků, možná finanční sankce.

•

2 Internal use - Informace pouze pro interní použití. Finanční ztráta mezi „?“ a „?“. Porušení právních požadavků, může vést k vysoké finanční sankci. Porušením důvěrnosti může dojít ke zraněním.

36

•

3 Sensitive – Možná finanční ztráta vyšší než „?“. Porušení právních požadavků by mohlo vést k trestnímu stíhání a trestu odnětí svobody. Ztráta důvěrnosti informace může vést k vážnému zranění nebo ohrožení života.

Integrita / Integrity •

0 None – Možná finanční ztráta menší než „?“.

•

1 Normal – Možná finanční ztráta mezi „?“ a „?“. Porušení právních požadavků by mohlo vést k finančním sankcím. Zveřejnění by mohlo mít za následek zranění.

•

2 High – Možná finanční ztráta vyšší než „?“. Porušení právních požadavků by mohlo vést k trestu odnětí svobody. Zveřejnění by mohlo vést ke zranění nebo smrti.

Dostupnost / Availability •

0 Basic – Možné finanční ztráty v důsledku odstávky nižší než „?“. Doba zotavení (RTO) je vyšší než jeden týden.

•

1 Normal – Možné finanční ztráty v důsledku odstávky jsou mezi „?“ a „?“. RTO je nižší než „?“. Nedostupnost by mohla poškodit image firmy.

•

2 High – Možné finanční ztráty v důsledku odstávky mezi „?“ a „?“. RTO je nižší než „?“. Nedostupnost poškozuje image firmy nebo vztah s klientem.

•

3 Very High – Možné finanční ztráty v důsledku odstávky mezi „?“ a „?“. RTO je nižší než „?“. Nedostupnost vážně poškozuje image firmy a vztahy s klienty.

•

4 Extraordinary – Zvláštní ujednání s jednotlivými klienty, která nespadají do žádné z výšeuvedených kategorií.

3.5.6 Určení a vyhodnocení hrozeb Uživatel Verinice si může vybrat hrozbu (Threat) z poskytovaného katalogu typických hrozeb definovanými normou. Není ovšem omezen jen na ten, ale může si dodefinovat i hrozby vlastní. Každá hrozba je hodnocena na základě očekávané četnosti výskytu. Příslušné úrovně, nicméně přizpůsobitelné, jsou již předdefinovány v programu. Verinice tedy pro hrozby definuje následující metriky založené na frekvenci. Míry hrozeb: 37

•

0:Seldom – V historii firmy se vyskytuje vzácně – například stoletá voda.

•

1:Annually – Hrozba se očekává průměrně jednou do roka.

•

2:Monthly – Hrozba se očekává průměrně jednou za měsíc.

•

3:Weekly – Hrozba se očekává průměrně jednou za týden.

•

4:Daily – Hrozba se očekává denně.

3.5.7 Stanovení a posouzení zranitelnosti Analogicky ke katalogu hrozeb existuje již předem vytvořený katalog typických zranitelností (Vulnerabilities). Obsahuje opět obecné zranitelnosti, o kterých se zmiňuje norma, a stejně jako u hrozeb lze uživatelské zranitelnosti dodefinovat. Uživatel rozhodne, které ze zranitelností považuje za relevantní a ohodnotí míru zranitelnosti. Míry zranitelnosti jsou ve Verinice reprezentovány úrovní zabezpečení a zranitelnost obecně je adresována jako chyba zabezpečení.

Úrovně chyb zabezpečení: •

0:Very low - Zneužití této chyby zabezpečení vyžaduje přímý útok, vysoce specializované vybavení a speciální znalosti nebo schopnosti útočníka. Zdroje pro takovýto útok nejsou běžně k dispozici. Vzácné přírodní události nebo technické selhání velkého rozsahu, by mohlo vyvolat tento stupeň zranitelnosti.

•

1:Low – Zneužití této chyby zabezpečení vyžaduje přímý útok od determinovaného útočníka. Přírodní události nebo technická selhání by mohla vyvolat tuto chybu zabezpečení.

•

2:High – Zneužití této chyby zabezpečení je možné automatizovaným útokem nebo dokonce útočníkem s omezenými možnostmi. Přírodní událost nebo technické selhání může vyvolat tuto zranitelnost.

•

3:Very High – Zneužití této chyby zabezpečení je vysoce pravděpodobné i náhodně, dokonce i osoba bez špatných úmyslů by mohla náhodně vyvolat zranitelnost. Běžné události mohou zcela jednoduše vyvolat tuto chybu zabezpečení.

3.5.8 Určení pravděpodobnosti rizikového scénáře Scénář (Scenario nebo také Risk Scenario, viz ISO 27005, příloha D) vychází z kombinace hrozby s platnými zranitelnostmi. Scénář je ohodnocen vzhledem k úrovni 38

zranitelnosti a frekvenci hrozby. Tato hodnota je počítána algoritmem Verinice podle následující matice:

Tabulka 3: Určení frekvence hrozby Frekvence hrozby

0

1

2

3

4

0

1

2

3

0

1

2

3

0

1

2

3

0

1

2

3

0

1

2

3

0

1

2

3

1

2

3

1

2

3

4

5

3

4

5

6

4

5

6

7

Úroveň zranitelnosti Pravděpodobnost scénáře

Zdroj: Vlastní překlad a zpracování

Tato tabulka není jako taková uložena v programu, je to jen způsob, jak Verinice počítá pravděpodobnost scénáře z hodnot hrozeb a zranitelností. Alternativně může uživatel vytvořit nový objekt scénáře bez odpovídající hrozby, vypnout automatický výpočet hodnot a nastavit je pro konkrétní scénář „natvrdo“. Takováto akce by ovšem měla být podložena dokumentací příslušného scénáře, jeho popisem a zdůvodněním. Jedná se o zjednodušení, protože jinak by hrozby a zranitelnosti pro scénář museli být v aplikaci vytvořeny manuálně. 3.5.9 Stanovení míry rizika informačního aktiva Scénáře jsou spojené s informačním aktivem, na které mohou mít vliv. Pro každé aktivum, v návaznosti na hodnotu rizika na základě hodnoty aktiv a pravděpodobnosti scénáře, Verinice určí hodnoty dle tabulky na následující straně.

Tabulka 4: Stanovení úrovně rizika informačního aktiva Dopad

Pravděpodobnost scénáře

0

1

2

3

4

5

6

7

0

Hodnota rizika

0

1

2

3

4

5

6

7

1

1

2

3

4

6

6

7

8

2

2

3

4

5

6

7

8

9

3

3

4

5

6

7

8

9

10

4

4

5

6

7

8

9

10

11

Zdroj: Vlastní překlad a zpracování 39

Tabulka opět není, jako taková, obsažena v aplikaci. Tyto hodnoty jsou vypočítány jako součet hodnoty majetku a pravděpodobnosti scénáře (tvořeného hrozbou a zranitelnosti). Výpočet se provádí samostatně pro hodnoty důvěrnosti, integrity a dostupnosti.

Ne vždy je ovšem k dispozici plný rozsah hodnot pro každý bezpečnostní atribut informačního aktiva, protože například integrita má ve Verinice definované pouze tři stupně 0 až 2. Rozsah je možno uživatelsky upravit, jak již bylo řečeno výše. Pro každý scénář je možné určit, který ze tří bezpečnostních atributů může být scénářem ovlivněn. Scénář může být relevantní pro více aktiv, v tomto případě je pro každé aktivum vypočítána hodnota rizika na základě kombinace jednotlivých hodnot informačního aktiva a pravděpodobnosti scénáře. Individuálně vypočtené hodnoty rizika jsou zahrnuty v reportu hodnocení rizik (ISM Risk Assessment Repot) ve Verinice. Pro každé aktivum je takto vypočítána hodnota rizika kumulativně sečtena aby bylo možno stanovit priority ochrany jednotlivých aktiv na základě nakumulovaných rizik (viz ISO / IEC 27005, příloha E). 3.5.10 Zvládání rizik Pro každé aktivum musí být vlastníkem aktiva určeno, jaká protiopatření mají být přijata, za předpokladu, že velikost rizika překračuje akceptovatelnou mez. Příslušná rozhodnutí mohou být definována pro každé aktivum společnosti. Pokud je rozhodnuto o zavedení nových bezpečnostních protiopatření (Controls), je možné proces zvládání rizik (Risk Treatment) opět vést pomocí tohoto nástroje. Protiopatření ve Verinice snižuje buď riziko přímo spojené s informačním aktivem, nebo pravděpodobnost scénáře jako takového. Každé protiopatření je třeba vyhodnotit na základě jeho účinnosti a úrovně snížení zjištěných rizik (viz ISO / IEC 27005, bod 8.1). Při výpočtu, protiopatření nemění původně uvedené hodnoty rizika aktiva, spíše se toto dopočítává jako další doplňující hodnota. Pokud nelze riziko prostřednictvím protiopatření redukovat na přijatelnou úroveň, osoby odpovědné za ohrožená aktiva musí vytvořit dokument o přijatelnosti zbytkového rizika. Odpovídající pole jsou ve formulářích každého aktiva ve Verinice.

40

3.5.11 Výstupy Výstupy z Verinice jsou ve formě různých reportů, Výsledkem hodnocení rizika je ISM Risk Assessment Report, který zahrnuje rizika všech aktiv, jejich celkový součet a vliv na business procesy organizace se zobrazením dílčích mezivýsledků procesu. Je rozdělen do následujících oblastí: 1. Scope/Client – jméno daného rozsahu ISMS, případně organizace. 2. Date – datum provedení reportu. 3. Risk Acceptance Criteria – stanovené tolerovatelné hodnoty rizik pro bezpečnostní atributy aktiv organizace. 4. Risk Classification – definice barevného rozlišení různých úrovní hodnot rizika. 5. Identified Risks – graficky vyjádřený počet rizik pro každý bezpečnostní atribut a každou úroveň rizika bez uplatnění protiopatření. 6. Remaining Risks with implemented Controls - graficky vyjádřený počet rizik pro každý bezpečnostní atribut a každou úroveň rizika po uplatnění protiopatření. 7. Assets with High Risks (without Controls) – formou tabulky zobrazená aktiva s vysokou úrovní rizika bez uplatnění protiopatření. 8. Assets with High Risks (with implemented Controls) - formou tabulky zobrazená aktiva s vysokou úrovní rizika po uplatnění protiopatření. 9. High Risk Areas without Controls – formou grafu zobrazený počet různých oblastí v klasifikaci rizikových scénářů, které mají vysokou úroveň rizika bez uplatnění protiopatření. 10. High Risk Areas with implemented Controls – formou grafu zobrazený počet různých oblastí v klasifikaci rizikových scénářů, které mají vysokou úroveň rizika po uplatnění protiopatření. 11. Risk Matrix: Confidentiality (without Controls) – formou matice popsaný počet a severita identifikovaných rizik pro bezpečnostní atribut důvěrnosti bez uplatnění protiopatření. 12. Risk Matrix: Integrity (without Controls) – formou matice popsaný počet a severita identifikovaných rizik pro bezpečnostní atribut integrity bez uplatnění protiopatření. 13. Risk Matrix: Availability (without Controls) – formou matice popsaný počet a severita identifikovaných rizik pro bezpečnostní atribut dostupnosti bez uplatnění protiopatření. 14. Business Impact and Risk Classification – v této části reportu jsou definovány metriky pro jednotlivé bezpečnostní atributy a klasifikace zranitelností a ohrožení. 41

15. Remaining High Risks (with implemented Controls) – formou tabulky prezentovaná aktiva s vysokým stupněm rizika a definovanými scénáři. 16. Detailed Risk Assessment (without Controls) – formou tabulky prezentovaný detailní rozpad rizik pro každý jednotlivý definovaný proces organizace a aktiva, na nichž daný proces závisí.

Výsledkem zvládání rizik je Risk Treatment Report s identifikovanými konkrétními protiopatřeními, rozhodnutím o jejich realizaci, a pokud možno i vědomé převzetí stávajícího zbytkového rizika majitelem aktiva, to znamená osobou zodpovědnou za toto informační aktivum společnosti. Je rozdělen do následujících oblastí:

1. Scope / Client – jméno daného rozsahu ISMS, případně organizace. 2. Date – datum provedení reportu. 3. Risk Treatment Methods – popis základních čtyř metod pro zvládání rizik. 4. Risk Acceptance Criteria – stanovené tolerovatelné hodnoty rizik pro bezpečnostní atributy aktiv organizace. 5. Risk

Matrix:

Confidentiality

–

formou

matice

popsaný

počet

a

severita

identifikovaných rizik pro bezpečnostní atribut důvěrnosti bez uplatnění protiopatření a s uplatněním protiopatření. 6. Risk Matrix: Integrity – formou matice popsaný počet a severita identifikovaných rizik pro bezpečnostní atribut integrity bez uplatnění protiopatření a s uplatněním protiopatření. 7. Risk Matrix: Availability – formou matice popsaný počet a severita identifikovaných rizik pro bezpečnostní atribut dostupnosti bez uplatnění protiopatření a s uplatněním protiopatření. 8. Business Impact and Risk Classification – v této části reportu jsou definovány metriky pro jednotlivé bezpečnostní atributy a dále klasifikace zranitelností a ohrožení. 9. Detailed Risk Treatment - formou tabulky prezentovaný detailní rozpad rizik a účinnosti protiopatření pro každý jednotlivý definovaný proces organizace a aktiva, na nich daný proces závisí i s případným vyjádřením pro akceptaci risku.

Risks by Asset report je jistou obdobou předchozího reportu s grafy pro aktiva a procesy s nejvyšší mírou rizik. Skládá se z následujících částí:

42

1. Scope/Client – jméno daného rozsahu ISMS, případně organizace. 2. Date – datum provedení reportu. 3. Risk Acceptance Criteria – stanovené tolerovatelné hodnoty rizik pro bezpečnostní atributy aktiv organizace. 4. Risk

Matrix:

Confidentiality

–

formou

matice

popsaný

počet

a

severita

identifikovaných rizik pro bezpečnostní atribut důvěrnosti bez uplatnění protiopatření. 5. Risk Matrix: Integrity – formou matice popsaný počet a severita identifikovaných rizik pro bezpečnostní atribut integrity bez uplatnění protiopatření. 6. Risk Matrix: Availability – formou matice popsaný počet a severita identifikovaných rizik pro bezpečnostní atribut dostupnosti bez uplatnění protiopatření. 7. Highest Risks – graficky a tabulkou zobrazuje nejrizikovější Top 10 pro veškerá aktiva organizace, procesy a zdroje. 8. Business Impact and Risk Classification – v této části reportu jsou definovány metriky pro jednotlivé bezpečnostní atributy a klasifikace zranitelností a ohrožení. 9. Detailed Risk Assessment - formou tabulky prezentovaný detailní rozpad scénářů na zranitelnosti a hrozby pro každý jednotlivý definovaný proces organizace a aktiva, na nich daný proces závisí.

Report Statement of Applicability popisuje použitá protiopatření a jejich cíle při podpoře ISMS, jedná se o jeden z dokumentů povinných pro certifikaci. Control Maturity Report, který na základě předchozích auditů podává přehled o vyspělosti používaných protiopatření. Dalším typem reportů, poskytovaných Verinice, jsou inventáře jednotlivých tříd objektů, jako jsou osoby, dokumenty, informační aktiva, procesy, záznamy a další.

3.5.12 Popis uživatelského rozhraní Verinice umožňuje tři různé perspektivy pohledu na bezpečnost informací společnosti – BSI, ISA, ISM a Privacy. V dalším textu se budeme věnovat pouze ISM perspektivě, neboť právě ta je používaná pro ISMS. Po otevření aplikace a zvolení ISM perspektivy nám Verinice nabídne následující GUI.

43

Obrázek 2: Rozvržení uživatelského rozhraní


Horní řádek menu aplikace obsahuje standardní položky, jimiž jsou: File, Edit, View a Help. Pod ním je editovatelný řádek ikon obsahující odkazy na nejpoužívanější funkce menu.

Menu File obsahuje následující, pro nás zajímavé položky: •

Generate report... – umožní pro zvolenou organizaci provést celou řadu reportů popsaných výše.

•

Security Assessment – v pod-menu této volby můžeme buď založit novou organizaci (Add New Security Assessment) nebo vyexportovat stávající organizaci do Verinice specifického formátu souboru s příponou vna.

•

CSV – Import – umožní importovat objekty ze souboru s hodnotami oddělenými čárkou a volitelným kódováním souboru.

•

Exit – ukončí aplikaci.

V menu Edit jsou pro nás zajímavé následující položky: 44

•

Bulk Edit... - Umožňuje hromadně editovat atributy objektů zvolených v Perspective Browseru.

•

Run Risk Analysis – Spustí výpočetní proces pro zvolenou organizaci, je nutné provést po každé modifikaci modelu před generováním reportu, neboť algoritmus dopočítá aktualizované hodnoty bezpečnostních a dalších atributů objektu modelu.

V menu View jsou pro nás zajímavé následující položky: •

Refresh view – Obnoví obrazovku aplikace, znovu načte uložené hodnoty.

•

Show Perspective... - zde si můžeme zvolit perspektivu pohledu na bezpečnost organizace, máme na výběr mezi BSI Perspective (Default), ISM Perspective, Privacy Perspective a VDA Security Assessment Perspective. Nicméně objektivem je pouze ISM Perspektiva.

•

Show view... - zde si můžeme zvolit zobrazení odpovídajících pohledů na zvolenou perspektivu, respektive okna s informacemi relevantní zvolené perspektivě. Nás zajímají pouze okna uvedená v dalším textu této kapitoly.

V menu Help jsou pro nás zajímavé následující položky: •

Tutorials – v tomto menu se v nedávné minulosti objevil konečně první krátký tutoriál v angličtině vážící se k ISMS.

•

Key Assist – zobrazí tabulku klávesových zkratek.

•

Check for Updates – zahájí kontrolu aktualizací a případnou aktualizaci aplikace.

Na obrázku 2 této kapitoly, označené žlutě, je okno katalogů (Catalogs) – do něho nahráváme různé předpřipravené katalogy Verinice objektů, případně objekty dříve vyexportované. K dispozici ke stažení je sada standardních hrozeb a zranitelností a ISO / IEC 27001 Implementation guidance se sadou standardních protiopatření, respektive jejich oblastí.

45

Obrázek 3: Okno katalogů


Při importu katalogu musíme nejdříve v okně Catalogs zvolit ikonu nového katalogu - na ilustračním obrázku ikona v horním řádku vlevo připomínající dokument s hvězdičkou - a potom v dialogovém okně zvolit soubor v CSV formátu. Načtené objekty je poté možné importovat do modelu pouhým přetažením do okna perspektivy do skupiny odpovídajícího typu. Katalog je možné smazat po kliknutí na ikonu popelnice a plus a mínus rozbalují nebo sbalují strom katalogu.

Červeně označené okno na obrázku 2 je okno perspektivy (Perspective Model Browser) – v něm vidíme stromovou strukturu ISM modelu, obsahující objekty, většinou sdružené do skupin (Groups). Objekty a skupiny můžeme vytvářet, kopírovat, mazat nebo přesouvat a pomocí drag'n'drop mezi nimi vytvářet vztahy. Kopírování objektu vytvoří v podstatě objekt nový se stejnými atributy, nicméně nebude obsahovat vazby na objekty jako kopírovaný objekt, vazby se zachovávají pouze při přesunu. Objekty používané pro ISM perspektivu a možné vztahy mezi nimi budou definovány i se svými výchozími ikonami dále v textu. Jelikož Verinice umožňuje změnu výchozích ikon pro každý jednotlivý objekt modelu, je možné si z integrované knihovny vybrat popisnější ikony pro objekty nebo skupiny a značně tak zjednodušit navigaci v modelu.

46

Obrázek 4: Okno Perspective Browseru

Zdroj: Vlastní zpracování Na obrázku je detail okna perspektivy s tlačítky funkcí v horní části. Při čtení zleva se jedná o následující funkce: •

Plus a mínus rozbalují/sbalují strom.

•

Šipka vlevo a vpravo – přemisťuje kořen zobrazené stromové struktury modelu buď směrem ke kořenu (šipka doleva), případně směrem k dětem (šipka doprava).

•

Tři šipky doprava – filtrování zobrazených objektů modelu dle typu nebo tagu

•

Šipky proti sobě – spojení okna perspektivy s oknem editoru vypnout/zapnout.

•

Dvě modré ikony se šipkami ven a dovnitř modrého objektu – představují funkce importu a exportu modelu z a do souboru specifického formátu Verinice s příponou vna.

•

Ikona dokumentu s hvězdičkou – založení nové organizace – ISMS scope.

V okně Perspective browseru je pro další funkce možno použít pravého tlačítka myši. Po jeho zmáčknutí se objeví kontextové menu, ze kterého si popíšeme jen následující důležité položky: •

Export... - zde můžeme vyexportovat část stromu objektů. 47

•

New... - zde můžeme vytvořit nový objekt nebo skupinu objektů z knihovny objektů popsaných v předchozím textu.

•

Copy – zkopíruje objet do schránky, po vložení se jedná o nový bez původních vazeb.

•

Cut – vyjme objekt do schránky pro vložení jinam, po vložení objektu zůstávají původní vazby.

•

Paste – vložení objektu.

•

Change Icon – můžeme změnit výchozí ikonu objektu.

•

Attach File – připojí k objektu soubor.

•

Attach Note – umožní vložit poznámku.

•

Naturalize – funguje pro naturalizaci importované organizace, protože po importu bude Verinice u každého objektu ukazovat identifikační znak, je nutné importovaná data naturalizovat.

•

Collapse/Expand – rozbalí nebo sbalí strom pod zvoleným objektem.

Zeleně označené okno na obrázku 2 je okno vztahů (Relations) – v tomto okně jsou zobrazeny definované vztahy zvoleného objektu s jinými ve stromové struktuře ISM perspektivy. Typy povolených vztahů mezi objekty jsou předdefinovány v aplikaci, tudíž není možno utvářet libovolné závislosti. Obrázek 5: Okno Relations


48

Vztahy mezi objekty je možno vytvářet a mazat, každý typ objektu má vlastní povolené vazby na ostatní typy objektů. Výběrem typu objektu v Relations to je možno zobrazované vazby filtrovat podle zvoleného typu. Okno editoru je na obrázku 2 označeno modře – v tomto okně je pomocí formulářů možné definovat jednotlivé atributy objektů v ISM modelu. Formuláře jsou předdefinovány a liší se pro jednotlivé typy objektů, dále je možno definovat, které atributy budou v editoru viditelné v Menu → Settings → Editor Properties. Obrázek 6: Okno Editoru


Zde jsou přístupné jednotlivé atributy objektu zvoleného v okně perspektivy, po otevření dalšího objektu se tento řadí za předchozí do okna editoru. Jednotlivé tematicky oddělené skupiny atributů objektu je v editoru možno zobrazit nebo schovat pomocí malé šipky před názvem skupiny atributů.

Šedě označené okno na obrázku 2 je okno souborů (Files) – v tomto okně jsou zobrazeny soubory přímo linkované ke zvolenému objektu v okně perspektivy. Nicméně pro použití k linkování s dokumenty souvisejícími s ISMS, doporučuji nejdříve vytvořit objekt dokumentu ve Verinice a k němu přilinkovat soubor dokumentu jako takového. 49

Obrázek 7: Okno Files

Zdroj: Vlastní zpracování Na obrázku je detail okna Files s funkčními tlačítky v horní části. Toto okno nám ukazuje soubor spojený s objektem zvoleným v okně perspektivy. Tento soubor je možno připojit k objektu tlačítkem s protiběžnými šipkami, dalším tlačítkem je možno přilinkovat nový soubor, ikona popelnice jej maže. Ikona diskety s tužkou dokument uloží na zvolené místo souborového systému a lupa otevře dokument pro čtení. 3.5.13 Popis objektů modelu V následující kapitole budou popsány ISM objekty používané ve Verinice. Budeme popisovat pouze atributy, které jsou pro danou perspektivu relevantní. - Tato ikona představuje kořenový objekt modelu ISM perspektivy, zvaný Organization / Scope. Do tohoto objektu jsou hnízděny objekty a jejich skupiny, které definují ISMS v rámci dané organizace nebo rozsahu. Verinice je multi-organizační, tudíž umožňuje spravovat více organizací s oddělenými datovými prostory, případně víc nezávislých ISMS rozsahů v rámci jedné organizace. Scope jako takový má ve formuláři definovány následující atributy: •

Organization / Scope – jméno organizace nebo rozsahu.

•

Description – popis organizace nebo rozsahu.

•

Company Group – skupina společností.

•

Location – geografické umístění.

•

Website – adresa webových stránek.

•

Contact Information – další kontaktní a komunikační informace. 50

•

Tags – slouží k definování příslušnosti, je možné dle něj filtrovat a vyhledávat objekty.

•

Risk Acceptance – zde se nastaví limity akceptovatelných hodnot bezpečnostních atributů aktiv společnosti. Hodnoty se nastavují odděleně pro atributy důvěrnosti, integrity a dostupnosti na škále 0 až 11.

•

Business Impact Classification – umožňuje editovat vysvětlení jednotlivých hodnot metrik bezpečnostních atributů CIA.

•

Threat classification – umožňuje nastavovat hodnoty pro vysvětlení četnosti výskytu.

•

Vulnerability classification – umožňuje modifikovat výchozí definované hodnoty pro metriky zranitelnosti.

- Tato ikona představuje objekt informačního aktiva / Asset. Asset jako takový má ve formuláři definované následující atributy: •

Tittle – název aktiva.

•

Abbreviation – použitá zkratka aktiva.

•


•

Description – popis aktiva.

•

Type – typ aktiva, máme na výběr z typů popsaných v předchozí kapitole o typech aktiv.

•

MTPD – doba nedostupnosti aktiva, po které bude dopad na organizaci neakceptovatelný – po uplynutí této doby dojde k uzavření firmy.

•

RTO – Doba potřebná k obnovení funkce systému – například, jak dlouho po havárii bude trvat opětovné zprovoznění serveru. RTO stanovujeme vždy tak, že RTO < MTPD.

•

RPO – okamžik v čase, do nějž musíme být schopni obnovit systém po havárii – například množství dat, jenž musí být obnoveno po obnově funkčnosti systému.

51

•

Impact after 8, 24, 48, 96, 168, 720 h – definuje dopad na společnost podle doby nedostupnosti aktiva.

•

Business Impact – zde je možno definovat, zda a jaké hodnoty bezpečnostních atributů informačních aktiv budou děděny, případně je možné je „natvrdo“ nastavit. Dále je možno určit náklady na nahrazení aktiva v peněžní částce a přidat vysvětlení.

•

Risk Management – tato pole není možné editovat, pouze zobrazují konkrétní hodnoty bezpečnostních atributů aktiva vypočtených při poslední analýze rizik. Ukazuje jak výsledky analýzy rizik bez protiopatření, tak s nimi.

•

Risk Treatment – umožňuje zvolit typ zvládání rizika s hodnotami Modification, Retention, Avoidance a Transfer, obsahuje textové pole pro vysvětlení.

- Tato ikona představuje objekt protiopatření / Control. Protiopatření neboli Control má ve Verinice následující atributy: •

Tittle – název protiopatření.

•

Abbreviation – použitá zkratka protiopatření.

•


•

Implementation – zde můžeme nastavit stupeň implementace protiopatření, přidat vysvětlení a cíl použitého protiopatření. Stupně implementace jsou definovány jako Yes, No, Partly a N.a. Dále je možno nastavit datum implementace.

•

Statement of Applicability – zde můžeme zvolit, zda chceme protiopatření zařadit do reportu o aplikovatelnosti a vybrat jeden z důvodů použití z možností jako business požadavek, právní požadavek, výsledek risk assessment nebo požadavek na základě smlouvy.

•

Control Strength – zde nastavíme, jaké bezpečnostní atributy použité protiopatření modifikuje, případně i jeho ovlivnění pravděpodobnosti kompromitování bezpečnostních atributů aktiva. Dále je vhodné doplnit vysvětlení.

52

•

Maturity Level – úroveň vyspělosti protiopatření, nastavuje se váha a vyspělost na stupnici od 0-5, Verinice sama počítá index na základě nastavení dat implementace a kontroly v auditech. Dále je možné doplnit připomínky a datum platnosti.

•

Revision – umožňuje nastavit datum poslední a následující revize a přidat poznámky.

•

Cost – umožňuje definovat náklady na protiopatření jak v materiálních, tak personálních nákladech a nastavit pro ně platnou periodu.

•

Feedback – umožňuje doplnit reakci a datum této reakce.

- Tato ikona představuje objekt dokumentu / Document. Dokument má ve Verinice následující atributy: •

Tittle – název dokumentu.

•

Abbreviation – použitá zkratka dokumentu.

•


•

Document type – nastavení typu dokumentu na jeden z následujících – politika (Policy), popis procesu (Process Description), smlouva (Contract), dohoda (Agreement),

systémová

dokumentace

(System

Documentation),

výzkum

(Research), návod (Guide), výukový materiál (Edu Materials) nebo jiný (Other). •

Classification – stupeň utajení – nastavuje se v rámci metrik důvěrnosti nástroje.

- Tato ikona představuje objekt osoby / Person. Osoba má ve Verinice následující atributy: •

Abbreviation – použitá zkratka.

•


•

Salutation – oslovení pán, paní, slečna.

•

Surname – příjmení osoby.

53

•

Name – jméno osoby.

•

Phone – telefonní kontakt.

•

Email – emailový kontakt.

•

Org-Unit – organizační jednotka.

•

Explanation – dodatky a vysvětlení.

•

Roles – role osoby.

- Tato ikona představuje objekt hrozby / Threat. Hrozba má ve Verinice následující atributy: •

Tittle – název hrozby.

•

Description – popis hrozby.

•

Abbreviation – použitá zkratka hrozby.

•


•

Likelihood – vyjadřuje frekvenci hrozby.

- Tato ikona představuje objekt zranitelnosti / Vulnerability. Zranitelnost má ve Verinice následující atributy: •

Tittle – název hrozby.

•

Description – popis hrozby.

•

Abbreviation – použitá zkratka hrozby.

•


•

Vulnerability Level – stupeň zranitelnosti.

- Tato ikona představuje objekt rizikového scénáře / Scenario. Scénář má ve Verinice následující atributy: 54

•

Tittle – název scénáře.

•

Abbreviation - použitá zkratka scénáře.

•


•

Explanation – popis, vysvětlení scénáře.

•

Affects CIA – zde je možno zvolit, jaké z bezpečnostních atributů scénář ovlivňuje.

•

Probability – zde je možno nastavit, jak již bylo řečeno dříve, zda má scénář dědit hodnoty od asociované hrozby a zranitelnosti, či je nastavit „natvrdo“.

- Tato ikona představuje objekt business procesu / Process. Proces má následující atributy: •

Tittle – název procesu.

•

Description – popis procesu.

•

Abbreviation – použitá zkratka procesu.

•


•

Type – typ procesu, máme na výběr z typů popsaných v předchozí kapitole o typech aktiv.

•

MTPD – doba nedostupnosti aktiva, po které bude dopad na organizaci neakceptovatelný – po uplynutí této doby dojde k uzavření firmy.

•

RTO – maximální doba nedostupnosti aktiva, jejíž překročení bude mít velký dopad na organizaci – po této době firma například ztratí dobrého zákazníka.

•

RPO – okamžik v čase, do nějž musíme být schopni obnovit systém po havárii – například množství dat, jenž musí být obnoveno po obnově funkčnosti systému.

•

Impact after 8, 24, 48, 96, 168, 720 h – definuje dopad na společnost podle doby nedostupnosti aktiva.

55

•

Business Impact – zde je možno definovat, zda a jaké hodnoty bezpečnostních atributů informačních aktiv budou děděny, případně je možné je „natvrdo“ nastavit. Dále je možno přidat vysvětlení.

- Tato ikona představuje objekt požadavku / Requirement. Požadavek má následující atributy: •

Tittle – název požadavku.

•

Abbreviation – použitá zkratka požadavku.

•

Tag – slouží k definování příslušnosti, je možné dle něj filtrovat a vyhledávat objekty.

•

Description – popis požadavku.

•

Type – typ požadavku s možnými hodnotami právní (Legal), smluvní (Contractual), regulační (Regulatory), obchodní cíl (Business Objective) nebo cíl IS (IS Objective).

- Tato ikona představuje objekt bezpečnostního incidentu / Incident. Incident má následující atributy: •

Tittle – název auditu.

•

Abbreviation – použitá zkratka auditu.

•


•

Event(s) – popis události toho, co se stalo.

•

Date – datum události.

- Tato ikona představuje objekt reakce na incident / Response. Reakce má následující atributy: •

Tittle – název reakce.

•

Abbreviation – použitá zkratka reakce. 56

•


•

Corrective Action – popis reakce na incident, jaká byla provedena opatření.

- Tato ikona představuje objekt výjimky / Exception. Výjimka má následující atributy: •

Tittle / název – název výjimky.

•

Abbreviation – použitá zkratka výjimky.

•


•

Reason – vysvětlení pro udělení výjimky.

•

Approved – povoleno ano / ne (Yes / No).

•

Explanation – vysvětlení rozsahu a aplikace výjimky.

•

Conditions – podmínky pro výjimku.

•

Approved on / Valid until – doba platnosti výjimky.

- Tato ikona představuje objekt záznamu / Record Záznam má následující atributy: •

Tittle – název záznamu.

•

Abbreviation – použitá zkratka záznamu.

•


- Tato ikona představuje objekt Attached File, který představuje soubor připojený k objektu. Attached File má následující atributy: •

Title – název souboru, editovatelné, nemění jméno souboru.

57

•

File – jméno souboru v rámci souborového systému.

•

Description – popis souboru.

•

Version – označení verze souboru.

•

Document state – stav dokumentu v rámci systému, je možno nastavit hodnoty – N.A., Draft, Approval requested, Approved a Obsolete. Pokud je dokument nastaven na Approved, je možné nastavit hodnoty pro Publish na Yes nebo No a případné datum publikace.

- Tato ikona přestavuje objekt auditu / Audit. Po vytvoření nového objektu auditu se nám automaticky vytvoří podřazené kontejnery pro aktiva (Assets), protiopatření (Controls), zjištění (Findings), důkazů (Evidence), akcí (Actions) a lidí (Persons), které jsou předmětem nebo výsledkem auditu. Audit sám o sobě má následující atributy: •

Tittle – název auditu.

•

Abbreviation – použitá zkratka auditu.

•


•

Type – typ auditu s hodnotami 1st, 2nd, 3rd party, Certification, Surveillance, ReCertification.

•

From / Until – data startu a konce auditu.

•

Scope Summary – shrnutí rozsahu auditu.

•

Creators fields – informace o tvůrci dokumentu.

•

Release fields – slouží k zadání data vydání auditu, osoby, která schválila audit, jméno osoby, která audit prováděla, témata, která audit postihla a která byla z auditu vyloučena.

•

Document data – data vytváření a odsouhlasení jednotlivých verzí auditu.

•

Subject Areas – obsahují hodnotící informace, jako kde byl audit v pořádku a co by se dalo zlepšit a dále cílovou skupinu.

58

- Finding – tento objekt obsahuje jeden nález auditu Má následující atributy: •

Tittle – název nálezu.

•

Abbreviation – použitá zkratka nálezu.

•


•

Description – popis nálezu.

•

Root Cause – co způsobilo tento nález.

•

Non Conformity Level – úroveň v mezích malá, velká, pozorování a formulář pro vysvětlení neshody.

•

Suggested Response – doporučená reakce na nález.

•

ISA Fields – zde je možno určit předdefinovaný typ a datum zápisu o nálezu.

- Action – objekt představující jednu akci v rámci auditu Akce má následující atributy: •

Tittle – název akce.

•

Abbreviation – použitá zkratka akce.

•


•

Audit Action – typ akce – rozhovor (Interview), kontrola dokumentace (DocCheck), inspekce (Inspection), kontrola dokumentu (DocReview), dodržování smluvních závazků, sledování procesů (Workflow Observation).

•

Date – datum akce.

•

Place – kde akce proběhla.

- Tato ikona představuje objekt důkazu / Evidence. Evidence má následující atributy: 59

•

Tittle – název důkazu.

•

Abbreviation – použitá zkratka důkazu.

•


Tyto objekty je možno pro snadnější orientaci a logické rozdělení sdružovat do skupin (Groups). Tyto skupiny mohou obsahovat pouze objekty typově shodné s typem skupiny. Ikona skupiny se liší od ikony objektu malým zlatým kroužkem v pravém dolním rohu ikony. Jediným atributem skupiny je, kromě typu, který zvolíme při vytváření, jeho název. 3.5.14 Objektový model ISMS ve Verinice Na následujícím obrázku je objektový model implementace ISMS nástrojem, respektive rodiny norem ISO/IEC 27000, s objekty popsanými v předchozí kapitole.

Obrázek 8: Objektový model ISMS ve Verinice

Zdroj: http://svn.verinice.org/svnroot/TRUNK/sernet.gs.ui.rcp.main/etc/vn27k-model.png 60

Jak vidíme z obrázku, objekty jsou v nástroji svázány vazbami nebo jinou formou vztahu. Tyto vztahy nám umožní definovat komplexní strukturu firemního ISMS tak, aby naplňoval požadavky normou kladené. Kompletní tabulka vztahů objektů je součástí Přílohy 1.

3.6 Implementace ISMS s pomocí Verinice V této části bude popsána implementace ISMS v rámci fiktivní organizace s použitím vybraných nástrojů z předchozí části práce. Práce si rozhodně neklade za cíl pokrýt kompletní problematiku ISMS ve firmě, tím méně možnost dovést firmu k úspěšné certifikaci. Je především rámcovým nástinem, jak při zavádění ISMS postupovat při použití popsaných nástrojů. Předpokládejme nasazení v malé firmě, která si vybrala volně dostupné řešení z důvodu výrazných úspor, dále delegovala personální zdroje, které se problematiky chopí spíše jako koníčka a nebudou případně příliš zatěžovat zdroje firmy v pracovní době. Malá firma si jen těžko vyčlení zdroje na externího bezpečnostního konzultanta nebo auditora, který by mohl firmě pomoci k certifikaci. Vzhledem k tomu, že práce má předvést vhodnost zvoleného nástroje pro účel definovaný tématem, bude v následujícím textu vždy jen nastíněn postup, případně předveden jen na části definovaného rozsahu ISMS. Doplňující informace k problematice a komplexnější pohled na problém jsou obsahem projektu v nástroji na přiloženém CD. 3.6.1 Popis fiktivní firmy Firma Blue Pecari, s.r.o., dále jen firma, je malá společnost se dvaceti třemi stálými zaměstnanci. Sídlo firmy leží z historických důvodů ještě v Jeseterech, nicméně centrála je již delší dobu v Praze. Další čtyři pobočky se nacházejí v Českých Budějovicích, Plzni, Jičíně a Liberci. Firma podniká v oblastech ICT a účetnictví. V ICT se zabývá především prodejem hardware a software, dále poskytováním poradenství a služeb jak servisních, tak hostingových. V účetnictví je to především poskytování účetních služeb, správa a vedení účetnictví pro firmy i jednotlivce.

61

Obrázek 9: Rozmístění poboček Blue Pecari, s.r.o.

Zdroj: Vlastní zpracování Firma má několik stěžejních zákazníků, především malých firem, kterým poskytuje služby v obou oblastech na základě smluvního vztahu. Ostatní obchodní příležitosti byly až do nedávna získávány ad hoc, takže pro další rozvoj společnosti a získání většího podílu na trhu bylo v nedávné minulosti založeno i marketingové oddělení pro konstantní komunikaci se stávajícími zákazníky a oslovováním nových potenciálních zákazníků. Z hlediska organizační struktury ve firmě tedy existuje IT oddělení poskytující IT služby interně i externě zákazníkům, dále Účetní oddělení fungující také jak interně tak externě, Marketingové oddělení, které řeší komunikaci se stávajícími a získávání nových zákazníků, oddělení Lidských zdrojů zajišťující nábor, rozvoj a uvolňování zaměstnanců firmy, oddělení Prodeje, mající na starost obchodní aktivity firmy a TOP Management, který má za úkol strategické řízení. 3.6.2 Organizační struktura společnosti V následujícím diagramu je definována organizační struktura společnosti. Ředitel společnosti, společně s manažery jednotlivých oddělení představují řídící složku organizace, zodpovědnou jak za naplňování strategických a rovněž taktických cílů společnosti. Jednotliví manažeři jsou dále zodpovědní za svá konkrétní oddělení. Na 62

pobočkách firmy nejsou definovány vedoucí role, tamní zaměstnanci spadají pod manažera svého oddělení. Obrázek 10: Organizační struktura společnosti

Zdroj: Vlastní zpracování 63

3.6.3 Identifikované firemní procesy V rámci první průběžné formální analýzy byly identifikovány základní procesy firmy. Tyto procesy využívají firemní informační aktiva pro realizaci svých cílů. Postupnou dekompozicí jednotlivých procesů je možno definovat množinu klíčových informačních aktiv, které jsou nezbytné pro chod organizace, případně definované rozsahem ISMS společnosti. Díky dekompozici a analýze procesů můžeme taktéž odhalit případné zranitelnosti. V následující tabulce je souhrn firemních procesů.

Tabulka 5: Stanovení úrovně rizika informačního aktiva Název

Poznámka

Strategické řízení

V rámci tohoto procesu probíhá dlouhodobé řízení firemní strategie.

Obchod

Tento proces shrnuje veškeré obchodní aktivity, jako je nákup, prodej a kontakt se stávajícími zákazníky.

IT

Tento proces shrnuje veškeré aktivity spojené s poskytováním služeb v oblasti ICT jak interně, tak externě.

Účetní služby

Tento proces shrnuje veškeré aktivity spojené s poskytováním účetních služeb jak interně, tak externě.

Marketing

Tento proces shrnuje veškeré aktivity spojené se získáváním nových zákazníků.

Personální oddělení

Tento proces shrnuje veškeré aktivity spojené s náborem, rozvojem a uvolňováním lidských zdrojů organizace.


Firemní procesy jako takové mají definované své vstupy, jako například lidské zdroje, ICT technologie a další. Tyto vstupy jsou v rámci procesu využívány k dosažení cílů tohoto procesu, jako je například realizace zisku nebo prosperující firma. Proces dále vytváří nějaký produkt, jakousi svojí reprezentaci navenek, jako je například prodej zboží a služeb, případně poskytování těchto služeb.

64

Proces strategického řízení je hlavním řídícím procesem organizace, v jeho rámci probíhá dlouhodobé plánování a řízení organizace.

Obrázek 11: Proces Strategické řízení


Tabulka 6: Strategické řízení Cíl

Dlouhodobě úspěšně řídit firmu.

Zodpovědná osoba Ředitel Vstupy

Personální a finanční a ICT zdroje firmy, informace o stavu firmy, trhu, komunikační nástroje, a další.

Výstupy

Strategické řízení firmy.


65

Proces obchodu generuje cash-flow firmy, v rámci tohoto procesu probíhá prodej zboží a služeb firmy.

Obrázek 12: Proces Obchod


Tabulka 7: Obchod Cíl

Realizovat zisk pro firmu prodejem produktů a služeb

Zodpovědná osoba Obchodní manažer Vstupy

Lidské zdroje, informace o skladu, zákaznících, dodavatelích, komunikační nástroje a další.

Výstupy

Fakturační podklady, kontakty, objednávky.


66

Proces IT je důležitým procesem organizace, poskytující své služby jak interně tak externě zákazníkům v rámci zakázek sjednaných obchodním oddělením.

Obrázek 13: Proces IT


Tabulka 8: Proces IT Cíl

Udržovat funkčnost ICT a spokojenost zákazníka s jeho fungováním na maximální možné úrovni.

Zodpovědná osoba IT Manažer Vstupy

Lidské zdroje a ICT firmy, informace o zákaznících, jejich účtech, ICT infrastruktuře, IT IS a další.

Výstupy

Vyřešené požadavky zákazníka, ať už interního nebo externího, podklady k fakturaci, další informace k jednotlivým zakázkám


67

Proces účetnictví nebo účetních služeb poskytuje smluvní účetní služby zákazníkům stejně jako interně v rámci organizace.

Obrázek 14: Proces Účetnictví


Tabulka 9: Proces Účetnictví Cíl

Poskytovat efektivní a diskrétní služby v oblasti účetnictví jak interně, tak externě.

Zodpovědná osoba

Účetní Manažer

Vstupy

Lidské zdroje a ICT firmy, účetní podklady v elektronické či papírové formě, informace o zákaznících a další.

Výstupy

Řešení problému či požadavku zákazníka a podklady k fakturaci.


68

Proces marketing je nový proces mající za úkol získávání nových zákazníků a podporu prodeje.

Obrázek 15: Proces Marketing


Tabulka 10: Marketing Cíl

Získat nové zákazníky, podpora prodeje.

Zodpovědná osoba

Manažer Marketingu

Vstupy

Lidské zdroje firmy, ICT technologie a další.

Výstupy

Informace o nových a stávajících zákaznících firmy do systému prodeje.


69

Proces HR neboli řízení lidských zdrojů je v současné době v diskutabilní pozici, neboť již delší dobu nedocházelo k náboru případně uvolňování lidských zdrojů organizace a prognózy nenasvědčují změně trendu v blízké budoucnosti.

Obrázek 16: Proces HR


Tabulka 11: Proces HR Cíl

Zajistit optimální množství a kvalitu lidských zdrojů.

Zodpovědná osoba

HR Manažer

Vstupy

Lidské zdroje firmy, ICT technologie, databáze zaměstnanců a další.

Výstupy

Nábor vzdělávání a uvolňování lidských zdrojů organizace.


70

3.6.4 Struktura sítě a používané technologie Pro snazší identifikaci klíčových aktiv organizace je vhodné provést inventuru ITC technologií a zařízení. Bude tak definována oblast klíčové infrastruktury, která je nevyhnutelně nutná pro fungování organizace, a bude jednodušší vytvořit strom závislostí jednotlivých aktiv a firemních procesů. Na následujícím diagramu je formálně zobrazena struktura firemní sítě a používaná zařízení pro přístup k síti. Nejsou zde samozřejmě všechna, což se především týká koncových zařízení, berme jej tedy spíše jako postihnutí technologického rámce. Obrázek 17: Struktura sítě


Firma používá jediné připojení přes jednoho poskytovatele připojení k Internetu, dále ISP, který poskytuje obecnou konektivitu, která je dále používána jak pro datové, tak i hlasové a faxové služby. V demilitarizované zóně je umístěn server BluePecari.com, který 71

poskytuje webové a mailové služby pro firmu a zákazníky, služby běží na operačním systému Linux Debian 6x64. V lokální síti, dále LAN, je umístěn server Domain.local poskytující služby Active Directory pro správu účtů a kontrolu přístupů k síťovým zdrojům. Na serveru Domain.local je nainstalován operační systém Windows Small Business server 2011 a mailový server MS Exchange 2010, dále poskytuje sdílené adresáře a serverovou část účetního informačního systému. Server App1 hostuje aplikace pro podporu prodeje, CRM systém a systém pro sledování zakázek IT oddělení. Tyto služby běží na operačním systému Linux Debian 6x64. Server Db1 poskytuje databázové služby pro všechny informační systémy společnosti. Běží na operačním systému Windows Server 2008 R2x64 a poskytuje databázovou službu MySQL 5.5 pro ukládání dat z CRM, IT a Obchodních informačních systémů a dále službu MS SQL Server pro ukládání dat z účetního systému. Na síti jsou dále připojeny dvě síťová úložiště používaná pro zálohování počítačů a zákaznických dat. Služby lokální sítě používá celá řada dalších, především klientských, zařízení a to jak kabelovým připojením, tak po Wi-Fi. Na všech klientských desktop stanicích a noteboocích je nainstalován operační systém Windows 7x64 Professional CZ. Veškeré klientské desktop stanice jsou stejného typu stejně jako notebooky, interně užívané tablety a chytré telefony. Zaměstnanci z poboček se připojují svými klientskými stanicemi do firmy pomocí šifrované VPN a použitím certifikátů vydaných doménovým serverem. Současná firemní politika je ve vztahu k informační bezpečnosti značně promiskuitní. Neexistují definované role či procesy pro vytváření nebo mazání uživatelských účtů jednotlivých informačních systémů nebo domény MS Windows. Pokud je nějaká podobná akce nutná, provede ji jakýkoli zaměstnanec IT oddělení, neboť všichni znají správcovské účty. Stejně tak není stanoven model zástupnosti jednotlivých rolí a ani pravidla pro jejich přiřazování a omezení dle role.

3.6.5 Rozhodnutí o zavedení ISMS Firma měla v loňském roce velice slušné výsledky a tak bylo na výjezdním zasedání managementu rozhodnuto, že bude provedena vyšší investice do vybavení a zabezpečení firmy. V dalších jednáních na toto téma došel management k závěru, že před jakoukoli investicí bude provedena zevrubná analýza rizik, aby byly přesněji determinovány možné 72

zranitelnosti a hrozby používaných zdrojů a na jejím základě provedeny investice do protiopatření. V konečném jednání bylo managementem usneseno, že ve firmě bude zaveden systém řízení bezpečnosti informací, kam budou proudit finanční prostředky na předpokládanou investici. Na tomto konečném jednání byl dále stanoven rozsah ISMS ve firmě (Příloha 2.1), cíle bezpečnostní politiky (Příloha 2.2) a byl podepsán dokument Souhlas managementu se zavedením ISMS (Příloha 2.3), který určil do role bezpečnostního ředitele pana Vilibalda Krátkonosého. Bezpečnostní ředitel následně definoval obsazení klíčových rolí v rámci ISMS, do role bezpečnostního administrátora byl určen administrátor firemní sítě Petr Kandidát a do role bezpečnostního auditora manažer IT oddělení pan František Novák, na které delegoval výkonné činnosti, a určil vlastníky procesů společnosti, čímž delegoval konkrétní zodpovědnosti za tyto procesy konkrétním zaměstnancům. Jako zodpovědní za firemní procesy byli stanoveni manažeři jednotlivých oddělení. 3.6.6 Identifikace aktiv V průběhu fáze identifikace informačních aktiv společnosti byla provedena kompletní analýza firemních procesů postupem dekompozice na jednotlivé aktivity. Vzhledem k rozsahu práce se zaměříme na dekompozici jednoho sub procesu komplexního procesu IT. Komplexní IT proces, který byl definován v předchozí kapitole lze rozložit na více specifických sub procesů řízených IT manažerem. Čtyři hlavní procesy komplexního procesu IT jsou: •

Mail-hosting

•

Web-hosting

•

Zákaznický support

•

Interní support

Tyto procesy v podstatě pokrývají výkonnou činnost IT oddělení. Další dekompozicí procesu Zákaznický support se dostáváme k procesům pokrývajícím průběh zakázky od přijetí poptávky od obchodního oddělení, přes její realizaci až po sběr fakturačních podkladů od zaměstnanců zapojených do realizace zakázky.

73

Obrázek 18: Dekompozice IT procesu

Zdroj: Vlastní zpracování Tento a následující diagramy týkající se procesů budou popsány BPMN notací verze 2.0. Předpokládáme čtenářovu znalost této notace, bohužel není v autorových silách definovat v rámci práce i toto.

74

Tabulka 12: Popis sub-procesů IT procesu ID procesu

Název

Poznámka

BP01

V rámci tohoto procesu probíhají úvodní schůzky se zákazníkem společně se zástupci obchodu. Zjišťují se Zalozeni zakaznika a sjednani informace pro identifikaci jeho potřeb, zdrojů, kontaktů a servisni smlouvy infrastruktury. Poté je sepsána smlouva o podpoře a zákazník je založen do systému IT oddělení.

BP02

Zpracovani zakazky

Jedná se o hlavní proces IT oddělení vedoucí k uspokojení zákazníkových požadavků. Tento proces je detailněji popsán v následující kapitole.

BP03

Zpracovani podkladu k fakturaci

V rámci tohoto procesu dochází ke sběru jednotlivých fakturačních podkladů manažerem od jednotlivých zaměstnanců. Ze sebraných podkladů potom vytvoří souhrnný podklad pro každého zákazníka za jeden měsíc. Souhrnné fakturační podklady jsou pak předány účetnímu oddělení k dalšímu zpracování.

BP04

Rizeni zpracovani zakazek

V rámci tohoto procesu IT manažer kontroluje stavy zakázek a případně přerozděluje zdroje k řešení zakázek.


V příloze (Příloha 3) je provedena hlubší dekompozice procesu BP02, která identifikuje informační aktiva používaná procesem na úrovni jednotlivých aktivit. Dále byla provedena inventura ICT zařízení a technologií (Příloha 4) v rámci stanoveného ISMS rozsahu.

Aktiva zjištěná analýzou a inventurou jsou ze své podstaty na různé úrovni abstrakce, nicméně lze mezi nimi najít a definovat vztahy závislosti, které musí být zohledněny v modelu použitého nástroje pro jednodušší analýzu rizik.

Například proces účetnictví závisí na účetním informačním systému, účetních dokumentech v archivu, dále na mailové, telefonní a faxové komunikaci se zákazníky, finančními úřady a dalšími. V neposlední řadě závisí na připojení k internetu, pomocí něhož si webovým prohlížečem vyhledává informace. Mailová, telefonní a faxová komunikace je ovšem také závislá na připojení k internetu a dále na vnitřní kabeláži, síťových přepínačích, směrovačích a další infrastruktuře. Účetní informační systém je závislý na kabeláži vnitřní sítě, aktivních prvcích vnitřní sítě a serverů na nich běží aplikace, dále na databázi a přístupových právech.

75

Konkrétní strom závislostí není obsahem této práce, nicméně závislosti mezi aktivy jsou zmapovány v nástroji na přiloženém CD a jsou patrné z reportů provedených nástrojem, které jsou obsahem přílohy (Příloha 8, Příloha 10).

3.6.7 Postup při použití nástroje Pokud máme definována firemní aktiva a vztahy mezi nimi, můžeme přikročit k tvoření ISMS modelu společnosti ve Verinice. Spustíme Verinice a vybereme ISM perspektivu. Nyní je nutné ve Verinice založit kořenový objekt organizace, pak můžeme vyplnit její atributy a stanovit maximální tolerovatelné hodnoty pro bezpečnostní atributy důvěrnosti, integrity a dostupnosti. Při vytvoření organizace se v ní vytvoří standardní sada skupin objektů. Nalezená informační aktiva z předchozí části vytvoříme jako objekty ve skupině Assets. Pro snadnější orientaci a logické oddělení můžeme vytvořit struktury vkládáním dalších Asset Group. Jak již bylo řečeno dříve, každému informačnímu aktivu je možné definovat hodnoty bezpečnostních atributů, nicméně SerNet doporučuje používat dědičnost nástroje a hodnoty informačních atributů definovat až v procesech, což je plně v souladu s [6, str. 6], kde autor doporučuje koncentrovat se na odhad hrozeb a zranitelností a neodhadovat hodnoty jednotlivých aktiv – vyhneme se tím vnesení velkého množství zranitelností, které může způsobit špatné ohodnocení zdrojů. Infrastrukturní aktiva totiž většinou nejsou vnímána jako důležitá, nicméně by měla být chráněna stejně jako ostatní důležitá aktiva firmy, která jsou na tomto infrastrukturním aktivu ať už přímo či nepřímo závislá. Každému informačnímu aktivu můžeme také definovat různé vazby, takže v této fázi provážeme odpovídající způsobem závislá aktiva a to tak, že po zvolení závislého aktiva v okně Relations vybereme Asset a po stisknutí Add... se objeví výběr aktiv, kde můžeme vybrat aktivum, na němž bude původní záviset.

Jako další krok je nezbytné nadefinovat firemní procesy a spojit je do vztahu závislosti na informačních aktivech. Pro každý jeden proces poté nastavíme hodnoty bezpečnostních atributů dle metrik definovaných nástrojem. Pro další postup je nutné přenést organizační strukturu stejným způsobem jako v předchozích případech, to znamená, ve skupině Persons vytvořit odpovídající objekty lidí zainteresovaných na projektu, přidělit jim role, které byly definovány v zakládacích dokumentech a odpovědným rolím nastavit 76

odpovídající vztahy k procesům a informačním aktivům společnosti. Tyto vztahy používají techniku RACI, která definuje čtyři stupně zodpovědnosti: •

Responsible – osoba zodpovědná za provedení.

•

Accountable – osoba zodpovědná za objekt globálně.

•

Consulted – osoba, která by měla být konzultována při změně.

•

Informed – osoba spravovaná o stavu.

V dalším kroku je nutné stanovit možné zranitelnosti informačních aktiv a relevantní hrozby, které se k nim váží. Tyto hrozby a zranitelnosti importujeme z Verinice katalogu hrozeb a zranitelností který je přiložen na CD. Jednoduchým přetažením odpovídajících objektů importovaných v okně Catalogs do okna Perspective Browseru, získáme odpovídající objekt v ISM modelu nástroje. Vzhledem k tomu, že rozsah ISMS je definován na centrálu společnosti a především dostupnost jejích informačních aktiv, budeme volit zranitelnosti a hrozby odpovídajícího charakteru. Jejich kombinací, která je v rámci Verinice Perspective browseru řešena pouhým přetažením jednoho typu objektu na druhý, zvolíme odpovídající rizikové scénáře a přiřadíme je konkrétním aktivům. Definujeme, kterých bezpečnostních atributů se scénář týká a můžeme změnit i frekvenci hrozby případně dopad zranitelnosti. Jako důležité se v této oblasti, se zřetelem na definovaný rozsah, jeví zranitelnosti a hrozby týkající se ztráty základních služeb, případně špatné údržby anebo živelných pohrom. Ztráta dostupnosti je také dále možná například díky různým typům krádeže a dalším nevítaným aktivitám. Výstupy výšeuvedených postupů jsou prezentovány formou Verinice reportů v příloze. Report Asset Inventory obsahuje Příloha 5, reporty Persons, Processes, Threats a Vulnerabilities obsahuje Příloha 6 přesně v tomto pořadí. Příloha 7 obsahuje vyexportované rizikové scénáře – Scenarios.

Pokud máme definované procesy, aktiva, organizační strukturu a rizikové scénáře můžeme přistoupit k výpočtu Risk Assessment – stanovení, nebo určení rizik. Tento krok je proveden v nástroji pomocí tlačítka Run Risk Assessment, následovaný spuštěním Risk Assessment Report. Výstupem je report, jehož struktura byla již popsána v kapitole 3.5.11 v předchozím textu. Z ISM Risk Assessment report, který je též součástí příloh (Příloha 8), je již velice jednoduché určit aktiva s vysokým stupněm rizika, neboť Verinice má přímo 77

část svého reportu vymezenu této problematice. Dalším krokem bude nalezení odpovídajících protiopatření, pro snížení rizika nejohroženějších aktiv. V tom nám opět mohou pomoci Verinice katalogy na vloženém CD nebo si můžeme definovat vlastní. Například ohrožení informačního systému běžící na serveru, lze při krátkodobém výpadku napájení ochránit protiopatřením ve formě záložního UPS zdroje, případně zcizení dokumentů nebo zařízení lze zabránit mřížemi v oknech a montáží zabezpečovacího zařízení. U každého protiopatření bychom měli definovat jeho vliv na bezpečnostní atributy informačního aktiva nebo scénáře, popsat jeho cíl a vysvětlit, jak se používá, případně přilinkovat dokument. Vzhledem k rozsahu práce toto není předmětem přiloženého projektu. Report protiopatření jako Statement of Applicability je součástí přílohy (Příloha 9).

Pokud nyní propojíme protiopatření s odpovídajícími scénáři případně aktivy, které mohou ochraňovat ve smyslu snížení hodnot jejich rizik, můžeme spustit Risk Treatment Report. Šablona pro tento report není ve standardní Verinice distribuci současné verze, nicméně lze stáhnout ze stránek vývojářů a nachází se na vloženém CD. Risk Treatment Report nám poskytuje konečný pohled na firemní model zvládání rizik. Struktura tohoto reportu byla popsána v kapitole 3.5.11 a konkrétní výstup z projektu je obsahem přílohy (Příloha 10).

Jak vyplývá z reportu, stále je nejvíce ohroženým aktivem internetové připojení – plánované protiopatření – pořízení další linky od jiného poskytovatele jinou technologií se neprojevilo snížením rizik z důvodu stadia protiopatření plánované implementace. 3.6.8 Systém sledování a vyhodnocování V předchozí kapitole jsme definovali aktiva, odpovědnosti, dále určili možné rizikové scénáře a definovali protiopatření, což je náplní první a druhé fáze PDCA cyklu. Nyní nastíníme, jak by probíhala fáze třetí a čtvrtá. Abychom měli dostatek relevantních dat pro vyhodnocování, bude nutné monitorovat efektivitu protiopatření a vést záznamy o bezpečnostních incidentech. K tomuto konání nám Verinice opět poskytuje mocné nástroje. Jak již víme z představení produktu, Verinice je částečně též dokument management systém, neboli systém pro správu dokumentů, což je výhodné pro vedení záznamů o bezpečnostních incidentech. V rámci provozu a monitorování ISMS bude každý incident ohrožující bezpečnost informačního aktiva společnosti zaznamenán jako jeden 78

objekt incidentu. Každý bezpečnostní incident může mít další vztahy k scénářům, osobám, odezvám a případně protiopatřením, jak je uvedeno v tabulce Příloha 1. Je třeba zaznamenat všechny důležité údaje dané atributy objektu incidentu, spolu se všemi relevantními vztahy do Verinice. Tato hloubková dokumentace bude nápomocná při analýze incidentů a zjišťování nových zranitelností a hrozeb, či definování účinnějších protiopatření. Vyhodnocování incidentů bude probíhat na základě dotčeného aktiva, použitých protiopatření a dopadu incidentu. Tyto údaje a metriky Verinice pro frekvenci hrozby a míry zranitelnosti poskytují dobrá vodítka pro vyhodnocování. Pro příklad uveďme následující – máme-li incident týkající se dlouhodobého výpadku napájení alespoň dvakrát do roka, budeme muset přehodnotit původní odhad při definování rizikového scénáře ze Seldom na Monthly případně Annually, pokud to firemní politika dovolí. Anebo pokud například i přes aplikovaná protiopatření dojde k bezpečnostnímu incidentu na nějakém aktivu, bude muset být odpovídajícím způsobem snížena účinnost protiopatření nebo zvýšeno riziko daného scénáře, a to v závislosti na formě incidentu.

Další možností monitorování a hodnocení ISMS je auditovaní. Verinice má v sobě implementované objekty auditu, který lze provádět nad organizací. Při vytvoření objektu auditu jsou automaticky vytvořeny skupiny Actions, Findings, Controls, Assets a Persons ke kterým se přidají odpovídající auditované objekty. Objekt auditu vlastní atributy definující objekt jako takový a dál je možno jej svázat vazbami k organizaci, osobám nebo dalším objektům nástroje.

3.6.9 Další doporučení Pro zvýšení zabezpečení aktiv by bylo v rámci fiktivní firmy vhodné definovat postupy a odpovědnosti například pro přidávání uživatelů do domény. Jako další výhodný krok se jeví rozdělení aktiv informačních systémů na dvě části – samotnou aplikaci a databázi uživatelských účtů. Toto nám umožní přidělit databáze účtů ke správě majitelům procesu a aplikaci jako takovou ke správě administrátorovi. Tímto odstíníme administrátora od definování práv a zadávání uživatelů konkrétního systému a zabráníme mu tak dosažení pozice absolutního vládce.

79

4 Závěr Problematika řízení bezpečnosti informací stojí v současné době všeobecně v popředí zájmu firem i jednotlivců. Zvláště na firemní úrovni pak vyžaduje specifickou pozornost, která je však vázána na nemalé ale většinou se jedná o velice jednoduché nástroje typu Excel tabulky, výjimečně s grafickým výstupem, které poskytují omezené funkcionality a rozhodně nezastřešují komplexní problematiku ISMS. V druhém případě jde o okleštěné verze komerčních aplikací, které mají proti svým "dospělým" verzím různá omezení ve smyslu podpory, funkcionality, architektury nebo dokumentace. Poslední zmíněny problém se ukázal jako klíčový, neboť jediné dva komplexnější nástroje pro řízení bezpečnosti informací dle ISMS, které se podařilo najít a zprovoznit pro testování, byly vyvinuty firmami ze Švýcarska a z Německa. Tyto firmy pochopitelně svůj volně dostupný produkt dokumentují a prezentují především ve svých mateřských jazycích, francouzštině a němčině. Proto bylo pro autora určitou výzvou proniknout do jejich struktury a obsahu, i když testování produktů probíhalo i empirickými metodami pokus-omyl a náročným překladem německé a francouzské dokumentace spolu s příspěvky na diskusních fórech.

Anglicky mluvící země mají své vlastní národní standardy, dlouhodobě používané a jíž dávno zavedené. Ve Spojených státech bezpečnostní standardy a řízení rizik spadá pod NIST a o britském BSI se autor zmiňuje ve druhé kapitole práce, a to v souvislosti se vznikem rodiny norem ISO / IEC 27000. Navíc se zdá, že v okolních zemích, tedy především v Německu, není řízení bezpečnosti podle ISMS běžná věc, více používaný je opět standard BSI.

Za hlavní cíl práce lze proto považovat snahu je najít vhodný, volně dostupný nástroj pro řízení bezpečnosti informací dle ISMS, který by bylo možné aplikovat na naše podmínky. K dosažení daného cíle byla práce členěna tak, aby první dvě kapitoly nabídly ucelený přehled teoretických i praktických možností, které v současnosti existují, a současně byl popsán kompletní proces zavádění, monitorování a udržování systému. Výběr vhodného produktu nebylo možno provést metodou komparace z důvodu diametrální odlišnosti jednotlivých nástrojů. Nicméně na základě provedeného hodnocení volně dostupných 80

nástrojů pro řízení bezpečnosti informací dle ISMS byl vybrán dle autora ten nejvhodnější. Firemní prostředí fiktivní firmy bylo převedeno do modelu Verinice. Na IT oddělení byl proveden rozbor procesů dle zadání a při procesní analýze byla identifikována jednotlivá aktiva. Byla provedena analýza rizik a definována protiopatření, nicméně povětšinou globálně. Pro komplexní postihnutí problematiky na jediném procesu neměl autor dostatečně široké znalosti z oblasti bezpečnosti.

A tady také se objevil jediný problém, které spočívá v nemožnosti využití daného nástroje současné několika uživateli, což znamená, že je to nástroj jednoznačně vhodný především pro malé firmy a podnikatelské subjekty.

Lze se domnívat, že toto téma může zaujmout i jiné IT specialisty a může tak dojít k dalšímu rozpracování tohoto velice zajímavého tématu.

81

5 Conclusion Nowadays the information security management problem seems to be one of the hot topics for both companies and individuals. Special attention is required especially on the level of businesses; nevertheless, it needs to invest into human sources as well as technologies that are for many – mainly small-scale businesses – almost impossible. Thus the topic of this thesis “Open source tools for information security management in accordance with ISMS” can be considered interesting and attractive from the perspective of industry. This problem represents a challenge for the author of the study though information security guaranteed by open source tool might seem to be contradictory or almost impossible to be solved.

The information security management open source tools in accord with ISMS exist, nevertheless, these are mostly really simple Excel tables only occasionally completed with graphical output that, moreover, suffers from limited functionally but, in no case, can be perceived as complete ISMS problematic solution. The other problem is that these represent somehow limited modifications of commercially available ones that have reduced support, functionality, architecture or documentation. The last mentioned aspect seemed to be the crucial for the author since the only two more complete information security management sources under the ISMS that could be found and activated for testing were developed in Switzerland and Germany. ¨ The above mentioned countries logically present their products in mother tongues either French or German. Thanks to that it was real challenge for the author to penetrate into their structure and testing was, in principle, based on empiric method of attempt-andfailure followed by demanding translation from German and French documentation as well as on-line discussion panel.

English speaking countries have got their own national standards that are being used for long time. In the USA the security standards and risk management are under the NIST and the British BSI is mentioned in the second chapter of this thesis when talking about the genesis of ISO / IEC 27000 standards. Moreover, the security management under the ISMS does not seem to be a common rule in Germany or other neighboring countries and BSI standard is more frequently used. 82

The main objective of this thesis is to find out an open source for information security management under the ISMS that would be by applicable to our conditions. In order to meet such a target the project is logically structured into theoretical and analytical parts. The first deals with complete overview of possibilities existing nowadays and contains the description of compete processes of introduction, monitoring and maintenance of the system. The choice of suitable product cannot be made based either on comparison or SWOT analysis because each of them has got really specific features. Nevertheless, the author is sure that based on the evaluation of parameters of open source tools the most convenient for the purpose of the thesis was chosen. A fiction of the business environment of the small company was designed and Verinice ISM model was applied. An IT department managed to conduct an analysis of the processes and based on its particular assets were identified. The analysis of the risk was made and countermeasures were defined. Nevertheless, the variety of company activities and processes is too big to be completely solved in only one project like that one.

And here the only, but very important problem seems to be hidden – the tested tool is not able to be used by several users in the same time, which means this tool of convenient especially for small businesses or entrepreneurs.

No doubt this topic is really very attractive and, in the future, it is worth investigating by other IT specialists that might be interested in this area of business.

83

6 Seznam použitých zdrojů 1. PELTIER, R., PELTIER, J., BLACKLEY, J.: Information Security Fundamentals. 1. ed. Boca Raton, FL USA: CRC Press, 2005. 262s. ISBN 0-8493-1957-9 2. KŮRTA, L.: Certifikace systému managementu bezpečnosti informací podle ČSN ISO/IEC 27001 [online]. Actum, s.r.o. [cit. 2013-05-02]. Dostupné z

URL:

3. ISO 27000 Directory 2008: A Short History of the ISO 27000 Standards [online]. 27000.org

Denbigshire,

UK

[cit.

2013-05-19].

Dostupné

z URL:

4. IsecT Ltd.: ISO/IEC 27001:2005 Information technology — Security techniques — Information security management systems — Requirements [online]. IsecT Ltd. Hastings, New Zealand [cit. 2013-06-05]. Dostupné z URL: < http://www.iso27001security.com/html/27001.html> 5. WALLENFELS, P.: Náhled normy ISO / IEC 27001 [online]. ČNI, Praha [cit. 201306-05]. Dostupné z URL: 6. VACCA, J. R..: Computer and Information Security Handbook. 3. ed. Burlington, MA, USA: Morgan Kaufmann, 2009. 887 s. ISBN 978-0-12-374354-1 7. Indian Express Group: Identifying and classifying assets [online]. Indian Express Group, Mumbai, India [cit. 2013-06-17]. Dostupné z URL: 8. GiTy, a.s.: ISMS - Seriál o řízení bezpečnosti [online]. GiTy, a.s, Brno [cit. 2013-0617]. Dostupné z URL: 9. PRG Ltd.: ISO 27001 and ISO 27002 Plain English Definitions [online]. PRG Ltd. Edmonton, Alberta, Canada [cit. 2013-06-17]. Dostupné z URL: 10. Consulare.ch: ESIS, opensource Executive Security Information System [online]. Consulare.ch, Switzerland [cit. 2013-06-21]. Dostupné z URL: 11. Consulare.ch: ESIS, Compliance with standards [online]. Consulare.ch, Switzerland 84

[cit. 2013-06-21]. Dostupné z URL: 12. STONEBURNER, G., GOGUEN, A., FERINGA, A.: Risk Management Guide for Information Technology Systems, NIST 800-30. NIST, USA 13. Clusif Association: MEHARI Risk Assessment Tool [online]. Clusif, Paris, France [cit. 2013-06-17]. Dostupné z URL: 14. SerNet Gmbh.: Verinice homepage [online]. Germany [cit. 2013-07-5]. Dostupné z URL: 15. Consulare.ch: ESIS 1.1 [online]. Consulare.ch, Switzerland [cit. 2013-06-21]. Dostupné z URL: 16. RAC: ISMS v malých a středních firmách [online]. Praha 2003 [cit. 2013-05-04]. Dostupné z URL: 17. SerNet Gmbh.: Verinice forum [online]. Germany [cit. 2013-07-5]. Dostupné z URL:

85

7 Slovník Termín

Popis

ISMS

Systém řízení bezpečnosti informací

Risk Assessment

Stanovení rizik

Risk Analysis

Analýza rizik

Risk Management

Řízení rizik

NIST

Standardizační úřad bezpečnosti Spojených států

BSI

Britský bezpečnostní standardizační úřad

Asset

Informační aktivum

86

8 Seznam obrázků Obrázek 1: PDCA ................................................................................................................ 20 Obrázek 2: Rozvržení uživatelského rozhraní ..................................................................... 44 Obrázek 3: Okno katalogů ................................................................................................... 46 Obrázek 4: Okno Perspective Browseru .............................................................................. 47 Obrázek 5: Okno Relations .................................................................................................. 48 Obrázek 6: Okno Editoru ..................................................................................................... 49 Obrázek 7: Okno Files ......................................................................................................... 50 Obrázek 8: Objektový model ISMS ve Verinice ................................................................. 60 Obrázek 9: Rozmístění poboček Blue Pecari, s.r.o.............................................................. 62 Obrázek 10: Organizační struktura společnosti ................................................................... 63 Obrázek 11: Proces Strategické řízení ................................................................................. 65 Obrázek 12: Proces Obchod ................................................................................................ 66 Obrázek 13: Proces IT ......................................................................................................... 67 Obrázek 14: Proces Účetnictví ............................................................................................ 68 Obrázek 15: Proces Marketing ............................................................................................ 69 Obrázek 16: Proces HR........................................................................................................ 70 Obrázek 17: Struktura sítě ................................................................................................... 71 Obrázek 18: Dekompozice IT procesu ................................................................................ 74

87

9 Seznam tabulek Tabulka 1: Vývoj rodiny norem ISO / IEC 27000............................................................... 14 Tabulka 2: Fáze ISMS ......................................................................................................... 21 Tabulka 3: Určení frekvence hrozby ................................................................................... 39 Tabulka 4: Stanovení úrovně rizika informačního aktiva .................................................... 39 Tabulka 5: Stanovení úrovně rizika informačního aktiva .................................................... 64 Tabulka 6: Strategické řízení ............................................................................................... 65 Tabulka 7: Obchod............................................................................................................... 66 Tabulka 8: Proces IT ............................................................................................................ 67 Tabulka 9: Proces Účetnictví ............................................................................................... 68 Tabulka 10: Marketing......................................................................................................... 69 Tabulka 11: Proces HR ........................................................................................................ 70 Tabulka 12: Popis sub-procesů IT procesu .......................................................................... 75

88

10 Seznam příloh 1. Příloha 1 – Matice vztahů ISM modelu 2. Příloha 2 – Příklady základních ISMS dokumentů 1.

Rozsah ISMS

2.

Cíle bezpečnostní politiky ISMS

3.

Souhlas managementu se zavedením ISMS

3. Příloha 3 – Dekompozice procesu BP02 4. Příloha 4 – Inventura ICT zařízení 5. Příloha 5 – Verinice Asset Inventory Report 6. Příloha 6 – Další Verinice Inventory reporty 1.

Process report

2.

Persons report

3.

Threats report

4.

Vulnerabilities report

7. Příloha 7 – Verinice Scenarios report 8. Příloha 8 – Verinice ISM Risk Assessment report 9. Příloha 9 – Verinice ISM Statement of Applicability 10. Příloha 10 – Verinice Risk Treatment report

89

10.1 Příloha 1 – Matice vztahů ISM modelu Tato příloha obsahuje tabulku, v níž jsou znázorněny možné vztahy mezi objekty ISM modelu ve Verinice. Tabulka funguje obousměrně, to znamená, že v ní jsou i inverzní vztahy mezi objekty – záleží, zda čteme nejdříve sloupec, či řádek.

Zdroj: Vlastní výzkum a zpracování

90

Typ objektu

Asset

Control

Document

Person

Asset

Control

Depends on Necessary for

Impact modified by

Modifies impact of

Details Detailed by

Documents

Documents

Responsible for Consulted for Informed for Is owner of Accountable for

Monitors Implements Interviewed about Maintains Is responsible for Audits

Document

Person

Scenario

Process

Requirement

Related doc

Responsible Owner Accountable Consulted Informed

Affected by

Necessary for

Requires

Related doc

Maintained by Implemented by Assignee Interviewed Audited by Monitored by

Modifies likelihood of

Author Distributed to Owner Approval Actually read by Approved Is author of Receives Is owner of Actually reads

Threat

Related doc

Reported by

Vulnerability Scenario

Related doc Related doc

Reported by Modeled by

Related doc

Responsible Accountable Consulted Informed

Related doc

Responsible

Related doc

Decided by

Exception from

Exception from

Approved by Requested by

Audited

Related doc

Lead auditor Auditor MGMT Repre Auditee Guide

Failure in Suggested control

Related doc

Assigned to Reported by

Related doc

Conducted by Interviewed

Process

Requirement

Affects

Likelihood mdfd by

Depends on

Applies to

Fulfilled by

Response Exception

Audit

Audited

Finding Action

Evidence

Organization

Vulnerability

Response

Exception

Audit

Finding

Action

Affected

In future prevented by

Related doc

Reported by

Related doc

Reported by

Related doc

CISO CEO CSO

Record

Evidence

Audited In

Fulfills

Suggested by Reprimanded by

Approved

Incident

Organization

Was Affected by

Reaction to

Documents

Documents

Documents

Documents

Documents

Documents

Documents

Documents

Documents

Documents

Reported

Reported

Modeled

Consulted about Responsible for Informed about Accountable for

Responsible for

Decided on

Approved Requested

Guide in Lead auditor in Mgmt Repre in Auditor in Auditee in

Assigned to Reported

Interviewed in Conducted

Maintains

Documents

Documents

Documents

Reported

Reported

CTO of CEO of CISO of

Leads to Leads to Relevant threat

Relevant vuln.

Happened as Inferior to Superior to Approved Correction for

Response to

Exception from

Audited

Corrective action

Noted in

Audited

Determines in Revealed

Audited In Predicted as

Responded by Inside scope

Proves

Proved by Documented

Maintained by

Record

Incident

Threat

Relevant in

Part of

10.2 Příloha 2 - Příklady základních ISMS dokumentů Tato příloha obsahuje ukázku tří základních dokumentů ISMS, tak jak jsou zavedeny v použitém nástroji. Jedná se o tyto dokumenty: 1. Rozsah ISMS 2. Cíle firemní bezpečnostní politiky 3. Souhlas managementu


91

Blue Pecari, s.r.o. Dokument pro interní použití

Definice rozsahu ISMS Společnost se zavazuje chránit informace své i svých zákazníků. Z tohoto důvodu se rozhodla implementovat systém řízení bezpečnosti informací vycházející z ISO/IEC 27001:2005 a dále dodržovat další legislativní omezení definované v zákoně o účetnictví 563/1991 Sb. Společnost definuje rozsah ISMS na následující oblasti: •

interní ICT systémy a sítě,

•

firemní procesy,

•

hostované služby pro zákazníky,

•

účetní dokumenty.

V první fázi se provede odhad rizik pouze na firemní infrastrukturu, nikoli na bezpečnost klientských stanic. Rozsah pokrývá pouze hlavní kanceláře firmy v Praze, především archiv dokumentů a serverovou místnost. Bude proveden pouze zevrubný odhad rizik se zaměřením na dostupnost.

Blue Pecari, s.r.o. Dokument pro intrerní použití

Bezpečnostní politika Ochrana bezpečnosti informací je klíčová pro konkurenceschopnost a úspěch v naší sféře podnikání. Z tohoto důvodu dochází k zavádění systému řízení bezpečnosti informací ve společnosti. Tento systém má za úkol identifikovat důležité informace a nastavit procesy pro bezpečnou práci s nimi. Dále bude v průběhu životního cyklu systému docházet ke kontrolám a analýzám výstupů a případnému odpovídajícímu vylepšování systému jako reakci na tyto analýzy.

Cíle bezpečnostní politiky Bezpečnostní politika organizace si klade za cíl: •

zpřístupňovat informace jen ověřeným a autorizovaným subjektům,

•

udržovat důvěrnost, integritu a dostupnost informací,

•

stanovit a testovat postupy pro krizové scénáře,

•

udržovat informace a vzdělávat zaměstnance o ISMS,

•

vyžadovat dodržování procesů definovaných ISMS,

•

ukládat informace o bezpečnostních incidentech,

•

analyzování bezpečnostních incidentů a odpovídajících reakcí na ně,

•

kontinuální zlepšování a revize politik a dalších dokumentů.

Hlavním cílem bezpečnostní politiky je především dostupnost informačních aktiv, vzhledem k velikosti organizace a její rodinné povaze a doposud evidovaných bezpečnostních incidentů se tento informační atribut jevil jako nejvíce ohrožený. Tato politika byla schválena Top-managementem společnosti Blue Pecari, dne ….................... .

Za management : …................................................................. (podpis oprávněné osoby)

Blue Pecari, s.r.o. Dokument pro intrerní použití

Souhlas managementu se zavedením ISMS Top-management společnosti Blue Pecari závazně prohlašuje, že vyslovuje podporu zavedení systému pro řízení bezpečnosti informací v této společnosti (dále projekt). Zavazuje se, že bude poskytovat nutná aktiva společnosti pro úspěšnou realizaci projektu a podporovat jej po celou dobu životního cyklu. Management dále prohlašuje, že byl seznámen s možnými dopady projektu na společnost, její organizaci a strukturu stejně jako na všechny procesy ve společnosti a plně se ztotožňuje z jeho cíli uvedenými v bezpečnostní politice organizace. Top-management tímto dokumentem dále ustanovuje roli bezpečnostního správce organizace a jmenuje generálního ředitele společnosti na tuto pozici.

Tento dokument byl schválena Top-managementem společnosti Blue Pecari, dne ….................... .

Za management : …................................................................. (podpis oprávněné osoby)

10.3 Příloha 3 – Dekompozice procesu BP02 Tato příloha obsahuje diagram a popis jednotlivých aktivit, pod-procesů a objektů business procesu BP02, dále obsahuje u každé aktivity popis použitých aktiv. Diagram je v notaci UML BPMN 2.0.


92

Následující tabulky obsahují popis dílčích akcí a pod-procesů daného procesu. Název

A01 Vytvoreni poptavky

Cíl

Vytvořit poptávku či popsat problém

Vstupy

Informace o zákazníkovi

Výstupy

Poptávka služby či řešení

Koncový uživatel

Obchodník

Používaná aktiva

Telefon, mail, Internet, Obchodní informační systém, smlouvy se zákazníky.

Název

A02 Vytvoreni nabidky

Cíl

Vytvoření nabídky pro zákazníka v rámci firmy

Vstupy

Informace o zakázce

Výstupy

Zpracovaný návrh nabídky IT manažerem

Koncový uživatel

IT manažer

Používaná aktiva

Mail, telefon, Internet, vlastní PC nebo notebook, IT informační systém

Název

A03 Vytvoreni poptavky na externi zdroje

Cíl

Vytvoření poptávky po službách, kterými sami nedisponujeme, pro zdárné vyřešení problému.

Vstupy

Error event - nedostatek zdrojů, informace o zakázce

Výstupy

Poptávka externích zdrojů

Koncový uživatel

IT manažer

Používaná aktiva


Název

A04 Revize nabidky ext. firmy

Cíl

Posoudit nabídku externí firmy.

Vstupy

Nabídka externí firmy, informace o zakázce

Výstupy

Zpracovaný návrh nabídky IT manažerem

Koncový uživatel

IT manažer

Používaná aktiva


Název

A05 Odeslani nabidky

Cíl

Odeslat obchodníkovi nabídku na poptávané služby k ocenění

Vstupy

Návrh nabídky, informace o zakázce

Výstupy

Aktuální nabídka odeslaná obchodníkovi či přímo zákazníkovi dle dohody.

Koncový uživatel

IT manažer

Používaná aktiva

Fax, mail, telefon, Internet, vlastní PC nebo notebook, IT Informační systém

Název

A06 Posouzeni nabidky

Cíl

Ohodnotit nutné náklady na realizaci zakázky

Vstupy

Nabídka, Obchodní IS

Výstupy

Odsouhlasená / zamítnutá nabídka

Koncový uživatel

Obchodník

Používaná aktiva

Mail, telefon, Internet, vlastní PC nebo notebook, Obchodní informační systém

Název

A07 Odmitnuti nabidky

Cíl

Zamezit realizaci zakázky za daných podmínek

Vstupy

Posouzená nabídka

Výstupy

Informace o nerealizaci zkázky

Koncový uživatel

Obchodník

Používaná aktiva


Název

A08 Zruseni zakazky

Cíl

Zrušení zakázky z důvodu zamítnutí

Vstupy

Informace o nerealizaci zakázky

Výstupy

Zrušená zakázka

Koncový uživatel

IT manažer

Používaná aktiva


Název

A09 Nabidka prijata

Cíl

Realizovat zakázku za daných podmínek, informovat dodavatele.

Vstupy

Posouzená nabídka

Výstupy

Informace o realizaci zakázky

Koncový uživatel

Obchodník

Používaná aktiva


Název

A10 Revize zakázky

Cíl

Přijmutí informace o odsouhlasení zakázky a kontrola.

Vstupy


Výstupy

Nejsou

Koncový uživatel

IT manažer

Používaná aktiva


Název

A11 Priradit resitele

Cíl

Předat zodpovědnost za řešení zakázky nejvíce kompetentnímu zaměstnanci

Vstupy

Požadavky zákazníka

Výstupy

Zakázka přiřazena zaměstnanci firmy v roli řešitele

Koncový uživatel

IT manažer

Používaná aktiva

Mail, telefon, Internet, vlastní PC nebo notebook, dostupné zdroje, IT informační systém

Název

A12 Souhlas s nabidkou ext. Firmy

Cíl

Oznámit ochotu realizovat projekt pomocí externích zdrojů

Vstupy


Výstupy

Potvrzení nabídky

Koncový uživatel

IT manažer

Používaná aktiva


Název

A13 Prijeti zam. Reseni

Cíl

Získat potřebné materiály a informace k řešení zakázky zaměstnancem.

Vstupy

Řešení zaměstnance

Výstupy

Řešení zakázky

Koncový uživatel

IT manažer

Používaná aktiva


Název

A14 Prijeti ext. Reseni

Cíl

Získat potřebné materiály a informace k řešení zakázky externí firmou.

Vstupy

Řešení ext. Firmy, Informace o zakázce

Výstupy

Řešení zakázky

Koncový uživatel

IT manažer

Používaná aktiva


Název

A15 Evidovani reseni

Cíl

Archivování řešení zakázky

Vstupy

Řešení zakázky

Výstupy

Evidované řešení

Koncový uživatel

IT manažer

Používaná aktiva


Název

A16 Kontrola spokojenosti zákazníka

Cíl

Získat informace o zákazníkově pohledu na stav / řešení zakázky

Vstupy

Evidované řešení

Výstupy

Feedback mail

Koncový uživatel

IT manažer

Používaná aktiva


Název

A17 Kontrola reseni

Cíl

Zkontrolovat zda požadované řešení plně odpovídá zadání či požadavkům zákazníka.

Vstupy

Řešení zakázky

Výstupy

Rozhodnutí o úplnosti řešení a spokojenosti s řešením.

Koncový uživatel

Obchodník

Používaná aktiva


Název

A18 Pozadavek na doreseni

Cíl

Informovat řešitele o neúplnosti řešení.

Vstupy

Nespokojenost zákazníka

Výstupy

Informace řešiteli

Koncový uživatel

Obchodník

Používaná aktiva


Název

A19 Schvaleni reseni zakazky

Cíl

Informovat řešitele o úplnosti řešení a spokojenosti zákazníka s ním.

Vstupy

Spokojenost zákazníka

Výstupy

Informace řešiteli

Koncový uživatel

IT Manažer

Používaná aktiva

Mail, telefon, Internet, vlastní PC nebo notebook

Název

A20 Uzavreni zakazky

Cíl

Uzavřít zakázku jako uskutečněnou a vyfakturovatelnou

Vstupy

Spokojenost zákazníka

Výstupy

Podklady pro fakturaci

Koncový uživatel

IT manažer

Používaná aktiva


Název

SBP01 Evaluace poptavky a zalozeni zakazky

Cíl

Ohodnocení náročnosti problému z hlediska složitosti požadavku a dostupnosti zdrojů. Založení zakázky.

Vstupy

Poptávka služby či řešení

Výstupy

Založená zakázka pro existujícího zákazníka

Koncový uživatel

IT manažer

Používaná aktiva

Mail, telefon, Internet, vlastní PC nebo notebook, IT informační systém, lidské zdroje firmy

Název

SBP02 Tvorba nabídky

Cíl

Vytvoření nabídky na externí zdroje

Vstupy


Výstupy

Nabídka externí firmy

Koncový uživatel

Externí společnost

Používaná aktiva


Název

SBP03 Reseni zakazky ext. Firmou

Cíl

Vyřešit zakázku pomocí externích zdrojů

Vstupy


Výstupy

Řešení externí firmy

Koncový uživatel

Externí společnost

Používaná aktiva

Nejsou použita firemní aktiva

Název

SBP04 Reseni zakazky zamestnancem

Cíl

Vyřešit zakázku s pomocí vlastních zdrojů

Vstupy


Výstupy

Řešení zaměstnance a podklady pro fakturaci

Koncový uživatel

Zaměstnanec

Používaná aktiva

Mail, telefon, Internet, vlastní PC ebo notebook, IT informační systém

Název

SBP05 Doreseni zakazky

Cíl

Uzavřít zakázku jako uskutečněnou a fakturovatelnou

Vstupy

Nespokojenost zákazníka, IT IS

Výstupy

Dořešení zakázky

Koncový uživatel

IT manažer

Používaná aktiva


V následující tabulce jsou popsány datové objekty z předchozího diagramu. Datový objekt

Popis významu

O01 Poptavka

Poptávka zákazníka po službách firmy, většinou ve formě mailu.

O02 Zakazka

Založená zakázka pro existujícího zákazníka do systému IT IS.

O03 Poptavka ext. zdroju

Poptávka externích zdrojů jako mail, fax či telefonní objednávka.

O04 Nabidka ext. firmy

Nabídka služeb externí firmy jako mail, dokument nebo telefonní hovor.

O05 Aktualni nabidka

Nabídka zasílaná zákazníkovi jako mail, případně jako fax.

O06 Reseni zamestnance

Řešení zakázky zaměstnancem jako fyzický výkon a jako záznam o něm IT IS.

O07 Podkaldy k zakazce

Informace k fakturaci a další informace k zakázce jako mail z obchodního, další informace v IT IS, kontaktní a a smluvní údaje.

O08 Reseni externi firmy

Řešení zakázky externí firmou ve formě výkonu a dokumentu o výkonu, případně finančních dokumentů. Zakládá se jako příloha zakázky do IT IS.

O09 Evidovane reseni

Schválené a založené řešení zakázky jako výstup k řešení v IT IS, svázáno s konkrétní zakázkou.

O10 Doreseni zakazky

Informace k dořešení zakázky jako výstup k řešení v IT IS.

O11 Podklady k doreseni

Další informace k dořešení zakázky, především finančního charakteru, je předáno účetnímu oddělení v rámci podkladů k fakturaci.

O12 Podklady k fakturaci

Informace k zakázce v IT IS týkající se zdrojů spotřebovaných na zakázku a času práce.

10.4 Příloha 4 – Inventura ICT zařízení Tato příloha obsahuje hrubou inventuru ICT infrastruktury v prostředí fiktivní firmy před převedením do nástroje.


93

Zařízení

Popis

Mikrotik RTR/FW

Server s router a firewall funkčnostmi, slouží jako hraniční zařízení filtrující provoz.

OS

MikroTik OS 5.6

HW

Intel Atom D2500

Poskytované služby DNS

Služba převodu IP adres na jména.

VPN

Virtuální privátní síť slouží pro připojení terénních pracovníků a pracovníků z poboček.

Firewall

Služba filtrování paketů na základě definovaných pravidel.

Router

Služba směrování IP datagramů.

Umístění

Serverovna Praha, RACK1

Zařízení

Popis

DMZ Switch

Malý síťový přepínač pro demilitarizovanou zónu.

OS

Proprietární

HW

Zyxel GS-108g

Poskytované služby Přepínání paketů

Slouží k rozesílání datagramů po síti.

Umístění


Zařízení

Popis

BluePecari.com

Server hostující mailboxy a webové stránky zákazníků a firmy

OS

Linux Debian 6.0 x64

HW

Dell PowerEdge C5000

Poskytované služby Apache 2.2

Webová služba hostující webové stránky zákazníků a firmy

Sendmail 6.0

Služba pro mail hosting zákaznických mailboxů a domén a pro přeposílání emailů Exchange serveru.

Umístění


Zařízení

Popis

LAN Switch Array

Stackované switche pro poskytnutí dostatečné kvantity síťových připojení.

OS

Proprietární

HW

4xZyxel GS-1610 xV

Poskytované služby Přepínání paketů

Slouží k rozesílání datagramů po síti.

Umístění


Zařízení

Popis

Access Point

Mikrotik routerboard s dvěma oddělenými wifi rozhraními

OS

MikroTik OS 5.6

HW

RB-880

Poskytované služby Internal Wifi

Služba bezdrátového připojení pro zaměstnance s mobilním zařízením ke zdrojům v LAN.

Customer Wifi

Služba bezdrátového pripojení k internetu pro zákazníky, nezpřístupňuje zdroje na LAN.

Počet

3

Umístění

Chodba u kancelárí, Účetní oddělení, Obchodní oddělení

Zařízení

Popis

Domain.local

Doménový server spravující uživatelské účty a přístupy k síti

OS

Windows Small Business Server 2011 x64

HW


Poskytované služby Active Directory

Správa uživatelských účtů a oprávnění přístupu ke zdrojům sítě.

Microsoft Exchange 2010

Rozšířené služby mailového serveru poskytující kromě mailových služeb správu a sdílení kontaktů, kalendářů, veřejných složek a další.

Účetní IS 1.0

Serverová část aplikace účetního informačního systému.

IIS 7.0

Webový server využívaný pro firemní intranet.

WSUS 3.0

Systém pro sledování a automatické aktualizace zařízení sítě.

Share

Poskytování sdíleného prostoru pro ukládání dat s omezením přístupu na základě definovaných oprávnění.

Umístění


Zařízení

Popis

App1

Aplikační server pro webové aplikace

OS

Linux Debian 6.0 x64

HW


Poskytované služby Obchodní IS 1.0

Systém pro podporu nákupu i prodeje.

Správa zakázek 1.3

Informační systém pro sledování zakázek IT oddělení.

CRM 2.0

Informační systém pro podporu prodeje a sledování komunikace se zákazníky.

Umístění


Zařízení

Popis

Bb1

Databázový server

OS

Windows Server 2008 R2 x64

HW


Poskytované služby MySQL 5.5

Databázová služba pro podporu aplikací běžících na serveru App1

MS SQL Server 2010

Databázová služba pro Účetní informační systém.

Umístění


Zařízení

Popis

NAS1

Síťové úložiště určené pro ukládání záloh serverů

OS

Proprietární

HW

Dell PowerVault 200S

Poskytované služby Share


Umístění


Zařízení

Popis

NAS2

Síťové úložiště určené pro ukládání záloh klientských stanic a dat zákazníků

OS

Proprietární

HW

Dell PowerVault NX3600

Poskytované služby Share


Umístění


Skupina zařízení

Popis

Network printer

Síťové tiskárny

OS

Proprietární

HW

Xerox 9220

Poskytované služby Tisk

Poskytování tiskových služeb v rámci domény.

Scan

Služba scanování dokumentů

Copy

Služba kopírování papírových dokumentů

Fax

Služba faxování dokumentů.

Počet

4

Umístění

Účetní oddělení, IT oddělení, Obchodní a Top management.

Skupina zařízení

Popis

Notebook

Klientské notebooky pro cestující zaměstnance a top management

OS

Windows 7 Professional x64

HW

Dell Inspiron 7720

SW

MS Office 2010 a další standardní applikace dle oddělení.

Počet

15

Skupina zařízení

Popis

Desktop

Klientské počítače pro všechny zaměstnance.

OS

Windows 7 Professional x64

HW

Dell Inspiron 7720

SW

MS Office 2010 a další standardní applikace dle oddělení.

Počet

25

Umístění

Stůl každého zaměstnance

Skupina zařízení

Popis

IP Phone

IP telefon pro hlasové služby, VoIP.

OS

Proprietární

HW

Well SIP-26t

Počet

25

Umístění

Stůl každého zaměstnance

Skupina zařízení

Popis

Smartphone

Chytrý telefon s OS Android.

OS

Android 2.6

HW

HTC Desire X

Počet

15

Skupina zařízení

Popis

Tablet

Tablet s IOS.

OS

IOS X

HW

iPad

Počet

3

10.5 Příloha 5 – Verinice Asset Inventory Report Tato příloha obsahuje ukázkový report inventury informačních aktiv z použitého nástroje.


94

created with

Inventory of Assets Abbreviation LNSRV2

Name APP1

Type Physical

AD

Active Directory

Software

DMSRV1

BluePecari.com

Physical

RACK1 SROOM PHY_S DMZ

SM_IS

CRM

Software

APPZ

LNSRV3

DB1

Physical

DMSW

DMZ Switch

Physical

DMCB

DMZ kabelaz

Physical

LNSRV1

Domain.local

Physical

PHY_S SROOM LAN RACK1 RACK1 SROOM PHY_S DMZ RACK1 SROOM PHY_S DMZ RACK1 SROOM PHY_S LAN

Fax

Physical

IPHN

IP Telefon

Service

IT_IS

IT informacni system

Software

SSIF

Informace o zakaznicich

Information

SHR DOM

SEIF

Informace o zamestnancich

Information

SHR DOM

1

/

3

Tag PHY_S SROOM LAN RACK1

Description Aplikační server

C 2

I 6

A 11

Sluzba pro spravu uyivatelu a pristup do lokalni site Fyzicky server hostujici email a webovy server pro interni spolecnost a zakazniky System pro podporu prodeje a marketingovych cinnosti Databázový server

3

1

2

3

7

12

0

2

0

2

6

11

Switch pro DMZ

0

5

9

Kabelaz v DMZ

0

0

0

Doménový server spravující uživatelské účty, shares a interní mail. Faxove zarizeni a sluzba v jednom Predstavuje sluzbu a firemni zarizeni soucasne System pro management a sledovani zakazek IT oddeleni Informace o zakaznicich pro vnitrofiremni pouziti Informace o zamestnancich, smlouvy a dalsi vnitrofiremni udaje o zamestnancich

4

7

14

0

1

2

0

6

8

0

4

10

0

0

0

0

0

0

printed on 8.8.2013 6:41

created with

Inventory of Assets Abbreviation LNINT

Name Internet to LAN

Type Intangible

Tag

INTR

Intranet společnosti

Service

SVC WEBS

ACCS1

Klimatizace

Physical

SROOM

LNACS

LAN Access

Service

LNCB

LAN Kabelaz

Physical

LNXM

MS Exchange server 2010

Software

RACK1 SROOM PHY_S LAN SVC LAN

NET_CON

Main Internet Connection

Physical

CONN

RTR_MRK CELP

Mikrotik 5.22 Mobilni telefon

Physical Physical

MRK

NAS1

Physical

NAS2

Physical

Objekt DMZ

Intangible

DMZ

2

/

3

RACK1 SROOM DMZ

Description Služba internet do LAN zastresuje vsechny assety nutne pro pristup z lan na intenet Intranetový web společnosti Klimatizace v serverovne Autentikace a autorizace subjektů pro přístup do firemní sítě a zdroj ů domény. Propojovací kabeláž v racku pro LAN Exchange server service poskytujici mailove sluzby interni organizaci Připojení k internetovému providerovi Mikrotik router Telefony i sluzby mobilnich telefonich operatoru Síťové úložiště urč ené pro ukládání záloh serverů Síťové úložiště urč ené pro ukládání záloh serverů Demilitarizovana zona jako celek, obsahujuci switch, server a kabelaz. Je definovana jako Intangible, nebot sdruzuje nekolik dalsich kativ pro zjednodusseni vazeb modelu

C 0

I 0

A 0

0

0

0

3

4

9

0

0

0

0

0

0

6

5

0

4

3

6

3 0

7 1

12 2

1

1

2

1

1

2

0

0

0

printed on 8.8.2013 6:41

created with

Inventory of Assets Abbreviation

Name RACK1

Type Physical

Tag

DMSM

Sendmail 6.0

Software

SVC DMZ

LNSW

Switch array

Physical

RACK1 SROOM LAN NETDEV

LANPR

Tiskova sluzba

Intangible

AccDoc

Ucetni dokumenty

Physical

Archive

AC_IS

Ucetni informacni system

Software

APPZ

VPN

VPN

Software

SVC DMZ

WEBC

Web Service pro zakazniky

Information

WEBZ

WEBE

Web společnosti

Information

WEBS

LAN_AP1

WiFi Access Point 1

Physical

LAN NETDEV WIFI

WIFI LXPIT LXPMG LXPO LXPAC SCCT

WiFi sluzba Xerox Printer IT Xerox Printer Management Xerox Printer Obchod Xerox Printer Ucetni Zakaznicke smlouvy

Service Physical Physical Physical Physical Information

WIFI SVC IT TOP OBCHOD OBCHOD SHR DOM

UPS

Zalozni zdroj

Physical

3

/

3

Description Predstavuje skrin na servery a akivni prvky site Služba SendMail pro přijímání a zasílání mailů ven z organizace a hosting zak. mailboxu Stackované switche s celkovým poočtem 192 1Gb portů. Tato sluzba predstavuje vsechny ctyri sitove tiskarny Archivovane papirove dokumenty zakazniku v souladu se zakonem Systém pro zpracování úč etnictví. VPN služba př ipojení do firemí sítě . Hostovaný web zákazníka Webové stránky společnosti Blue Pecari. Access point pro wifi pripojeni kolientu do LAN Wifi připojení sitova tiskarna sitova tiskarna sitova tiskarna sitova tiskarna Ulozene smlouvy se zakazniky Bateriovy zalozni zdroj

C 0

I 3

A 4

5

0

0

0

5

9

0

0

0

17

14

14

0

4

4

2

0

0

0

0

0

0

0

0

3

1

3

0 0 0 0 0 0

0 0 0 0 0 0

0 2 2 2 2 0

0

0

3

printed on 8.8.2013 6:41

10.6 Příloha 6 – Další Verinice Inventory reporty Tato příloha obsahuje listy následujících reportů: 1.

Process report

2.

Persons report

3.

Threats report

4.

Vulnerabilities report

Tyto reporty


95

Abbreviation

Title

Tags

ACCT CSUPP

Accounting Customer support HR Internal support Mail hosting Marketing

ISUPP MHOST MTG SLS_SAL

WHOST

Document MTPD(h)

Impact after 8h

Impact after 24h

Impact after 48h

Deduce Confidentiality

Confidentiality

Deduce Integrity Integrity

Deduce Availability

Availability

ACCT IT PROC

Low Low

Low Low

Low Low

No No

2 Internal Use 1 External Use

No No

1 Normal 1 Normal

No No

1 Normal 2 High

DEV ISUPP

Low Low

Low Low

Low Low

Yes No

0 Public 2 Internal Use

Yes No

0 None 1 Normal

Yes No

0 Basic 2 High

MHOST

Low

Low

Low

No

1 External Use

No

1 Normal

No

2 High

MTG PROC SLS PROC

Low

Low

Low

No

0 Public

No

1 Normal

No

1 Normal

Low Low

Low Low

Low Low

No No

0 Public 2 Internal Use

No No

1 Normal 1 Normal

No No

1 Normal 2 High

Low

Low

Low

No

1 External Use

No

1 Normal

No

1 Normal

Sales TOP Management WEB WHOST hosting

720 12486

RPO(h)

48 888

RTO(h)

32 666

Explanation

Abbreviation IT CustSupp

Salutation Mr

Surname Adam

Name Petr

ACT Agt

Mrs

Andrea

Těreškovová

ACT Mgr

Mrs

Carolina

Francesca

IT CustSupp

Mr

Dvořák

Josef

SLS Agt

Mr

Jaginagan

Hunian

HR Mgr

Mrs

Jarmilová

Churava

SLS Agt

Mr

Kandidát

Jan

Tags

Phone

Email

Org. unit

Roles User, IT users, IT Security, IT Security, Employee, IT Helpdesk User, Fax / Mail Service, Employee, Post Office, Fax sender, Fax receiver User, Head of Department, Employee, Post Office, Fax sender, Fax receiver User, IT users, IT Security, IT Security, Employee, IT Helpdesk User, Post Office, Fax sender, Fax receiver, Representation, Employee User, Fax / Mail Service, Head of Department, Head of Personnel, Employee, Post Office, Press office, Fax sender, Fax receiver, Management, Representation User, Employee, Home technology, Fax receiver, Fax sender, Representation, Post Office, Press office

Abbreviation IT IntSupp

Salutation Mr

Surname Kandidát

Name Petr

GenDir

Mr

Krátkonosý

Vilibald

MKT Mgr

Mrs

Krátká

Kateřina

SLS Agt

Mr

Natřelík

Václav

ACT Agt

Mrs

Nevěrná

Kopie

Tags

Phone

Email

Org. unit

Roles Administrator, Site Manager, Archive Administrator, User, Data Protection, IT users, IT Security, IT Security, Employee, IT Helpdesk Head of Organization, Employee, Superior, Management, Representation, Planner, IT Security Head of Department, Employee, Management, Representation, User, Fax / Mail Service, Home technology, Post Office, Press office, Fax sender, Fax receiver User, Post Office, Fax sender, Fax receiver, Representation, Employee User, Fax / Mail Service, Employee, Post Office, Fax sender, Fax receiver

Abbreviation IT Mgr

Salutation Mr

Surname Novák

Name František

ACT Agt

Mr

Novák

Jarmil

ACT Agt

Mr

Novák

Josef

SLS Agt

Mr

Ohola

Bugaki

ITSupp SLS Agt

Mrs Mr

Posedlá Prodalmálo

Agáta Jan

ACT Agt

Mr

Ptáček

Eduard

Tags

Phone

Email

Org. unit

Roles Administrator, Archive Administrator, Data Protection, Fax / Mail Service, Internal Services, Home technology, IT Security, IT processes in Charge, IT Security, IT users, Head of Department, Head of IT, Employee User, Fax / Mail Service, Employee, Post Office, Fax sender, Fax receiver User, Fax / Mail Service, Employee, Post Office, Fax sender, Fax receiver User, Post Office, Fax sender, Fax receiver, Representation, Employee

IT User, Post Office, Fax sender, Fax receiver, Representation, Employee User, Fax / Mail Service, Employee, Post Office, Fax sender, Fax receiver

Abbreviation SLS Mgr

Salutation Mr

Surname Stanislav

Name Adam

Tags

ITSupp ITSupp MKT Asst

Mr Mr Mrs

Vegetarián Veřelec Větravá

Antonín Genadij Petra

IT IT

Phone

Email

Org. unit

Roles Employee, Press office, Post Office, Fax receiver, Fax sender, Management, Representation, User, Home technology, Head of Department

Employee, Fax sender, Fax receiver, User, Home technology, Post Office, Representation

Abbreviation

Title

COF_AOR TEC_BIS

Abuse of rights Breach of information system maintainability Corruption of data Data from untrustworthy sources Eavesdropping Equipment failure Equipment malfunction External attacker Failure of air-conditioning or water supply system Failure of telecommunication equipment Long time power loss Loss of Internet connection Meteorological phenomenon Saturation of the information system Short time power loss Software malfunction Theft of equipment Theft of media or documents

UAC_DCR COI_DUS COI_EVS TEC_EQF TEC_EQM CUS_EAT LES_FAW RDS_FTC CUS_LPL CUS_ICN NAT_MTO TEC_SOL CUS_SPL TEC_SWM COI_TOE COI_TMD

Tags

Likelihood 0: Seldom 0: Seldom 0: Seldom 0: Seldom 0: Seldom 0: Seldom 1: Annually 4: Daily 0: Seldom

Document

Abbreviation VSW_WDA VSW_INS STE_PAC CUS_IMM ORG_PIA IHW_LRS STE_PDW ORG_SLA

0: Seldom 0: Seldom 5: Hourly 0: Seldom 0: Seldom 2: Monthly 0: Seldom 0: Seldom 3: Weekly

VSW_NLT VSW_LTS CUS_REX NET_SOF IHW_STV NET_UNT STE_UPW CUS_USV PRS_UWO CUS_WFX VSW_WAA

Title Tags Applying application programs to the wrong data in terms of time Immature or new software Inadequate or careless use of physical access control to buildings and rooms Insufficient maintanace and/or HW monitoring Lack of formal process for authorization of public available information Lack of periodic replacement schemes Lack of physical protection of the building,doors and windows Lack or insufficient Service Level Agreement No 'logout' when leaving the workstation No or insufficient software testing Remote exploit Single point of failure Susceptibility to temperature variations Unprotected sensitive traffic Unstable power grid Unstable service Unsupervised work by outside or cleaning staff WiFi exploit Wrong allocation of access rights

Easy of Exploitation 0: Hardly possible 0: Hardly possible 1: Possible 1: Possible 0: Hardly possible 0: Hardly possible 1: Possible 0: Hardly possible 0: Hardly possible 0: Hardly possible 0: Hardly possible 0: Hardly possible 0: Hardly possible 2: Easily possible 2: Easily possible 1: Possible 0: Hardly possible 0: Hardly possible 0: Hardly possible

Document

10.7 Příloha 7 – Verinice Scenarios report Tato příloha obsahuje výstup Scenario reportu, jsou v něm obsaženy všechny vybrané a definované scénáře použité v projektu fiktivní firmy.


96

Abbreviation

Title

RSC_094

AC Failure due to lack of periodic checks

RSC_008

Abuse of rights due unlockded server

RSC_011

Abuse of rights due wrong allocation of rights

RSC_015

Breach of IS maintability due inadequate SLA

RSC_017

Corruption of data due ITG AVL SCN wrong app settings

RSC_021

Coruption of data due to untrustworthy sources

RSC_029 RSC_031

Eavesdropping due to unprotected traffic Equipment failure due insufficient maintanance and lack of monitoring HW

RSC_046

External attacker on employee wifi

RSC_047

External attacker sendmail hacking

RSC_062

High summer temperatures Immature SW malfunction

RSC_067

RSC_058 RSC_059 RSC_069

Long time power loss Loss of Internet connection Not tested SW malfunction

RSC_049

SPOF Telco

RSC_066

Short time power loss

RSC_087

Theft of document due unsupervised work by external subject

RSC_077

Theft of equipment due inadequate access control to building Theft of media or documen due lack of physical protection

RSC_083

Tags

Document

Explanation Vypadek chlazeni serverovny diky spatne udrzbe. Zneuziti informacniho aktiva y duvodu neodhlaseni Spatne nastavena prava vedouci ke zneuziti aktiva Ztrata dostupnosti IS z duvodu spatnych SLA smluv s dodavateli Pri provadeni ucetni uzaverky muze dojit k mylnemu zadani dat a poskozeni DB Pouhym COPYPASTE plneni CRM muze dojit k poskozeni dat Odposlechy komunikace Chyba na zař ízení z důvodu nevhodné údržby a monitoringu. Pokus o prolomeni zabezpeceni WiFi a prunik do LAN a do exchange Pokus o prunik do mailboxu zakazniku

Affects Affects Confidentiality Integrity No Yes

Affects Availability Yes

Threat Deduce from Likelihood threat and No vulnerability 0: Rare

Vulnerability Probibility of Probability Exploitation scenario with impl. 1: Low 1: 20% 1: 20% controls

Probability with planned 1: 20% controls

Yes

Yes

Yes

Yes

0: Rare

0: Very low

0: Less than 10%

0: Less than 10%

0: Less than 10%

Yes

Yes

Yes

Yes

0: Rare

0: Very low

0: Less than 10%

0: Less than 10%

0: Less than 10%

No

No

Yes

Yes

0: Rare

0: Very low

0: Less than 10%

0: Less than 10%

0: Less than 10%

No

Yes

Yes

No

1: Annually

2: High

3: 40%

3: 40%

0: Less than 10%

No

Yes

No

No

0: Rare

1: Low

1: 20%

1: 20%

1: 20%

Yes

No

No

Yes

0: Rare

2: High

2: 30%

No

No

Yes

Yes

0: Rare

1: Low

1: 20%

0: Less than 10% 0: Less than 10%


Yes

Yes

No

Yes

4: Daily

0: Very low

4: 50%

0: Less than 10%

0: Less than 10%

Yes

No

No

Yes

4: Daily

0: Very low

4: 50%

0: Less than 10%

0: Less than 10%

No

Yes

Yes

No

1: Annually

1: Low

2: 30%

2: 30%

2: 30%

IT informacni No system byl vivinut pro potreby oddeleni vlastnimi silami, ma poruchy. No No

No

Yes

No

2: Monthly

1: Low

3: 40%

3: 40%

3: 40%

No Yes

Yes Yes

No No

1: Annually 1: Annually

3: Very high 2: High

4: 50% 3: 40%

4: 50% 3: 40%

IT informacni No system byl vivinut pro potreby oddeleni vlastnimi silami, nebyl dostatecne otestovan Porucha No telekomunikacniho zarizeni nebo No

Yes

Yes

No

2: Monthly

1: Low

3: 40%

3: 40%

4: 50% 0: Less than 10% 3: 40%

Yes

Yes

Yes

0: Rare

0: Very low

0: Less than 10%

0: Less than 10%

0: Less than 10%

Yes

Yes

Yes

2: Monthly

2: High

4: 50%

Kradez Yes dokumetu zamestnancem ciyi firmz provadejici prace Neadekvatni Yes zajisteni pristupu do budovy Ukradeni dat z Yes duvodu nizkeho zabezpeceni

Yes

Yes

Yes

3: Weekly

0: Very low

3: 40%

0: Less than 10% 3: 40%


Yes

Yes

Yes

0: Rare

1: Low

1: 20%

0: Less than 10%

0: Less than 10%

Yes

Yes

Yes

3: Weekly

1: Low

4: 50%

0: Less than 10%

0: Less than 10%

Abbreviation RSC_078

Title Tags Theft of media or document due careles physical access

Document

Explanation

Affects Affects Confidentiality Integrity Yes Yes

Affects Availability Yes

Threat Deduce from Likelihood threat and Yes vulnerability 3: Weekly

Vulnerability Probibility of Probability Exploitation scenario with impl. 1: Low 4: 50% 0: Less than controls 10%

Probability with planned 0: Less than controls 10%

10.8 Příloha 8 – Verinice ISM Risk Assessment report Tato příloha obsahuje Verinice report vyhodnocení rizik. Struktura reportu je popsána v kapitole 3.5.11.


97

Information Risk Management Results


Scope / Client:

Blue Pecari

Date:

8. srpna 2013

Identified Risks

Risk Register Risk Acceptance Criteria Category Confidentiality Integrity Availability

Tolerable risk level 5 5 5

The following risk assessment was performed as detailed in the approved risk assessment method and is in accordance with international standard ISO / IEC 27005. Risk acceptance criteria shown on the left are defined in the risk assessment policy and approved by senior management.

Confidentiality: property that information is not made available or disclosed to unauthorized individuals, entities, or processes Integrity: property of protecting the accuracy and completeness of assets Availability: property of information being accessible and usable upon demand by an authorized entity (ISO/IEC 27000:2009)

Remaining Risks with implemented Controls

Risk Classification RED: The risk exceeds the risk acceptance criteria and must be addressed according to the risk assessment policy. YELLOW: The risk falls just under the risk acceptance criteria. It may need to be addressed according to the risk assessment policy. GREEN: The risk falls within risk acceptance criteria.

Client: Date printed: 1

/

42

Blue Pecari 8.8.2013 15:06 (refer to the electronic document for the current release) (c) 2011 SerNet - all rights reserved

Client: Date printed: Confidential

2

/

42

Blue Pecari 8.8.2013 15:06 (refer to the electronic document for the current release) (c) 2011 SerNet - all rights reserved Confidential



Assets with High Risks (without Controls) Asset APP1 BluePecari.com DB1 DMZ Switch Domain.local IP Telefon Main Internet Connection Mikrotik 5.22 MS Exchange server 2010 Sendmail 6.0 Switch array Ucetni dokumenty Active Directory CRM IT informacni system Klimatizace RACK1 Ucetni informacni system Xerox Printer IT Xerox Printer Management Xerox Printer Obchod Xerox Printer Ucetni Zalozni zdroj Assets with High Risks (with implemented Controls) Asset Main Internet Connection Active Directory CRM Domain.local IT informacni system Klimatizace RACK1 Switch array Ucetni dokumenty Ucetni informacni system


/

42

High Risk Areas without Controls Risk 1 1 1 1 1 1 1 1 1 1 1 2 1 1 2 3 1 1 1 1 1 1 1

Risk 1 1 1 4 2 1 1 2 1 1



4

/

42




High Risk Areas with implemented Controls

Risk Matrix: Confidentiality (without Controls) 1XPEHURILGHQWLILHG5LVNV Impact Probability 0 1 2 3 4 5 6 7 8

7RWDO&RXQW

0

1

2

3

0 0 0 0 0 0 0 0 0

0 0 0 0 1 0 0 0 0

11 27 9 1 9 0 0 0 0

9 9 0 0 0 0 0 0 0

Table shows the number of identified risks and their severity. See below for classification of probability and business impact levels.

Risk Matrix: Integrity (without Controls) 1XPEHURILGHQWLILHG5LVNV Impact Probability 0 1 2 3 4 5 6 7 8

7RWDO&RXQW

0

1

2

0 0 0 9 0 0 0 0 0

36 47 9 6 71 0 0 0 0

0 0 0 0 0 0 0 0 0



/

42



6

/

42




Business Impact and Risk Classification

Risk Matrix: Availability (without Controls)

Business Impact Classification 1XPEHURILGHQWLILHG5LVNV Impact Probability 0 1 2 3 4 5 6 7 8

7RWDO&RXQW

0

1

2

3

4

0 0 0 0 0 0 0 0 0

0 4 0 2 2 0 0 0 0

45 119 9 8 62 0 0 0 0

0 0 0 9 0 0 0 0 0

0 0 0 0 0 0 0 0 0

Confidentiality

0 Public: No special requirements. 1 External Use: Information for internal use and customers or partners. Possible financial loss, breach of legal requirements with financial penalties is possible. 2 Internal Use: Information for internal use only. Financial loss is higher. Breach of legal requirements could lead to high financial penalties. Personal injury could result by breach of confidentiality.

Integrity

3 Sensitive: Possible financial loss much higher. Breach of legal requirements could lead to prosecution and a prison sentence. Information loss could lead to serious injury or loss of life. 0 None: Possible financial loss below 0 1 Normal: Possible financial loss between 0 and 24kd. Breach of legal requirements could lead to financial penalties. Breach could result in personal injury.


Availability

2 High: Possible financial loss higher than 24k/d. Breach of legal requirements could lead to prison sentence. Breach could result in personal injury or death. 0 Basic: Possible financial due to downtime loss below is low. Recovery time objective (RTO) is higher than one week. 1 Normal: Possible financial loss due to downtime between 12k/d and 24k./d. RTO is lower than week. Downtime could impair public image 2 High: Possible financial loss due to downtime between 24k/d and 60k/d. RTO is lower week. Downtime could impair public image or client relationship. 3 Very high: Possible financial loss due to downtime between 60k/d and 80k/d. RTO is lower than week. Downtime could seriously impair public image or end client relationship. 4 Exceptional: Special agreements with individual clients which do not fall in one of the above categories.

Threat Classification Threats are classified by the likelihood of their ocurrence as follows: 0 Rare 1 Annually 2 Monthly 3 Weekly 4 Daily 5 Hourly Vulnerability Classification 0 Very low: Exploitation of the vulnerability requires a directed attack, highly special knowledge or skill and ressources that are not ordinarily available to an attacker. Rare Natural events or technical failures of a large scale could trigger the vulnerability. 1 Low: Exploitation of the vulnerability requires a directed attack by a determined attacker. Natural events or technical failures could affect the vulnerability. 2 High: Exploitation of the vulnerability could occur by an automated attack (i.e. scripted attacks) or any attacker even with limited capabilities. Natural events or technical failures could affect the vulnerability. 3 Very high: Exploitation of the vulnerability could occur randomly and is highly likely. Even someone without bad intentions could trigger the vulnerability inadvertently. Common events would almost certainly trigger the vulnerability.


/

42



8

/

42




Remaining High Risks (with implemented Controls) Asset Active Directory

Scenario

Confidentiality

Integrity

Availability

Abuse of rights due 3 wrong allocation of rights

1

2

Coruption of data due to untrustworthy sources

0

2

0

Equipment failure due insufficient maintanance and lack of monitoring HW Theft of equipment due inadequate access control to building Breach of IS maintability due inadequate SLA Short time power loss

0

0

2

3

0

2

0

0

2

0

0

2

Immature SW malfunction Not tested SW malfunction

0

0

5

0

4

5

AC Failure due to lack of periodic checks

0

1

1

Loss of Internet 0 connection Eavesdropping due 2 to unprotected traffic

3

6

0

0

High summer temperatures

0

3

4

Short time power loss Equipment failure due insufficient maintanance and lack of monitoring HW

0

1

2

0

0

2

Theft of document due unsupervised work by external subject

5

4

4

Overall

Asset Ucetni informacni system

Scenario

Corruption of data due wrong app settings

Confidentiality

0

Integrity

4

Availability

Overall

4

CRM

Domain.local


Klimatizace

Main Internet Connection

RACK1

Switch array

Ucetni dokumenty


/

42



10 /

42




Detailed Risk Assessment (without Controls)

Abbr.

Name

ACCT

Accounting Assets and Risk Scenarios

Abbr.

Name Active Directory

Type Software

Abuse of rights due wrong allocation of rights Abuse of rights 0: Rare Wrong allocation of access rights 0: Very low

DMSRV1 BluePecari.com

Physical

Total Risk Figure

Confidentiality

Integrity

Availability

45

78

127

250

3

1

2

6

3

1

2

6

22

0

0

3

3

Short time power loss Short time power loss Unstable power grid

0

5

6

11

3

2

3

8

2: Monthly 2: High

2

6

11

19

Abuse of rights due unlockded server Abuse of rights 0: Rare No 'logout' when leaving the workstation 0: Very low

2

1

2

5

Equipment failure due insufficient maintanance and lack of monitoring HW Equipment failure 0: Rare Insufficient maintanace and/or HW 1: Low monitoring

0

0

3

3


0

5

6

11

Physical

DMZ Switch

2: Monthly 2: High

0

5

9

14


0

0

3

3


0

5

6

11

Physical

2: Monthly 2: High

DMZ kabelaz

Physical

0

0

0

0

LNSRV1 Domain.local

Physical

4

7

14

25


1

12

DMCB

42

1

7

DMSW

11 /

2

3

LNSRV3 DB1


Availability


Theft of equipment due inadequate access control to building Theft of equipment 0: Rare Lack of physical protection of the 1: Low building,doors and windows

Client: Date printed:

Integrity

Key Figures by Risk Category

Total Risk for Accounting: AD

Confidentiality

12 /

42



Breach of IS maintability due inadequate SLA Breach of information system 0: Rare maintainability Lack or insufficient Service Level 0: Very low Agreement


0

0


0


Fax

Physical

SPOF Telco Failure of telecommunication equipment Single point of failure

IPHN

IP Telefon

0: Rare 0: Very low

Service

SPOF Telco Failure of telecommunication equipment Single point of failure Short time power loss Short time power loss Unstable power grid

0: Rare 0: Very low 2: Monthly 2: High

2

2

0

5

3

6

3

11

4

2

3

9

0

1

2

3

0

1

2

3

0

6

8

14

0

1

2

3

5

6

11

0


Information

0

0

0

LNINT

Internet to LAN

Intangible

0

0

0

0

ACCS1

Klimatizace

Physical

3

4

9

16

AC Failure due to lack of periodic checks 0: Rare Failure of air-conditioning or water supply system Lack of periodic replacement schemes 1: Low

0

2

3

5


0

0

3

3

3

8

0

LNACS

LAN Access

Service

0

0

0

LNCB

LAN Kabelaz

Physical

0

0

0

0

LNXM


Software

6

5

0

11

Client: Date printed: 13 /

42


13

4

0

0

4

Loss of Internet connection Loss of Internet connection Unstable service

0

3

6

9

1: Annually 2: High

3

7

12

22


0

0

3

3


0

5

6

11

Physical

3

2

3

8

2: Monthly 2: High


Objekt DMZ

Intangible

0

0

0

0

RACK1

Physical

0

3

4

7

0

3

4

7

High summer temperatures Meteorological phenomenon Susceptibility to temperature variations

LNSW

Switch array

1: Annually 1: Low

0

5

9

14


0

0

3

3


0

5

6

11

Tiskova sluzba


11

6

AccDoc Ucetni dokumenty 2

0

3

LANPR

3

5

4

DMZ 0

Physical

6

Eavesdropping due to unprotected traffic Eavesdropping 0: Rare Unprotected sensitive traffic 2: High

RTR_MRKMikrotik 5.22

SSIF


External attacker on employee wifi External attacker 4: Daily WiFi exploit 0: Very low

NET_CONMain Internet Connection

Equipment failure due insufficient maintanance and lack of monitoring HW Equipment failure 0: Rare Insufficient maintanace and/or HW 1: Low monitoring 2: Monthly 2: High

0

14 /

42

Physical

2: Monthly 2: High

Intangible

0

0

0

0

Physical

17

14

14

45




Theft of document due unsupervised work by external subject Theft of media or documents 3: Weekly Unsupervised work by outside or 0: Very low cleaning staff

Abbr.

Name

CSUPP

Customer support

Theft of media or documen due lack of physical protection Theft of media or documents 3: Weekly Lack of physical protection of the 1: Low building,doors and windows Theft of media or document due careles physical access Theft of media or documents 3: Weekly Inadequate or careless use of physical 1: Low access control to buildings and rooms

AC_IS

Ucetni informacni system

Software

Corruption of data due wrong app settings Corruption of data 1: Annually Applying application programs to the 2: High wrong data in terms of time

LXPIT

Xerox Printer IT

Physical


LXPMG Xerox Printer Management

Physical


LXPO

Xerox Printer Obchod

Physical


LXPAC

Xerox Printer Ucetni

Physical


5

4

4

13

Assets and Risk Scenarios 6

5

5

16

122

222

2

6

11

19


2

1

2

5

0

0

3

3

0

5

6

11

3

1

2

6

3

1

2

6

4

8

0

4

4

8

Equipment failure due insufficient maintanance and lack of monitoring HW Equipment failure 0: Rare Insufficient maintanace and/or HW 1: Low monitoring Short time power loss Short time power loss Unstable power grid

0

2

2

AD

0

0

2

2

0

0

2

2

0

0

2

2

0

0

2

2

0

0

2

2

0

0

2

2

Active Directory

Information

0

0

0

0

Physical

0

0

3

3

0

0

3

3


3

7

12

22

0

0

3

3


0

5

6

11

Physical

3

2

3

8

2: Monthly 2: High


2

6

11

19


2

1

2

5


0

0

3

3


0

5

6

11

0

5

9

14

16 /

42

Physical

DMZ Switch


Software


DMSW


2: Monthly 2: High


LNSRV3 DB1

Zalozni zdroj

42

Physical

4

0

Total Risk Figure

Availability

0

2

2

70

16

2

1

Integrity

5

0

1

30

5

Zakaznicke smlouvy

15 /

Type

6

0

Availability

Confidentiality

LNSRV2 APP1

UPS


Name

Integrity


Total Risk for Customer support:

SCCT


Abbr.

Confidentiality

2: Monthly 2: High

Physical





0

0

3

3

AC Failure due to lack of periodic checks Failure of air-conditioning or water 0: Rare supply system Lack of periodic replacement schemes 1: Low

0

2

3

5


0

5

6

11


0

0

3

3


3

2

3

8

0

DMCB

2: Monthly 2: High

DMZ kabelaz

Physical

0

0

0

0

LNSRV1 Domain.local

Physical

4

7

14

25


0


0


0

2: Monthly 2: High


IPHN

IP Telefon

Service

0

0

5

2

3

6

2

3

11

4

2

3

9

0

6

8

14

0: Rare 0: Very low

0

1

2

3


2: Monthly 2: High

0

5

6

11

0

4

10

14

0

5

5


LAN Access

Service

0

0

0

LNCB

LAN Kabelaz

Physical

0

0

0

0

LNXM


Software

6

5

0

11

6

5

0

11



4

3

6

13


4

0

0

4


0

3

6

9



IT_IS

LNACS

Software

Immature SW malfunction Software malfunction Immature or new software

2: Monthly 1: Low

0

Not tested SW malfunction Software malfunction No or insufficient software testing

2: Monthly 1: Low

0

4

5

9

Internet to LAN

Intangible

0

0

0

0

ACCS1

Klimatizace

Physical

3

4

9

16

3

7

12

22

0

0

3

3


0

5

6

11

3

2

3

8

0

1

2

3

0

1

2

3

Mobilni telefon


17 /

42

18 /

42

Physical 0: Rare 0: Very low

Intangible

0

0

0

0

RACK1

Physical

0

3

4

7

0

3

4

7


2: Monthly 2: High

Objekt DMZ



Physical


DMZ


1: Annually 2: High


CELP

LNINT

Physical

1: Annually 1: Low



LNSW

0

5

9

14


0

0

3

3


0

UPS

Switch array

Zalozni zdroj

Physical


Abbr.

Name

Physical



6

Name

11

0

0

3

3

0

0

3

3

Type

Total Risk for HR: AD

Active Directory

Software



0

0

Physical


Confidentiality

Integrity

Availability

26

55

92

173

3

1

2

6

3

1

2

6

7

12

22

0

0

3

3


0

5

6

11

3

2

3

8

2: Monthly 2: High

0

5

9

14


DMZ Switch

0

0

3

3


0

5

6

11

Physical

2: Monthly 2: High

DMZ kabelaz

Physical

0

0

0

0

LNSRV1 Domain.local

Physical

4

7

14

25


Total Risk Figure

3

DMCB

42

0


DMSW

19 /

Availability




Integrity

HR

Abbr. 2: Monthly 2: High

Confidentiality

20 /

42





0

0


0


Fax

Physical


IPHN

0: Rare 0: Very low

IP Telefon

Service

SPOF Telco Failure of telecommunication equipment Single point of failure Short time power loss Short time power loss Unstable power grid

0: Rare 0: Very low 2: Monthly 2: High

2

2

0

5

3

6

3

11

4

2

3

9

0

1

2

3

0

1

2

3

0

6

8

14

0

1

2

3

5

6

11


Information

0

0

0

0

LNINT

Internet to LAN

Intangible

0

0

0

0

ACCS1

Klimatizace

Physical

3

4

9

16

0

2

3

5

Equipment failure due insufficient maintanance and lack of monitoring HW Equipment failure 0: Rare Insufficient maintanace and/or HW 1: Low monitoring Theft of equipment due inadequate access control to building Theft of equipment 0: Rare Lack of physical protection of the 1: Low building,doors and windows

3

0

2

3

3

3

8

LAN Access

Service

0

0

0

0

LNCB

LAN Kabelaz

Physical

0

0

0

0

LNXM


Software

6

5

0

11


42


13

4

0

0

4


0

3

6

9

1: Annually 2: High

3

7

12

22


0

0

3

3


0

5

6

11

Physical

3

2

3

8

0

1

2

3

0

1

2

3

2: Monthly 2: High


Mobilni telefon


DMZ


Objekt DMZ

Intangible

0

0

0

0

RACK1

Physical

0

3

4

7

0

3

4

7


Switch array

1: Annually 1: Low

0

5

9

14


0

0

3

3


0

5

6

11

0

0

3

3

0

0

3

3

Zalozni zdroj

Physical

2: Monthly 2: High

Physical



11

6

UPS

LNACS

0

3

LNSW

0

5

4

CELP 0

Physical

6



SEIF

AC Failure due to lack of periodic checks 0: Rare Failure of air-conditioning or water supply system Lack of periodic replacement schemes 1: Low




0

22 /

42



Abbr.

Name

ISUPP

Internal support Assets and Risk Scenarios

Abbr.

Name

Confidentiality

Integrity

Availability

2

1

2

Key Figures by Risk Category Type

Total Risk for Internal support: LNSRV2 APP1


Physical

Total Risk Figure

Confidentiality

Integrity

Availability

30

64

114

208

2

6

11

19


2


0

0

3

3


0

5

6

11

3

1

2

6

3

1

2

6

3

7

12

22


0

0

3

3


0

AD

Active Directory

2: Monthly 2: High

Software



Physical

2: Monthly 2: High


1

2

5

5

6

11

2

3

8

2

6

11

19


2

1

2

5


0

0

3

3


0

5

6

11

0

5

9

14

DMSW

DMZ Switch


42

Physical

2: Monthly 2: High

Physical

0

0

3

3


0

5

6

11

DMCB


DMZ kabelaz

Physical

0

0

0

0

Physical

4

7

14

25


0

0

2

2


0

0

3

3


0

5

6

11

4

2

3

9

0

4

10

14

2: Monthly 2: High



Software


2: Monthly 1: Low

0

0

5

5


2: Monthly 1: Low

0

4

5

9

LNINT

Internet to LAN

Intangible

0

0

0

0

ACCS1

Klimatizace

Physical

3

4

9

16


0

2

3

5


0

0

3

3


3

2

3

8

0

0

0

0

LNACS

LAN Access


2: Monthly 2: High

LNSRV1 Domain.local

IT_IS

3

LNSRV3 DB1


24 /

42

Service




LNCB

LAN Kabelaz

Physical

0

0

0

0

Abbr.

Name

LNXM


Software

6

5

0

11

MHOST

Mail hosting

6

5

0

11



Physical


3

6

13

4


0

3

6

9

3

7

12

22


1: Annually 2: High

Physical


0


0

2: Monthly 2: High


CELP

Mobilni telefon


DMZ

0: Rare 0: Very low

3

0

0

5

2

0

3

6

3

4

3

11

8

0

1

2

3

0

1

2

3

Intangible

0

0

0

0

RACK1

Physical

0

3

4

7

0

3

4

7

0

5

9

14

Switch array

1: Annually 1: Low

Physical

112

199

2

6

11

19


2

1

2

5


0

0

3

3


0

5

6

11

3

1

2

6

3

1

2

6

LNSRV2 APP1

AD

Physical

Active Directory

3

7

12

22


0

0

3

3


0

5

6

11

3

2

3

8

2: Monthly 2: High


0

0

3

3

3


0

5

6

11

3


0

5

9

14

0

0

3

3

Physical

5

11

0

Software


2

6

0

2: Monthly 2: High

1

5

42

Availability

58

2

0

25 /

Integrity

29

19



Type

Total Risk Figure

11

3

Physical

2

6

3

Zalozni zdroj

1

2

0


1


0

UPS

Availability

Confidentiality

LNSRV3 DB1


Name


Objekt DMZ


LNSW

Physical

Abbr.

Integrity


Total Risk for Mail hosting:


Confidentiality

DMSW


DMZ Switch


26 /

42

Physical

2: Monthly 2: High

Physical





NET_CONMain Internet Connection 0

0

3

3


0

5

6

11

DMCB

2: Monthly 2: High

DMZ kabelaz

Physical

0

0

0

0

LNSRV1 Domain.local

Physical

4

7

14

25


0

0

2

2


0


0

2: Monthly 2: High


IT_IS


Software

0

5

3

6

3

11

4

2

3

9

0

4

10

14


2: Monthly 1: Low

0

0

5

5


2: Monthly 1: Low

0

4

5

9

ACCS1

Klimatizace

3

4

9

16

0

2

3

5


0


3

2

3

8

Physical

3

3

LAN Access

Service

0

0

0

0

LNCB

LAN Kabelaz

Physical

0

0

0

0

42

6

13

4

0

0

4


0

3

6

9



1: Annually 2: High

3

7

12

22

0

0

3

3


0

5

6

11

Physical

3

2

3

8

2: Monthly 2: High


DMZ

Objekt DMZ

Intangible

0

0

0

0

RACK1

Physical

0

3

4

7

0

3

4

7

5

0

0

5

5

0

0

5


DMSM

Sendmail 6.0

1: Annually 1: Low

Software

External attacker sendmail hacking External attacker 4: Daily Remote exploit 0: Very low

0

5

9

14


Switch array

0

0

3

3


0

5

6

11

0

0

3

3

0

0

3

3

Zalozni zdroj

Physical

2: Monthly 2: High

Physical



Physical


UPS 0

LNACS

27 /

3

LNSW



4


28 /

42



Abbr.

Name

MTG

Marketing Assets and Risk Scenarios

Abbr.

Name Active Directory

Confidentiality

Integrity

Availability

0

1

1


Total Risk for Marketing: AD


Software


Total Risk Figure

Confidentiality

Integrity

Availability

28

63

103

194

3

1

2

6

3

1

2

6

3

7

12

22


0

0

3

3


0


Physical

2: Monthly 2: High


SM_IS

CRM

Software

Coruption of data due to untrustworthy sources Data from untrustworthy sources 0: Rare Lack of formal process for authorization 1: Low of public available information

LNSRV3 DB1

Physical

3

0

5

2

2

6

3

0

11

8

2

0

2

0

2

2

6

11

19

2

1

2

5


0

0

3

3

DMSW

DMZ Switch


42

2: Monthly 2: High

Physical

0

0

3

3


0

5

6

11

DMCB

0

5

6

11

0

5

9

14


DMZ kabelaz

Physical

0

0

0

0

Physical

4

7

14

25


0

0

2

2


0

0

3

3


0

5

6

11

4

2

3

9

0

1

2

3

0

1

2

3

0

6

8

14

2: Monthly 2: High


Physical


IPHN

IP Telefon

0: Rare 0: Very low

Service


0: Rare 0: Very low

0

1

2

3


2: Monthly 2: High

0

5

6

11

LNINT

Internet to LAN

Intangible

0

0

0

0

ACCS1

Klimatizace

Physical

3

4

9

16


2: Monthly 2: High

LNSRV1 Domain.local

Fax




30 /

42





LNSW 0


0


3

2

3

8

0

2

0

3

3

5

3

LAN Access

Service

0

0

0

LNCB

LAN Kabelaz

Physical

0

0

0

0

LNXM


Software

6

5

0

11

6

5

0

11


4

3

6

13


4

0

0

4


0

3

6

9


Physical

1: Annually 2: High

Physical

3

7

12

22


0

0

3

3


0

5

6

11

3

2

3

8

0

1

2

3

0

1

2

3

2: Monthly 2: High


CELP

Mobilni telefon


DMZ

Intangible

0

0

0

0

RACK1

Physical

0

3

4

7

0

3

4

7


0: Rare 0: Very low

Objekt DMZ


31 /

Physical

1: Annually 1: Low

5

9

14

0

0

3

3


0

5

6

11

0

0

3

3

0

0

3

3

UPS

LNACS


0



Switch array

Zalozni zdroj

2: Monthly 2: High

Physical



Physical

32 /

42



Abbr.

Name


Confidentiality

Integrity

Availability

0

1

1

SLS_SAL Sales Assets and Risk Scenarios Abbr.

Name


Total Risk for Sales: AD

Active Directory

Software


Total Risk Figure

Confidentiality

Integrity

Availability

28

62

101

191

3

1

2

6

3

1

2

6

3

7

12

22


0

0

3

3


0


Physical

2: Monthly 2: High


SM_IS

CRM

Software

Coruption of data due to untrustworthy sources Data from untrustworthy sources 0: Rare Lack of formal process for authorization 1: Low of public available information

LNSRV3 DB1

Physical

3

0

5

2

2

6

3

0

11

8

2

0

2

0

2

2

6

11

19

2

1

2

5


0

0

3

3

DMSW

DMZ Switch


42

2: Monthly 2: High

Physical

0

0

3

3


0

5

6

11

DMCB

0

5

6

11

0

5

9

14


DMZ kabelaz

Physical

0

0

0

0

Physical

4

7

14

25


0

0

2

2


0

0

3

3


0

5

6

11

4

2

3

9

0

1

2

3

0

1

2

3

0

6

8

14

2: Monthly 2: High


Physical


IPHN

IP Telefon

0: Rare 0: Very low

Service


0: Rare 0: Very low

0

1

2

3


2: Monthly 2: High

0

5

6

11

0

SSIF


Information

0

0

0

LNINT

Internet to LAN

Intangible

0

0

0

0

ACCS1

Klimatizace

Physical

3

4

9

16


2: Monthly 2: High

LNSRV1 Domain.local

Fax




34 /

42





0

2

3

5

0

0

3

3



0

0

3

3


0

5

6

11


3

2

3

8

0

LNACS

LAN Access

Service

0

0

0

LNCB

LAN Kabelaz

Physical

0

0

0

0

LNXM


Software

6

5

0

11

6

5

0

11



4

3

6

13


4

0

0

4


0

3

6

9


Physical

1: Annually 2: High

3

7

12

22


Physical

0

0

3

3


0

5

6

11

3

2

3

8

2: Monthly 2: High


DMZ

Objekt DMZ

Intangible

0

0

0

0

RACK1

Physical

0

3

4

7

0

3

4

7

0

5

9

14


LNSW

Switch array


42

1: Annually 1: Low

Physical


SCCT

Zakaznicke smlouvy

Information

0

0

0

0

UPS

Zalozni zdroj

Physical

0

0

3

3

0

0

3

3



2: Monthly 2: High

36 /

42



Abbr.

Name


Confidentiality

Integrity

Availability

2

1

2

TOP Management Assets and Risk Scenarios Abbr.

Name


Total Risk for TOP Management: AD

Active Directory

Software



Physical


2: Monthly 2: High


DMSW

DMZ Switch

Physical


DMCB

2: Monthly 2: High

Total Risk Figure

Confidentiality

Integrity

Availability

26

55

92

173

3

1

2

6

3

1

2

6

3

7

12

22

0

0

3

3

0

5

6

11

3

2

3

8

0

5

9

14

0

0

3

3

0

5

6

11

0

0

0

0

LNSRV1 Domain.local

Physical

4

7

14

25

42

0

2

2


0

0

3

3


0

5

6

11

4

2

3

9

0

1

2

3

0

1

2

3

0

6

8

14

2: Monthly 2: High



0: Rare 0: Very low

IP Telefon

Service


0: Rare 0: Very low

0

1

2

3


2: Monthly 2: High

0

5

6

11

SEIF


Information

0

0

0

0

LNINT

Internet to LAN

Intangible

0

0

0

0

INTR

Intranet spoleþnosti

Service

0

0

0

0

ACCS1

Klimatizace

Physical

3

4

9

16


0

2

3

5


0

0

3

3


3

2

3

8

0

LNACS

LAN Access

Service

0

0

0

LNCB

LAN Kabelaz

Physical

0

0

0

0

LNXM


Software

6

5

0

11


Physical


IPHN

Physical

37 /

0

Fax

DMZ kabelaz



38 /

42





Physical


6

5

0

11

4

3

6

13

4


0


Physical

Name

WHOST

WEB hosting Assets and Risk Scenarios

Eavesdropping due to unprotected traffic Eavesdropping 0: Rare Unprotected sensitive traffic 2: High 1: Annually 2: High

Abbr.

0

0

4

Abbr.

Name

6

9

Integrity

Availability

1

1

1


Total Risk Figure

Confidentiality

Integrity

Availability

24

58

112

194

2

6

11

19


2

1

2

5

Total Risk for WEB hosting: 3

Confidentiality

LNSRV2 APP1

Physical

3

7

12

22


0

0

3

3


0

0

3

3


0

5

6

11


0

5

6

11

3

1

2

6

3

2

3

8

3

1

2

6

2: Monthly 2: High


CELP

Mobilni telefon


DMZ


AD

0

1

2

3

0

1

2

3

Objekt DMZ

Intangible

0

0

0

0

RACK1

Physical

0

3

4

7

0

3

4

7

0

5

9

14


0

0

3

3


0

5

6

11

0

0

3

3

0

0

3

3


LNSW

UPS

Switch array

Zalozni zdroj

1: Annually 1: Low

Physical

2: Monthly 2: High

Physical


Active Directory

39 /

42



3

7

12

22


0

0

3

3


0

5

6

11

Physical

3

2

3

8

2: Monthly 2: High


LNSRV3 DB1

2

6

11

19


2

1

2

5


0

0

3

3


0

5

6

11

0

5

9

14

40 /

42

Physical

DMZ Switch


Software


DMSW


2: Monthly 2: High

2: Monthly 2: High

Physical





NET_CONMain Internet Connection 0

0

3

3


0

5

6

11

DMCB

2: Monthly 2: High

DMZ kabelaz

Physical

0

0

0

0

LNSRV1 Domain.local

Physical

4

7

14

25


0

0

2

2


0


0

2: Monthly 2: High


IT_IS


Software

0

5

3

6

3

11

4

2

3

9

0

4

10

14


2: Monthly 1: Low

0

0

5

5


2: Monthly 1: Low

0

4

5

9

3

4

9

16


0

2

3

5


0

0

3

3


3

2

3

8

ACCS1

Klimatizace

Physical

LNACS

LAN Access

Service

0

0

0

0

LNCB

LAN Kabelaz

Physical

0

0

0

0


42


4

3

6

13


4

0

0

4


0

3

6

9


1: Annually 2: High

3

7

12

22


0

0

3

3


0

5

6

11

Physical

3

2

3

8

2: Monthly 2: High


DMZ

Objekt DMZ

Intangible

0

0

0

0

RACK1

Physical

0

3

4

7

0

3

4

7


LNSW

Switch array

1: Annually 1: Low

0

5

9

14


0

0

3

3


0

5

6

11

Physical

2: Monthly 2: High

WEBC


Information

0

0

0

0

UPS

Zalozni zdroj

Physical

0

0

3

3

0

0

3

3



Physical

42 /

42


10.9 Příloha 9 – Verinice ISM Statement of Applicability Tato příloha obsahuje Verinice report Prohlášení o aplikovatelnosti.


98

created with

Statement of Applicability Abbr.

Name

Implemented Yes

4.2.1 a)

4.2 Risk Assessment according to the selected method 4.2.1 a) Scope Document 4.2.1 b) ISMS Policy 4.2.1 d) 1 Inventory of Assets 4.2.1 j) Statement of Applicability 5.1 c) Definition of Roles and Responsibilities within the ISMS 5.1.1 Information Security policy document 5.1.2 Review and evaluation 5.1; 5.2.1 Documentation of Management Commitment / Provisioning of Ressources (i.e. Security Budget) 6.1.1 Management commitment to information security 6.1.3 Allocation of information security responsibilities 7.1.1 Inventory of assets

Yes

Yes

Yes

Yes

Yes

No

4.2.1 b)

5.1 c)

5.2.1

1 / 2

Objective

Selected No

Yes

Urþit rozsahu ISMS

Yes

Yes

Urþít cíle bezpeþnostní politiky orgaizace

Yes

Yes

Yes

Partly Yes

Reason for Selection no value BR: business requirement BR: business requirement BR: business requirement BR: business requirement no value

BR: business requirement

No

no value

Yajistit podporu No vrcholného managementu

no value

Yes

Yes

LR: legal requirements

Yes

Yes


Yes

Yes

7.1.2 Ownership of assets 7.2.2 Information labelling and handling 8.1.3 Terms and conditions of employment 9.1.1 Physical security perimeter

Yes

Yes

Yes

Yes

Yes

Yes

BR: business requirement BR: business requirement BR: business requirement BR: business requirement

9.1.2 Physical entry controls

Yes

9.1.3 Securing offices, rooms and facilities

Yes

9.2.1 Equipment siting and protection 10.5.1 Information backup A.7.2.2 Information Labeling and Handling, see 4.3.2 f) A.10.5.1 Backup-Up Policy, see 4.3.1

Yes

A.10.7.2 Disposal of media A.12.3.2 Key Management

Yes

Yes

Yes


No

no value

No

no value

No

no value

Yes

No

no value

Yes

Yes


Yes


Yes

CO: contractual obligations BR: business requirement

Yes

Yes

Zamezit vniknuti neporavnenych osob do kancelari firmy Zamezit vniknuti neporavnenych osob do kancelari firmy Zamezit vniknuti neporavnenych osob do kancelari firmy Zamezit zcizeni aktiv

Dosáhnout co nejrychlejšího obnovení sytému do funkþního stavu Bezpeþně zlikvidovat citlivá data zákazníka.

Yes

printed on 8.8.2013 8:12

created with

Statement of Applicability Abbr.

Name

Implemented

CCHW_IBC Backup Internert No connection CCNT_WPO Cust WiFi through portal Yes

CCPH_DLK Door locking

Partly

CCNT_FW

Yes

Firewall

CCBS_ISMS ISMS Implementation

Partly

CCNT_VPN Only encrypted connections over VPN

Yes

CCHW_SVC Regular mainrtanace and HW monitoring CCBS_4ER Rule of 4 eyes

Yes

CCHW_SDWSafe shutdown

Yes

UPS

Yes

2 / 2

Short time battery backup

Partly

Objective

Selected

Dosahnout maximalni mozne dostupnosti. Zamezit zakaznikum v pristupu k citlivym firemnim informacim prez zakaznickou WiFi Fyzicky zabránit pĜéstupu do citlivý premis Zabranit nezadoucim prunikum do LAN ci DMZ Zavádění ISMS v odpovídajícím rozsahu s odpovídaící dokumentací. Efektivne zabezpecit a ridit pristup zveci do firemni site Dosahnou minimalni poruchovosti HW Dosáhnout integrity DB kontrolovaným zadáváním údajů Udržení integrity dat

Yes Yes

Yes Yes Yes

Reason for Selection RRA: result of risk assessment BR: business requirement RRA: result of risk assessment BR: business requirement BR: business requirement

Yes


Yes

RRA: result of risk assessment BR: business requirement

Yes Yes

Udržet servery v běhu pĜ Yes i krátkodobém výpadku proudu.

BR: business requirement BR: business requirement

printed on 8.8.2013 8:12

10.10 Příloha 10 – Verinice Risk Treatment report Tato příloha obsahuje Verinice report Zvládání rizik.


99

Information Security Risk Treatment Scope / Client:

Blue Pecari

Date:

8. srpna 2013

Information Security Risk Treatment

Risk Matrix: Confidentiality 1XPEHURILGHQWLILHG5LVNV

Information Security Risk Treatment Overview: Risk Treatment Methods

Controls have been selected to reduce, retain, avoid or transfer information security risks (see ISO / IEC 27005) Reduction The level of risk should be reduced so that the residual risk can be reassessed as acceptable. Avoidance When identified risks are considered too high or the cost of implementing other treatment options exceed the benefits, the risk can be avoided completely, i.e. by withdrawing from an activity completely. Transfer The risk can be transferred to another party, i.e. by insuring the consequences or by sub-contracting a partner to monitor the information system and take appropriate action. Acceptance The decision of retaining the risk without further action. The decision to accept the risks and responsibilities for the decision has been formally recorded by the asset owner (see ISO 27001 Ch. 4.2.1 h).

Risk Acceptance Criteria Category Confidentiality Integrity Availability

Tolerable risk level 5 5 5

Risk acceptance criteria shown on the left are defined in the risk assessment policy and approved by senior management.

Impact Probability 0 1 2 3 4 5 6 7 8

5HPDLQLQJ5LVNV:LWK,PSOHPHQWHG&RQWUROV

0

1

2

3

0 0 0 0 0 0 0 0 0

0 0 0 0 1 0 0 0 0

11 27 9 1 9 0 0 0 0

9 9 0 0 0 0 0 0 0

1

2

3

0 0 0 0 0 0 0 0 0

1 0 0 0 0 0 0 0 0

56 0 0 1 0 0 0 0 0

18 0 0 0 0 0 0 0 0

Risk Matrix: Integrity 1XPEHURILGHQWLILHG5LVNV Impact Probability 0 1 2 3 4 5 6 7 8


0

1

2

0 0 0 9 0 0 0 0 0

36 47 9 6 71 0 0 0 0

0 0 0 0 0 0 0 0 0


Scope: Date printed: 1 / 121


Confidential

0


Confidentiality: property that information is not made available or disclosed to unauthorized individuals, entities, or processes Integrity: property of protecting the accuracy and completeness of assets Availability: property of information being accessible and usable upon demand by an authorized entity (ISO/IEC 27000:2009)

Blue Pecari 8.8.2013 12:24 (refer to the electronic document for the current release)



0

1

2

67 9 0 9 0 0 0 0 0

76 2 9 6 0 0 0 0 0

0 0 0 0 0 0 0 0 0

Blue Pecari 8.8.2013 12:24 (refer to the electronic document for the current release) Confidential



Business Impact and Risk Classification

Risk Matrix: Availability

Business Impact Classification

1XPEHURILGHQWLILHG5LVNV Impact Probability 0 1 2 3 4 5 6 7 8


0

1

2

3

4

0 0 0 0 0 0 0 0 0

0 4 0 2 2 0 0 0 0

45 119 9 8 62 0 0 0 0

0 0 0 9 0 0 0 0 0

0 0 0 0 0 0 0 0 0


0

1

2

3

4

18 9 0 0 0 0 0 0 0

6 0 0 2 0 0 0 0 0

199 0 9 8 0 0 0 0 0

0 0 0 9 0 0 0 0 0

0 0 0 0 0 0 0 0 0


Confidentiality

0 Public: No special requirements. 1 External Use: Information for internal use and customers or partners. Possible financial loss, breach of legal requirements with financial penalties is possible. 2 Internal Use: Information for internal use only. Financial loss is higher. Breach of legal requirements could lead to high financial penalties. Personal injury could result by breach of confidentiality.

Integrity

3 Sensitive: Possible financial loss much higher. Breach of legal requirements could lead to prosecution and a prison sentence. Information loss could lead to serious injury or loss of life. 0 None: Possible financial loss below 0 1 Normal: Possible financial loss between 0 and 24kd. Breach of legal requirements could lead to financial penalties. Breach could result in personal injury.

Availability

2 High: Possible financial loss higher than 24k/d. Breach of legal requirements could lead to prison sentence. Breach could result in personal injury or death. 0 Basic: Possible financial due to downtime loss below is low. Recovery time objective (RTO) is higher than one week. 1 Normal: Possible financial loss due to downtime between 12k/d and 24k./d. RTO is lower than week. Downtime could impair public image 2 High: Possible financial loss due to downtime between 24k/d and 60k/d. RTO is lower week. Downtime could impair public image or client relationship. 3 Very high: Possible financial loss due to downtime between 60k/d and 80k/d. RTO is lower than week. Downtime could seriously impair public image or end client relationship. 4 Exceptional: Special agreements with individual clients which do not fall in one of the above categories.

Threat Classification Threats are classified by the likelihood of their ocurrence as follows: 0 Rare 1 Annually 2 Monthly 3 Weekly 4 Daily 5 Hourly Vulnerability Classification 0 Very low: Exploitation of the vulnerability requires a directed attack, highly special knowledge or skill and ressources that are not ordinarily available to an attacker. Rare Natural events or technical failures of a large scale could trigger the vulnerability. 1 Low: Exploitation of the vulnerability requires a directed attack by a determined attacker. Natural events or technical failures could affect the vulnerability. 2 High: Exploitation of the vulnerability could occur by an automated attack (i.e. scripted attacks) or any attacker even with limited capabilities. Natural events or technical failures could affect the vulnerability. 3 Very high: Exploitation of the vulnerability could occur randomly and is highly likely. Even someone without bad intentions could trigger the vulnerability inadvertently. Common events would almost certainly trigger the vulnerability.







Detailed Risk Treatment

Abbr.

Name

ACCT

Accounting Assets and Risk Scenarios

Abbr.

Name

Active Directory

Type

Software

Controls affecting asset Scenario Abuse of rights due wrong allocation of rights Abuse of rights Wrong allocation of access rights Controls affecting scenario

Implemented

-

Availability

2

1

1

Confidentiality

Integrity

Availability

45

78

127

3

Total Risk Figure

1

2

250

6

Implemented Likelihood 0 3

1

2

3

1

2

Effectiveness

Residual Risk Treatment of residual risk*

Integrity

Remaining Risk With Controls in Place

Total Risk for Accounting:

AD

Confidentiality

6

Explanation Zbytkove riziko tohoto informacniho aktiva bylo zodpovednym majitelem aktiva shledano akceptovatelnym do dalsiho cyklu ISMS.

*if above acceptance criteria




Physical

Controls affecting asset Safe shutdown

Implemented Yes


2

0

0

6

2

8

0



Scenario Equipment failure due insufficient maintanance and lack of monitoring HW Equipment failure Insufficient maintanace and/or HW monitoring Controls affecting scenario Regular mainrtanace and HW monitoring


Likelihood 1

Scenario 0

Implemented

Effectiveness

Yes

6

Controls affecting scenario Short time battery backup

Implemented Yes

0

Theft of equipment due inadequate access control to building Theft of equipment Lack of physical protection of the building,doors and windows Controls affecting scenario 9.1.2 Physical entry controls 9.2.1 Equipment siting and protection 9.1.1 Physical security perimeter 9.1.3 Securing offices, rooms and facilities

0

0

2

5

2

6

Controls affecting scenario Regular mainrtanace and HW monitoring

8

0

0

2

3

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

2

3


Treatment of residual risk*

Likelihood 4

Implemented

Effectiveness

Yes

8

-

2

2

0

2

0

0

3

0

0

2

0

5

6

0

0

2

4

2

2



2

0

2

4 DMSW

-

6

Residual Risk


Effectiveness

Yes


1

Likelihood 1

Implemented

Scenario

2

Effectiveness

Residual Risk

2

Likelihood 1

Implemented

Scenario Equipment failure due insufficient maintanance and lack of monitoring HW Equipment failure Insufficient maintanace and/or HW monitoring

Effectiveness

Residual Risk Scenario

Implemented

Likelihood 0

Residual Risk

Likelihood 4


3

Controls affecting scenario


0

Abuse of rights due unlockded server Abuse of rights No 'logout' when leaving the workstation


DMZ Switch Controls affecting asset

Physical

0

1

4

5

Implemented


LNSRV3 DB1

Physical


Implemented Yes


2

0

0

6

2

8

0







Likelihood 1

Scenario 0

Implemented

Effectiveness

Yes

6


0

Implemented

Effectiveness

Yes

8

-

0

0

2

5

2


6



Implemented

0

1

2



DMZ kabelaz

Physical

0

0

0

Effectiveness

Yes

6

Likelihood 4

Short time power loss Short time power loss Unstable power grid Implemented

Effectiveness

Yes


-

2

0

0

2

0

0

3

0

0

2

0

5

6

0

0

2

4

2

3

3

0

2

2

8

2

0 Residual Risk

Controls affecting asset

0

Likelihood 1

Implemented

Scenario

0

Effectiveness

Residual Risk

3


DMCB

Likelihood 0

Residual Risk

Likelihood 4


3



0

Breach of IS maintability due inadequate SLA Breach of information system maintainability Lack or insufficient Service Level Agreement

2

Implemented



LNSRV1 Domain.local

Physical


Implemented Yes

3

0

0

8

2

Scenario Theft of equipment due inadequate access control to building Theft of equipment Lack of physical protection of the building,doors and windows Controls affecting scenario 9.1.2 Physical entry controls 9.2.1 Equipment siting and protection 9.1.1 Physical security perimeter 9.1.3 Securing offices, rooms and facilities

11

0

Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6


-

Likelihood 1

5








Fax

Physical


0

1

2


3

-

Explanation -

*if above acceptance criteria Controls affecting asset

Implemented

Scenario SPOF Telco Failure of telecommunication equipment Single point of failure Controls affecting scenario

Implemented

Likelihood 0

0

-

LNINT

2

Internet to LAN Controls affecting asset

Effectiveness



1

0

1

2

3


-

Intangible

0

0

0

0

1

1

4

Implemented

Explanation -


ACCS1

Klimatizace

Physical

2

*if above acceptance criteria Controls affecting asset Regular mainrtanace and HW monitoring

IPHN

IP Telefon

Service


SPOF Telco Failure of telecommunication equipment Single point of failure Implemented

Likelihood 0

Scenario

Likelihood 4


Effectiveness

Yes

8


4

1

3

6

-

0

1

2

0

1

2

0

5

6

0

1

2

Effectiveness

Residual Risk


2

0

Implemented

Scenario


0

Implemented Yes

3

3



SSIF

Informace o zakaznicich Controls affecting asset


Information

0

0

0

0

Implemented





Scenario AC Failure due to lack of periodic checks Failure of air-conditioning or water supply system Lack of periodic replacement schemes Controls affecting scenario

Implemented


Likelihood 1

LNCB 0

LAN Kabelaz

Physical

0

0

0

0

1

0

3

3 Controls affecting asset


Effectiveness

Implemented

-

Explanation -


Residual Risk Scenario Equipment failure due insufficient maintanance and lack of monitoring HW Equipment failure Insufficient maintanace and/or HW monitoring Controls affecting scenario Regular mainrtanace and HW monitoring

0

Controls affecting scenario 9.1.2 Physical entry controls 9.2.1 Equipment siting and protection 9.1.1 Physical security perimeter 9.1.3 Securing offices, rooms and facilities

2

0

MS Exchange server 2010 Controls affecting asset

3

Yes

6

External attacker on employee wifi External attacker WiFi exploit

0

0

0

0

Controls affecting scenario Firewall Cust WiFi through portal

Likelihood 1 2

Yes

5

Yes

5

Yes

6

Yes

6

Implemented

Effectiveness

Yes Yes

7 5

-

6

5

0

2

1

0

3



NET_CONMain Internet Connection Controls affecting asset

Residual Risk -

Likelihood 4

3

Treatment of residual risk* Effectiveness

2

Residual Risk 3

Implemented

Software Implemented

Scenario Effectiveness

Theft of equipment due inadequate access control to building Theft of equipment Lack of physical protection of the building,doors and windows

1

LNXM 0

Implemented

Scenario

1

Likelihood 1

Residual Risk


2

2

0

0

Physical

2

3

6

11

Implemented

2



LNACS

LAN Access Controls affecting asset


-

Service

0

0

0

0

Implemented

Explanation -







Scenario Eavesdropping due to unprotected traffic Eavesdropping Unprotected sensitive traffic Controls affecting scenario Only encrypted connections over VPN


Likelihood 2

Scenario 4

Implemented

Effectiveness

Yes

8

Loss of Internet connection Loss of Internet connection Unstable service Controls affecting scenario Backup Internert connection

Likelihood 3

Implemented

Effectiveness

No

8

-

2

0

0

0

3

6

2

0

3

9



Physical

2

2

6

Effectiveness

Yes

6

Likelihood 4




Implemented

Scenario

6

Implemented

Implemented

Effectiveness

Yes

8

Residual Risk Scenario Theft of equipment due inadequate access control to building Theft of equipment Lack of physical protection of the building,doors and windows Controls affecting scenario 9.1.2 Physical entry controls 9.2.1 Equipment siting and protection 9.1.1 Physical security perimeter 9.1.3 Securing offices, rooms and facilities

10

Likelihood 1

Residual Risk



Equipment failure due insufficient maintanance and lack of monitoring HW Equipment failure Insufficient maintanace and/or HW monitoring

0



0

Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

-

0

3

0

0

2

0

5

6

0

1

2

3

2

3

2

1

2

2

3

Likelihood 1


0

5



DMZ

Objekt DMZ Controls affecting asset


-

Intangible

0

0

0

0

Implemented

Explanation -







Information Security Risk Treatment Controls affecting asset

RACK1

Physical

0

3

4

Treatment of residual risk* Controls affecting asset

Implemented

Scenario High summer temperatures Meteorological phenomenon Susceptibility to temperature variations Controls affecting scenario

Implemented

-

0

3

AccDoc Ucetni dokumenty Effectiveness

0

3

4

7

Physical


0


Effectiveness

Yes

6

Residual Risk

Theft of media or documen due lack of physical protection Theft of media or documents Lack of physical protection of the building,doors and windows

3

0

0

2

0

5

6

2

Implemented

Effectiveness

Yes

8

0

1

2

3



Controls affecting scenario 9.1.2 Physical entry controls 9.1.3 Securing offices, rooms and facilities 9.1.1 Physical security perimeter

Intangible

0

0

0

Controls affecting scenario Door locking 9.1.2 Physical entry controls 9.1.3 Securing offices, rooms and facilities 9.1.1 Physical security perimeter

Effectiveness

Yes

5

Yes

6

Yes

6



21

5

4

4

5

4

4

6

5

5

2

1

1

6

5

5

2

1

1

13

4

Likelihood 4

Implemented

Effectiveness

Partly

5

Yes

5

Yes

6

Yes

6

Residual Risk

0

6

Likelihood 4

Implemented

Theft of media or document due careles physical access Theft of media or documents Inadequate or careless use of physical access control to buildings and rooms


Tiskova sluzba

5

Scenario

Residual Risk

LANPR

Effectiveness

Partly

Residual Risk

Likelihood 4


0

6

Likelihood 3

Implemented

Scenario

0

Implemented

Scenario

-

Theft of document due unsupervised work by external subject Theft of media or documents Unsupervised work by outside or cleaning staff

5

Likelihood 1

Residual Risk


4

Implemented

Scenario


1

9

Implemented

Scenario

Controls affecting scenario Door locking

Switch array

Physical




Explanation -

4


LNSW

-


Likelihood 2


Implemented

7

4


Information Security Risk Treatment Treatment of residual risk*

-




AC_IS

Ucetni informacni system Controls affecting asset

Software

0

4

4


8

Implemented

Effectiveness

Yes

6

Corruption of data due wrong app settings Corruption of data Applying application programs to the wrong data in terms of time

Residual Risk

Likelihood 3 0

Implemented

Effectiveness

Partly

8

Residual Risk

4

4


-

2

0

0

1

1


0

4

4

8

LXPO

Xerox Printer Obchod Controls affecting asset

-



Xerox Printer IT

Physical


Equipment failure due insufficient maintanance and lack of monitoring HW Equipment failure Insufficient maintanace and/or HW monitoring Controls affecting scenario Regular mainrtanace and HW monitoring

0

0

1


Likelihood 1 0

Yes

6

1

1

Likelihood 1

Implemented

Effectiveness

Yes

6

0

0

2

0

0

1

1

-



Residual Risk

0

0

1

1

LXPAC

Xerox Printer Ucetni Controls affecting asset

-

0

2


0

Residual Risk 0

Implemented

Physical Implemented

Scenario


1

Implemented

Scenario


0


Controls affecting scenario Rule of 4 eyes

LXPIT

0

Implemented

Scenario


Likelihood 1

Physical

0

0

1

1

Implemented



LXPMG Xerox Printer Management Controls affecting asset


Physical

0

0

1

1

Implemented







Likelihood 1 0

2

Name

CSUPP

Customer support Assets and Risk Scenarios

Implemented

Effectiveness

Yes

6

Abbr.

Name

-

0

0

1


Type

LNSRV2 APP1

Physical


Implemented Yes

Scenario

Zakaznicke smlouvy

Information



0

0

0

Abuse of rights due wrong allocation of rights Abuse of rights Wrong allocation of access rights

0

Implemented

-


Implemented

2 Total Risk Figure

Confidentiality

Integrity

Availability

30

70

122

222

2

0

6

8

0

2

0

2

1

2

2

0

2

0

0

3

0

0

2

0

5

6

0

0

2

Likelihood 0

Effectiveness


Zalozni zdroj

Physical



0

2

2


Likelihood 1 0

0

3

Effectiveness

Yes

6

Implemented

Effectiveness

Yes

6

Scenario

Likelihood 4


0

0

2

2



Implemented

Effectiveness

Yes

8

Residual Risk



-

4

Likelihood 1

Residual Risk

Implemented

Residual Risk -

0


Implemented

Scenario


Availability

1

Explanation -


UPS

Integrity

1

1


SCCT

Confidentiality


Total Risk for Customer support:


0

Abbr.

2

2








AD

Active Directory

Software


Implemented


3

-

2

Scenario

6



1


2

Effectiveness

Likelihood 1

Implemented

Effectiveness

Yes

6

Residual Risk


1

3

1

2

6



Scenario

Likelihood 4

Short time power loss Short time power loss Unstable power grid Controls affecting scenario Short time battery backup

Implemented

Effectiveness

Yes

8

Residual Risk DMSRV1 BluePecari.com

Physical


Implemented Yes

2

0

6

2

0

3

0

0

2

0

5

6

0

0

2

3

2

3

2

0

2

2

2

8 Scenario

0

0


0


Likelihood 1

Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6


-

4





LNSRV3 DB1

Physical


Implemented Yes


2

0

0

6

2

8

0



Scenario Abuse of rights due unlockded server Abuse of rights No 'logout' when leaving the workstation Controls affecting scenario

Implemented


Likelihood 0

Scenario 2


2

4

Implemented

Effectiveness

Yes

6

0

3

Scenario

Effectiveness 6


Likelihood 4

0

0

2

0

5

6

2

Implemented

Effectiveness

Yes

8


-

Effectiveness

Yes

8

DMCB 0

0

2




3

0

0

2

0

5

6

0

1

2

2

3

DMZ kabelaz

Physical

0

0

0

0

2


DMSW

0



-

0


Implemented


Likelihood 4


Residual Risk


2

Likelihood 1

Residual Risk 0

Yes


0


Likelihood 1

Implemented

Scenario


2

Effectiveness


1


-

Implemented



Physical

0

1

4

5

Implemented


LNSRV1 Domain.local

Physical


Implemented Yes


3

0

0

8

2

11

0



Scenario Breach of IS maintability due inadequate SLA Breach of information system maintainability Lack or insufficient Service Level Agreement Controls affecting scenario

Implemented


Likelihood 0

IPHN 0

0

IP Telefon

Service


0

0

2

2

SPOF Telco Failure of telecommunication equipment Single point of failure Controls affecting scenario


Likelihood 1 0

Effectiveness

Yes

6

Residual Risk


Implemented

Effectiveness

Yes

8

Scenario Theft of equipment due inadequate access control to building Theft of equipment Lack of physical protection of the building,doors and windows

2

0

5

Likelihood 4

Implemented

Effectiveness

Yes

8

Effectiveness 5

Yes

5

Yes

6

Yes

6

-

0

1

2

0

1

2

0

5

6

0

1

2

3

3



0

0

2

4

2

3

2

IT_IS

IT informacni system Controls affecting asset

Scenario


Implemented

Software


3

0

2

5



Implemented

Residual Risk

0

4

10

14

Implemented Likelihood 3

0

0

5

0

0

5

0

4

5

0

4

5

Effectiveness


-

6

6


Yes

4

Effectiveness

Residual Risk

Likelihood 1

Implemented


2



Residual Risk


0

Likelihood 0

Residual Risk

3


0 Likelihood 4


Implemented

Scenario

Implemented

Scenario

0

2

Implemented

Scenario

Effectiveness

Residual Risk

0

2

Likelihood 3

5

Effectiveness

9







-




LNINT



-

Intangible

0

0

0

Controls affecting asset Regular mainrtanace and HW monitoring

Implemented


Physical Implemented Yes

Likelihood 1

2

1

0

1

1

4


0

2

3

0

1

1

0

0

3

0

0

0

3

2

3

2

0

0

Effectiveness

Residual Risk

Implemented

Explanation -

Klimatizace

AC Failure due to lack of periodic checks Failure of air-conditioning or water supply system Lack of periodic replacement schemes Controls affecting scenario

0


ACCS1

Scenario

2

Likelihood 1

Implemented

Effectiveness

Yes

6

3


Likelihood 1

Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6


-

0

2



LNACS



-

Service

0

0

0

0

Implemented

Explanation -







LNCB

LAN Kabelaz

Physical




0

0

0

Scenario

0

Eavesdropping due to unprotected traffic Eavesdropping Unprotected sensitive traffic

Implemented

-

Controls affecting scenario Only encrypted connections over VPN

Explanation -


Likelihood 2

Implemented

Effectiveness

Yes

8

Residual Risk LNXM


Software

2

1

0

External attacker on employee wifi External attacker WiFi exploit Controls affecting scenario Firewall Cust WiFi through portal


Implemented

Scenario

Likelihood 4

Implemented

Effectiveness

Yes Yes

7 5

6

-

0

Controls affecting scenario Backup Internert connection

Likelihood 3

Implemented

Effectiveness

No

8

Residual Risk


5

2

1

0

0

2

0

0

0

3

6

0

3

6

2

3 Scenario


4

0

3



-

9







Physical

2

3

6


11

Physical

2

2

6

10

Implemented

Implemented







Likelihood 1

Scenario 0

Effectiveness

Yes

6


0

Effectiveness

Yes

8

0

2

2


-

0

1

2

0

1

2

Effectiveness

3



Likelihood 4

Implemented

Implemented

Likelihood 0

Residual Risk

Residual Risk


3


Implemented

Scenario

0


0

5

6

DMZ

Objekt DMZ

Intangible


Residual Risk

0

1

2

3


-

0

0

0

0

3

4

7

Implemented

Explanation -

*if above acceptance criteria Scenario

Likelihood Theft of equipment due inadequate 1 access control to building Theft of equipment Lack of physical protection of the building,doors and windows Controls affecting scenario 9.1.2 Physical entry controls 9.2.1 Equipment siting and protection 9.1.1 Physical security perimeter 9.1.3 Securing offices, rooms and facilities

Implemented

3

2

3

RACK1 Controls affecting asset

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

Physical


Implemented

0



-

2

1

2

3

4

0

3

4

Effectiveness

Residual Risk Residual Risk

0

7

5



-




LNSW CELP

Mobilni telefon

Physical

0

1

2

Switch array Controls affecting asset



Physical

0

1

4

5

3 Implemented

Implemented






Information Security Risk Treatment Abbr.

Likelihood 1 0

Implemented

Effectiveness

Yes

6

2

0

5

Name

Type

Active Directory

6

Software

Controls affecting asset Scenario

Implemented

Effectiveness

Yes

8


Residual Risk -

0

1

Availability

0

0 Total Risk Figure

Confidentiality

Integrity

Availability

26

55

92

173

2 AD

Likelihood 4


0

Integrity

0


Total Risk for HR:

Scenario


3

Abbr.

0

Confidentiality

HR Assets and Risk Scenarios

Residual Risk


0

Name

2

3




Implemented

3

-

2

6


1

2

3

1

2

Effectiveness


1

6



UPS

Zalozni zdroj

Physical



-

2

2

Likelihood 1

Implemented

Effectiveness

Yes

6


0

Implemented

Scenario


0

0

0

3

0

0

2


Physical


Implemented Yes

2

0

0

6

2

8

0

2










Likelihood 1

Scenario 0

Implemented

Effectiveness

Yes

6

Likelihood 4


Implemented

Effectiveness

Yes

8


0

2

0

5

6

2

0

0

2

2

Likelihood 1 2

Likelihood 4

Implemented

Effectiveness

Yes

8


3

-

0

0

3

0

0

2

0

5

6

0

1

2

2

3


3 *if above acceptance criteria

Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

DMCB

DMZ kabelaz Controls affecting asset


-

Physical

0

0

0

0

Implemented



-

2

0

2

4




6



DMSW

Effectiveness

Yes

Residual Risk



0

Likelihood 1

Implemented

Scenario


3



0


Physical

0

1

4

LNSRV1 Domain.local

Physical


Implemented Yes

3

0

0

8

2

11

0

5

Implemented






Implemented


Likelihood 0

Fax 0

0

Physical


0

0

2

2



Likelihood 1 0

Effectiveness

Yes

6

Residual Risk Likelihood 4


Implemented

-

Effectiveness

Yes

8

Residual Risk

3

0

1

2

0

1

2

Effectiveness

3


0

0

2

0

5

6

2

IPHN

IP Telefon

Service



0

2

0

2

4

6

Implemented


0

Implemented

Likelihood 0

0

1

2

0

1

2

0

5

6

0

1

2

Effectiveness

2 Residual Risk

Likelihood Theft of equipment due inadequate 1 access control to building Theft of equipment Lack of physical protection of the building,doors and windows

2


Scenario

Implemented

Likelihood 0

Residual Risk

3


Implemented

Scenario

0

1

Implemented

Scenario

Effectiveness

Residual Risk

0

2

3

Scenario


Implemented

Scenario 4

2

3


Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

Likelihood 4


Effectiveness

Yes

8


-

3




-

3

0

2

5




SEIF

Informace o zamestnancich Controls affecting asset



Information

0

0

0

0

Implemented



-


Explanation -

Scenario AC Failure due to lack of periodic checks Failure of air-conditioning or water supply system Lack of periodic replacement schemes


LNINT



-

Intangible

0

0

0


0

Implemented

0

2

3

0

1

1

0

0

3

0

0

0

3

2

3

2

0

0

Effectiveness

Residual Risk

2

Explanation Scenario


ACCS1

Implemented

Likelihood 1

Klimatizace



2

1

0

1

1


4


3

Likelihood 1

Implemented

Effectiveness

Yes

6


Likelihood 1

Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6


-

0

2



LNACS



-

Service

0

0

0

0

Implemented

Explanation -







LNCB

LAN Kabelaz

Physical




0

0

0

Scenario

0


Implemented

-


Explanation -


Likelihood 2

Implemented

Effectiveness

Yes

8

Residual Risk LNXM


Software

2

1

0



Implemented

Scenario

Likelihood 4

Implemented

Effectiveness

Yes Yes

7 5

6

-

0


Likelihood 3

Implemented

Effectiveness

No

8

Residual Risk


5

2

1

0

0

2

0

0

0

3

6

0

3

6

2

3 Scenario


4

0

3



-

9







Physical

2

3

6


11

Physical

2

2

6

10

Implemented

Implemented







Likelihood 1

Scenario 0

Effectiveness

Yes

6


0

Effectiveness

Yes

8

0

2

2


-

0

1

2

0

1

2

Effectiveness

3



Likelihood 4

Implemented

Implemented

Likelihood 0

Residual Risk

Residual Risk


3


Implemented

Scenario

0


0

5

6

DMZ

Objekt DMZ

Intangible


Residual Risk

0

1

2

3


-

0

0

0

0

3

4

7

Implemented

Explanation -



Implemented

3

2

3


Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

Physical


Implemented

0



-

2

1

2

3

4

0

3

4

Effectiveness


0

7

5



-




LNSW CELP

Mobilni telefon

Physical

0

1

2




Physical

0

1

4

5

3 Implemented

Implemented







Likelihood 1 0

3

Name

ISUPP

Internal support Assets and Risk Scenarios

Implemented

Effectiveness

Yes

6

Abbr.

Name

Scenario

0 Likelihood 4


Effectiveness

Yes

8

0

0

2

5

0

6

1

-

Integrity

Availability

2

1

2 Total Risk Figure

Confidentiality

Integrity

Availability

30

64

114

208

2 LNSRV2 APP1

Physical


Implemented Yes

2

3

Abuse of rights due wrong allocation of rights Abuse of rights Wrong allocation of access rights Controls affecting scenario


Type

Scenario

Residual Risk

Confidentiality


Total Risk for Internal support:

Residual Risk


0

Abbr.


Implemented

2

0

6

8

0

2

0

2

1

2

2

0

2

0

0

3

0

0

2

0

5

6

0

0

2

Likelihood 0

Effectiveness

Residual Risk

4


UPS

Zalozni zdroj

Physical



-

2

2


Likelihood 1 0

0

Likelihood 1

Implemented

Effectiveness

Yes

6

3

Residual Risk

Implemented

Effectiveness

Yes

6


0

Implemented

Scenario


0


Scenario

Likelihood 4


0

0

2

2



Implemented

Effectiveness

Yes

8

Residual Risk

2

2



-








AD

Active Directory

Software


Implemented


3

-

2

Scenario

6



1


2

Effectiveness

Likelihood 1

Implemented

Effectiveness

Yes

6

Residual Risk


1

3

1

2

6



Scenario

Likelihood 4


Implemented

Effectiveness

Yes

8


Physical


Implemented Yes

2

0

6

2

0

3

0

0

2

0

5

6

0

0

2

3

2

3

2

0

2

2

2

8 Scenario

0

0


0


Likelihood 1

Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6


-

4





LNSRV3 DB1

Physical


Implemented Yes


2

0

0

6

2

8

0




Implemented


Likelihood 0

Scenario 2


2

4

Implemented

Effectiveness

Yes

6

0

3

Scenario

Effectiveness 6


Likelihood 4

0

0

2

0

5

6

2

Implemented

Effectiveness

Yes

8


-

Effectiveness

Yes

8

DMCB 0

0

2




3

0

0

2

0

5

6

0

1

2

2

3

DMZ kabelaz

Physical

0

0

0

0

2


DMSW

0



-

0


Implemented


Likelihood 4


Residual Risk


2

Likelihood 1

Residual Risk 0

Yes


0


Likelihood 1

Implemented

Scenario


2

Effectiveness


1


-

Implemented



Physical

0

1

4

5

Implemented


LNSRV1 Domain.local

Physical


Implemented Yes


3

0

0

8

2

11

0




Implemented


Likelihood 0

IT_IS 0

0


Scenario

Effectiveness

Residual Risk

0

0

2

2

Immature SW malfunction Software malfunction Immature or new software Controls affecting scenario


Likelihood 1 0

0

Implemented

Effectiveness

Yes

6

Residual Risk

Not tested SW malfunction Software malfunction No or insufficient software testing Controls affecting scenario

0

0

0

Likelihood 4


Implemented

Effectiveness

Yes

8



-

5

14

2

Implemented

0

0

5

0

0

5

Likelihood 3

0

4

5

0

4

5

5

Effectiveness

2


6

-

9



0

0

2

2

LNINT


Likelihood 1 4

2


3

-

Intangible

0

0

0

0

1

1

4

Implemented

Explanation -


Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

Residual Risk

0

10

Effectiveness


4


Residual Risk

3 Scenario

Implemented

Software

2

ACCS1

Klimatizace


3

0

2


2

0

1

3

5









Implemented


Likelihood 1

LNCB 0

LAN Kabelaz

Physical

0

0

0

0

1

0

3



Effectiveness

Implemented

-

Explanation -



0


2

0

MS Exchange server 2010 Controls affecting asset

3

Yes

6

External attacker on employee wifi External attacker WiFi exploit

0

0

0

0

Controls affecting scenario Firewall Cust WiFi through portal

Likelihood 1 2

Yes

5

Yes

5

Yes

6

Yes

6

Implemented

Effectiveness

Yes Yes

7 5

-

6

5

0

2

1

0

3




Residual Risk -

Likelihood 4

3


2

Residual Risk 3

Implemented

Software Implemented

Scenario Effectiveness


1

LNXM 0

Implemented

Scenario

1

Likelihood 1

Residual Risk


2

2

0

0

Physical

2

3

6

11

Implemented

2



LNACS



-

Service

0

0

0

0

Implemented

Explanation -









Likelihood 2

Scenario 4

Implemented

Effectiveness

Yes

8


Likelihood 3

Implemented

Effectiveness

No

8

-

2

0

0

0

3

6

2

0

3

9



Physical

2

2

6

Effectiveness

Yes

6

Likelihood 4




Implemented

Scenario

6

Implemented

Implemented

Effectiveness

Yes

8


10

Likelihood 1

Residual Risk




0



0

Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

-

0

3

0

0

2

0

5

6

0

1

2

3

2

3

2

1

2

2

3

Likelihood 1


0

5



CELP

Mobilni telefon Controls affecting asset




Physical

0

1

2

3

Implemented




Implemented


Likelihood 0

Scenario

-

1

2

0

1

2


Effectiveness


0

3




Implemented

Effectiveness

Yes

6


Likelihood 4


DMZ

Objekt DMZ

Intangible



-

0

0

0

0


Implemented

Likelihood 1

Explanation -

Implemented

Effectiveness

Yes

8

Residual Risk

0

0

3

0

0

2

0

5

6

0

1

2

2

3


Treatment of residual risk* RACK1

Physical

Controls affecting asset Scenario High summer temperatures Meteorological phenomenon Susceptibility to temperature variations

0

4



7

Implemented

UPS

Likelihood 2

0

3

Zalozni zdroj

Physical

Implemented

Controls affecting asset Effectiveness

Residual Risk -

0

0

0

2

2

4 Implemented

Scenario



3

-

3

4

7



Likelihood 1

Implemented

Effectiveness

Yes

6

0

0

3

0

0

2


Residual Risk LNSW



Physical

0

1

4

5


Implemented

-

2







Name

MHOST

Mail hosting

Information Security Risk Treatment Confidentiality

Integrity

Availability

1

1

2

AD

Active Directory

Software


Assets and Risk Scenarios Abbr.

Name

Total Risk Figure

Remaining Risk With Controls in Place Type

Total Risk for Mail hosting:

Confidentiality

Integrity

Availability

29

58

112

199

Scenario Abuse of rights due wrong allocation of rights Abuse of rights Wrong allocation of access rights Controls affecting scenario

LNSRV2 APP1

Physical


Implemented Yes

Scenario Abuse of rights due wrong allocation of rights Abuse of rights Wrong allocation of access rights Controls affecting scenario

Implemented


Yes

6

Residual Risk


Likelihood 4

Implemented

Effectiveness

Yes

8


-

8

0

2

0

2

1

2

-

2

6


1

2

3

1

2

Effectiveness


1

6



2

0

2

0

0

3

0

0

2

0

5

6

0

0

2

4


Physical


Implemented Yes

2

0

0

6

2

8

0

Likelihood 1

Effectiveness


6

Effectiveness

Implemented

Scenario

0

Likelihood 0


2

Implemented

3

2

2










Likelihood 1

Scenario 0

Implemented

Effectiveness

Yes

6


0

Implemented

Effectiveness

Yes

8


0

0

2

5

2

0


6

0

2

3

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

2

3



Likelihood 4

Implemented

Effectiveness

Yes

8

-

2

2

0

2

0

0

3

0

0

2

0

5

6

0

0

2

4

2

2



2

0

2

4 DMSW

-

6

Residual Risk


Effectiveness

Yes


1

Likelihood 1

Implemented

Scenario

2

Effectiveness

Residual Risk

2

Likelihood 1

Implemented

Scenario



Implemented

Likelihood 0

Residual Risk

Likelihood 4


3



0

Abuse of rights due unlockded server Abuse of rights No 'logout' when leaving the workstation



Physical

0

1

4

5

Implemented


LNSRV3 DB1

Physical


Implemented Yes


2

0

0

6

2

8

0







Likelihood 1

Scenario 0

Implemented

Effectiveness

Yes

6


0

Implemented

Effectiveness

Yes

8

-

0

0

2

5

2


6



Implemented

0

1

2



DMZ kabelaz

Physical

0

0

0

Effectiveness

Yes

6

Likelihood 4


Effectiveness

Yes


-

2

0

0

2

0

0

3

0

0

2

0

5

6

0

0

2

4

2

3

3

0

2

2

8

2

0 Residual Risk


0

Likelihood 1

Implemented

Scenario

0

Effectiveness

Residual Risk

3


DMCB

Likelihood 0

Residual Risk

Likelihood 4


3



0

Breach of IS maintability due inadequate SLA Breach of information system maintainability Lack or insufficient Service Level Agreement

2

Implemented



LNSRV1 Domain.local

Physical


Implemented Yes

3

0

0

8

2


11

0

Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6


-

Likelihood 1

5








IT_IS


Scenario Immature SW malfunction Software malfunction Immature or new software Controls affecting scenario

Implemented

Software


0

4

10

Scenario

14

AC Failure due to lack of periodic checks Failure of air-conditioning or water supply system Lack of periodic replacement schemes


0

0


5

Implemented

Scenario


Implemented

0 Likelihood 3

0

-

5

4

5

5

Effectiveness

0

4

5


Klimatizace



2

1

0

1

1

3

Effectiveness

Yes

6


4

Implemented

Scenario

Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

-

3

0

1

1

0

0

3

0

0

0

3

2

3

2

0

0

2

0

Likelihood 1


2

Likelihood 1

Residual Risk

9


ACCS1



0

0

Effectiveness

Residual Risk

Effectiveness


Likelihood 1

2



LNACS



-

Service

0

0

0

0

Implemented

Explanation -







LNCB

LAN Kabelaz

Physical




0

0

0

Scenario

0


Implemented

-

Explanation -




2

3

6


Yes

8

6

Likelihood 4

Short time power loss Short time power loss Unstable power grid 4

Effectiveness

Effectiveness

Yes

Scenario

Likelihood 2

Implemented

Implemented

Residual Risk

11

Implemented

Scenario


Physical

0

0


Implemented

Effectiveness

Yes

8


Residual Risk Scenario Loss of Internet connection Loss of Internet connection Unstable service Controls affecting scenario Backup Internert connection

2 Likelihood 3

Implemented

Effectiveness

No

8

-

0

0


Likelihood 1

0

3

0

2

6

3

6

9




Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

-

0

3

0

0

2

0

5

6

0

1

2

3

2

3

2

1

2

2

3

Likelihood 1


0

5



RTR_MRKMikrotik 5.22 Controls affecting asset

Physical

2

2

6

10

Implemented

DMZ

Objekt DMZ Controls affecting asset


-

Intangible

0

0

0

0

Implemented

Explanation -







RACK1

Physical


0

3

4

Scenario

7


Implemented



Implemented

Likelihood 2

0

3


4

Implemented

Effectiveness

Yes

6

Residual Risk 0

3

4



DMSM

Sendmail 6.0

Software


External attacker sendmail hacking External attacker Remote exploit Controls affecting scenario

0

0

Effectiveness

Yes

7

5

0

Likelihood 4


Implemented

Effectiveness

Yes

8

Residual Risk

1 Treatment of residual risk*

Likelihood 4

Implemented

Firewall

1

Implemented

Scenario

-

Zalozni zdroj

Physical

1

0

0




0

2

0

5

6

0

1

2

Physical

0

1

4

2

3

0

0

2

2

Implemented

1 Scenario

LNSW

0



-

3


0

UPS


0

7 Scenario

-

0

Effectiveness


Likelihood 1


5

Implemented

Effectiveness

Yes

6

Residual Risk

Implemented


-

Likelihood 1 0

0

3

0

0

2

2








Name

MTG

Marketing


Assets and Risk Scenarios Abbr.

Name

Confidentiality

Integrity

Availability

0

1

1 Total Risk Figure


Total Risk for Marketing:

Confidentiality

Integrity

Availability

28

63

103

194


Likelihood 1

Implemented

Effectiveness

Yes

6

Residual Risk AD

Active Directory

Software


Implemented

3

1

2

6

Scenario

Likelihood 4



1


2

Implemented

Effectiveness

Yes

8

Residual Risk

Effectiveness Scenario


-

3

1

2

6



DMSRV1 BluePecari.com Controls affecting asset Safe shutdown


2

0

0

6

2

8

0


Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

-

0

3

0

0

2

0

5

6

0

0

2

3

2

3

2

0

2

2

2

Likelihood 1


0

4



SM_IS

CRM

Software





0

2

0

2

Implemented



Scenario Coruption of data due to untrustworthy sources Data from untrustworthy sources Lack of formal process for authorization of public available information Controls affecting scenario

Implemented


Likelihood 1 0

2

0

DMSW 0

2



Effectiveness

Residual Risk

-

0

2

DMZ Switch

Physical


-



LNSRV3 DB1

Physical


Implemented Yes


Implemented


Effectiveness 6


2

0

2

1

2

Effectiveness

Yes

6

Residual Risk

2

0

2

0

0

3

Likelihood 4


4

Implemented

Effectiveness

Yes

8


-

5

Likelihood 1

Implemented

Scenario

DMCB 0

Likelihood 4

Implemented

Effectiveness

Yes

8

Residual Risk

0

4

0

0

3

0

0

2

0

5

6

0

1

2

2

3



Residual Risk


8

Likelihood 1

Yes


6

Effectiveness

Implemented

Scenario

0

Likelihood 0


2


1

Implemented

Scenario


0

0

2

2


Treatment of residual risk* 0

0

5

0

6

2

-

Physical

0

0

0

0

Implemented



2


LNSRV1 Domain.local

Physical


Implemented Yes


3

0

0

8

2

11

0




Implemented


Likelihood 0

Fax 0

0

Physical


0

0

2

2



Likelihood 1 0

Effectiveness

Yes

6



Implemented

-

Effectiveness

Yes

8

Residual Risk

3

0

1

2

0

1

2

Effectiveness

3


0

0

2

0

5

6

2

IPHN

IP Telefon

Service



0

2

0

2

4

6

Implemented


0

Implemented

Likelihood 0

0

1

2

0

1

2

0

5

6

0

1

2

Effectiveness

2 Residual Risk


2


Scenario

Implemented

Likelihood 0

Residual Risk

3


Implemented

Scenario

0

1

Implemented

Scenario

Effectiveness

Residual Risk

0

2

3

Scenario


Implemented

Scenario 4

2

3


Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

Likelihood 4


Effectiveness

Yes

8


-

3




-

3

0

2

5




LNINT




Intangible

0

0

0

0

Implemented



-


Explanation -


-


*if above acceptance criteria *if above acceptance criteria

ACCS1

Klimatizace

Physical

Controls affecting asset Regular mainrtanace and HW monitoring Scenario AC Failure due to lack of periodic checks Failure of air-conditioning or water supply system Lack of periodic replacement schemes Controls affecting scenario

Implemented

Implemented Yes


1

0

1

1

4

LNACS


2

LNCB 0

1

1

Physical


-

3

Yes

5

Yes

5

Yes

6

Yes

6


0

0

0

2


3

Software

2

Likelihood 4

Implemented

Effectiveness

Yes Yes

7 5


-

0

1

0

3

6

5

0

2

1

0

3



2

0

0

Physical

2

3

6

11



0

Implemented

NET_CONMain Internet Connection Residual Risk

0

3

Likelihood 1

Effectiveness

0

Explanation -


0

Implemented

0

Implemented

Scenario

Residual Risk

0

*if above acceptance criteria 0

LNXM

6

0

Explanation -

LAN Kabelaz


Yes

0

Implemented

-


2

Likelihood 1

Effectiveness

Service


3

Effectiveness

Implemented


3

Likelihood 1


2



Implemented





Likelihood 2

Scenario 4

Implemented

Effectiveness

Yes

8


Likelihood 3

Implemented

Effectiveness

No

8

-

2

0

0

0

3

6

2

0

3

9



Physical

2

2

6

Effectiveness

Yes

6

Likelihood 4




Implemented

Scenario

6

Implemented

Implemented

Effectiveness

Yes

8


10

Likelihood 1

Residual Risk




0



0

Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

-

0

3

0

0

2

0

5

6

0

1

2

3

2

3

2

1

2

2

3

Likelihood 1


0

5



CELP

Mobilni telefon Controls affecting asset




Physical

0

1

2

3

Implemented




Implemented


Likelihood 0

Scenario

-

1

2

0

1

2


Effectiveness


0

3




Implemented

Effectiveness

Yes

6


Likelihood 4


DMZ

Objekt DMZ

Intangible



-

0

0

0

0


Implemented

Likelihood 1

Explanation -

Implemented

Effectiveness

Yes

8

Residual Risk

0

0

3

0

0

2

0

5

6

0

1

2

2

3


Treatment of residual risk* RACK1

Physical

Controls affecting asset Scenario High summer temperatures Meteorological phenomenon Susceptibility to temperature variations

0

4



7

Implemented

UPS

Likelihood 2

0

3

Zalozni zdroj

Physical

Implemented

Controls affecting asset Effectiveness

Residual Risk -

0

0

0

2

2

4 Implemented

Scenario



3

-

3

4

7



Likelihood 1

Implemented

Effectiveness

Yes

6

0

0

3

0

0

2


Residual Risk LNSW



Physical

0

1

4

5


Implemented

-

2








Name

Confidentiality

Integrity

Availability

0

1

1

SLS_SAL Sales Assets and Risk Scenarios Abbr.

Name

Total Risk Figure


Total Risk for Sales:

Confidentiality

Integrity

Availability

28

62

101

191


Likelihood 1

Implemented

Effectiveness

Yes

6

Residual Risk AD

Active Directory

Software


Implemented

3

1

2

6

Scenario

Likelihood 4



1


2

Implemented

Effectiveness

Yes

8

Residual Risk

Effectiveness Scenario


-

3

1

2

6



DMSRV1 BluePecari.com Controls affecting asset Safe shutdown


2

0

0

6

2

8

0


Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

-

0

3

0

0

2

0

5

6

0

0

2

3

2

3

2

0

2

2

2

Likelihood 1


0

4



SM_IS

CRM

Software





0

2

0

2

Implemented



Scenario Coruption of data due to untrustworthy sources Data from untrustworthy sources Lack of formal process for authorization of public available information Controls affecting scenario

Implemented


Likelihood 1 0

2

0

DMSW 0

2



Effectiveness

Residual Risk

-

0

2

DMZ Switch

Physical


-



LNSRV3 DB1

Physical


Implemented Yes


Implemented


Effectiveness 6


2

0

2

1

2

Effectiveness

Yes

6

Residual Risk

2

0

2

0

0

3

Likelihood 4


4

Implemented

Effectiveness

Yes

8


-

5

Likelihood 1

Implemented

Scenario

DMCB 0

Likelihood 4

Implemented

Effectiveness

Yes

8

Residual Risk

0

4

0

0

3

0

0

2

0

5

6

0

1

2

2

3



Residual Risk


8

Likelihood 1

Yes


6

Effectiveness

Implemented

Scenario

0

Likelihood 0


2


1

Implemented

Scenario


0

0

2

2



0

5

0

6

2

-

Physical

0

0

0

0

Implemented



2


LNSRV1 Domain.local

Physical


Implemented Yes


3

0

0

8

2

11

0




Implemented


Likelihood 0

Fax 0

0

Physical


0

0

2

2



Likelihood 1 0

Effectiveness

Yes

6



Implemented

-

Effectiveness

Yes

8

Residual Risk

3

0

1

2

0

1

2

Effectiveness

3


0

0

2

0

5

6

2

IPHN

IP Telefon

Service



0

2

0

2

4

6

Implemented


0

Implemented

Likelihood 0

0

1

2

0

1

2

0

5

6

0

1

2

Effectiveness

2 Residual Risk


2


Scenario

Implemented

Likelihood 0

Residual Risk

3


Implemented

Scenario

0

1

Implemented

Scenario

Effectiveness

Residual Risk

0

2

3

Scenario


Implemented

Scenario 4

2

3


Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

Likelihood 4


Effectiveness

Yes

8


-

3




-

3

0

2

5




SSIF

Informace o zakaznicich Controls affecting asset



Information

0

0

0

0

Implemented



-


Explanation -



LNINT



-

Intangible

0

0

0


0

Implemented

0

2

3

0

1

1

0

0

3

0

0

0

3

2

3

2

0

0

Effectiveness

Residual Risk

2

Explanation Scenario


ACCS1

Implemented

Likelihood 1

Klimatizace



2

1

0

1

1


4


3

Likelihood 1

Implemented

Effectiveness

Yes

6


Likelihood 1

Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6


-

0

2



LNACS



-

Service

0

0

0

0

Implemented

Explanation -







LNCB

LAN Kabelaz

Physical




0

0

0

Scenario

0


Implemented

-


Explanation -


Likelihood 2

Implemented

Effectiveness

Yes

8

Residual Risk LNXM


Software

2

1

0



Implemented

Scenario

Likelihood 4

Implemented

Effectiveness

Yes Yes

7 5

6

-

0


Likelihood 3

Implemented

Effectiveness

No

8

Residual Risk


5

2

1

0

0

2

0

0

0

3

6

0

3

6

2

3 Scenario


4

0

3



-

9







Physical

2

3

6


11

Physical

2

2

6

10

Implemented

Implemented







Likelihood 1

RACK1 0

0

Physical


Effectiveness

Yes

6


Residual Risk

0

0

2

2


Implemented

Likelihood 2

Likelihood 4


Implemented

Effectiveness

Yes

8

0


5

0

6


1

2

3

LNSW

Likelihood 1

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

-

Switch array

Physical

2

3


2

1

2

5


Effectiveness

Yes

6

Likelihood 4


Implemented

Effectiveness

Yes

8

Residual Risk Objekt DMZ Controls affecting asset

Intangible

0

3

4

0

Residual Risk


DMZ

4

7

0

0

0

0


-

1

4

5

Likelihood 1

Implemented

Scenario

-

3

Implemented



0


Controls affecting asset 3

Implemented

7



4

Effectiveness


3

Implemented

Scenario

Implemented

0

3

0

0

3

0

0

2

0

5

6

0

1

2

2

3


Implemented *if above acceptance criteria


-

Explanation -


SCCT



Zakaznicke smlouvy


Information

0

0

0

0





Implemented

-

Name

Confidentiality

Integrity

Availability

2

1

2

TOP Management

Explanation -


Assets and Risk Scenarios Abbr. UPS

Zalozni zdroj

Physical

0

0

2

Name

Type


-

Likelihood 1

AD 0

0

Availability

26

55

92

173

Active Directory

Software


Implemented

Effectiveness

Yes

6


0

0

3

1

2

6

3

Scenario


Integrity

Implemented

Scenario


Confidentiality

2

Total Risk for TOP Management: Controls affecting asset

Total Risk Figure


2

2



-

3

1

2

3

1

2

Effectiveness

Residual Risk



Implemented


6






Physical


Implemented Yes


2

0

0

6

2

8

0





Likelihood 1

Scenario 0

Implemented

Effectiveness

Yes

6

Likelihood 4


Implemented

Effectiveness

Yes

8


0

2

0

5

6

2

0

0

2

2

Likelihood 1 2

Likelihood 4

Implemented

Effectiveness

Yes

8


3

-

0

0

3

0

0

2

0

5

6

0

1

2

2

3


3 *if above acceptance criteria

Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

DMCB



-

Physical

0

0

0

0

Implemented



-

2

0

2

4




6



DMSW

Effectiveness

Yes

Residual Risk



0

Likelihood 1

Implemented

Scenario


3



0


Physical

0

1

4

LNSRV1 Domain.local

Physical


Implemented Yes

3

0

0

8

2

11

0

5

Implemented


Scope: Date printed: 100/ 121




Implemented


Likelihood 0

Fax 0

0

Physical


0

0

2

2



Likelihood 1 0

Effectiveness

Yes

6



Implemented

-

Effectiveness

Yes

8

Residual Risk

3

0

1

2

0

1

2

Effectiveness

3


0

0

2

0

5

6

2

IPHN

IP Telefon

Service



0

2

0

2

4

6

Implemented


0

Implemented

Likelihood 0

0

1

2

0

1

2

0

5

6

0

1

2

Effectiveness

2 Residual Risk


2


Scenario

Implemented

Likelihood 0

Residual Risk

3


Implemented

Scenario

0

1

Implemented

Scenario

Effectiveness

Residual Risk

0

2

3

Scenario


Implemented

Scenario 4

2

3


Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

Likelihood 4


Effectiveness

Yes

8


-

3




-

3

0

2

5




SEIF

Informace o zamestnancich Controls affecting asset



Information

0

0

0

0

Implemented



-


Explanation -



LNINT



-

Intangible

0

0

0


0

Implemented

Intranet spoleþnosti Controls affecting asset


2

3

0

1

1

0

0

3

0

0

0

3

2

3

2

0

0

Effectiveness


-

Service

0

0

0


0


Implemented

2

Likelihood 1

Implemented

Effectiveness

Yes

6

Explanation Residual Risk


ACCS1

0

Explanation -


INTR

Implemented

Likelihood 1

Klimatizace



2

1

0

1

1


4

3


Likelihood 1

Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6


-

0

2



LNACS



-

Service

0

0

0

0

Implemented

Explanation -







LNCB

LAN Kabelaz

Physical




0

0

0

Scenario

0


Implemented

-


Explanation -


Likelihood 2

Implemented

Effectiveness

Yes

8

Residual Risk LNXM


Software

2

1

0



Implemented

Scenario

Likelihood 4

Implemented

Effectiveness

Yes Yes

7 5

6

-

0


Likelihood 3

Implemented

Effectiveness

No

8

Residual Risk


5

2

1

0

0

2

0

0

0

3

6

0

3

6

2

3 Scenario


4

0

3



-

9







Physical

2

3

6


11

Physical

2

2

6

10

Implemented

Implemented







Likelihood 1

Scenario 0

Effectiveness

Yes

6


0

Effectiveness

Yes

8

0

2

2


-

0

1

2

0

1

2

Effectiveness

3



Likelihood 4

Implemented

Implemented

Likelihood 0

Residual Risk

Residual Risk


3


Implemented

Scenario

0


0

5

6

DMZ

Objekt DMZ

Intangible


Residual Risk

0

1

2

3


-

0

0

0

0

3

4

7

Implemented

Explanation -



Implemented

3

2

3


Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

Physical


Implemented

0



-

2

1

2

3

4

0

3

4

Effectiveness


0

7

5



-




LNSW CELP

Mobilni telefon

Physical

0

1

2




Physical

0

1

4

5

3 Implemented

Implemented







Likelihood 1 0

3

Name

WHOST

WEB hosting Assets and Risk Scenarios

Implemented

Effectiveness

Yes

6

Abbr.

Name

Scenario

0 Likelihood 4


Effectiveness

Yes

8

0

0

2

5

0

6

1

-

Integrity

Availability

1

1

1 Total Risk Figure

Confidentiality

Integrity

Availability

24

58

112

194

2 LNSRV2 APP1

Physical


Implemented Yes

2

3

Abuse of rights due wrong allocation of rights Abuse of rights Wrong allocation of access rights Controls affecting scenario


Type

Scenario

Residual Risk

Confidentiality


Total Risk for WEB hosting:

Residual Risk


0

Abbr.


Implemented

2

0

6

8

0

2

0

2

1

2

2

0

2

0

0

3

0

0

2

0

5

6

0

0

2

Likelihood 0

Effectiveness

Residual Risk

4


UPS

Zalozni zdroj

Physical



-

2

2


Likelihood 1 0

0

Likelihood 1

Implemented

Effectiveness

Yes

6

3

Residual Risk

Implemented

Effectiveness

Yes

6


0

Implemented

Scenario


0


Scenario

Likelihood 4


0

0

2

2



Implemented

Effectiveness

Yes

8

Residual Risk

2

2



-








AD

Active Directory

Software


Implemented


3

-

2

Scenario

6



1


2

Effectiveness

Likelihood 1

Implemented

Effectiveness

Yes

6

Residual Risk


1

3

1

2

6



Scenario

Likelihood 4


Implemented

Effectiveness

Yes

8


Physical


Implemented Yes

2

0

6

2

0

3

0

0

2

0

5

6

0

0

2

3

2

3

2

0

2

2

2

8 Scenario

0

0


0


Likelihood 1

Implemented

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6


-

4





LNSRV3 DB1

Physical


Implemented Yes


2

0

0

6

2

8

0




Implemented


Likelihood 0

Scenario 2


2

4

Implemented

Effectiveness

Yes

6

0

3

Scenario

Effectiveness 6


Likelihood 4

0

0

2

0

5

6

2

Implemented

Effectiveness

Yes

8


-

Effectiveness

Yes

8

DMCB 0

0

2




3

0

0

2

0

5

6

0

1

2

2

3

DMZ kabelaz

Physical

0

0

0

0

2


DMSW

0



-

0


Implemented


Likelihood 4


Residual Risk


2

Likelihood 1

Residual Risk 0

Yes


0


Likelihood 1

Implemented

Scenario


2

Effectiveness


1


-

Implemented



Physical

0

1

4

5

Implemented


LNSRV1 Domain.local

Physical


Implemented Yes


3

0

0

8

2

11

0




Implemented


Likelihood 0

IT_IS 0

0


Scenario

Effectiveness

Residual Risk

0

0

2

2

Immature SW malfunction Software malfunction Immature or new software Controls affecting scenario


Likelihood 1 0

0

Implemented

Effectiveness

Yes

6

Residual Risk


0

0

0

Likelihood 4


Implemented

Effectiveness

Yes

8



-

5

2

Implemented

Effectiveness 5

Yes

5

Yes

6

Yes

6

0

0

5

0

0

5

Likelihood 3

0

4

5

0

4

5

5

Effectiveness

2


6

0

2

2

-

9


ACCS1

Klimatizace


Likelihood 1

Yes

14


0

Implemented

Residual Risk

0

10

Effectiveness


4


Residual Risk

3 Scenario

Implemented

Software

2

4

2

3

3

0

2


2

1

0

1

1

4

3

5









Implemented


Likelihood 1

LNCB 0

2

LAN Kabelaz

Physical

0

0

0

0

3

6

11



Effectiveness

Implemented

-

Explanation -



0

0


3

Yes

6


0

0

0

3

2

3

0


Likelihood 1

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

2

Likelihood 2

Implemented

Effectiveness

Yes

8


Implemented

Physical Implemented

Scenario

Residual Risk


2 NET_CONMain Internet Connection

0

Effectiveness


1

Likelihood 1

Implemented

Scenario

1


Likelihood 3

Implemented

Effectiveness

No

8

Residual Risk

Residual Risk

2

0

0

2


-

4

0

0

2

0

0

0

3

6

0

3

6

2

9




-



RTR_MRKMikrotik 5.22 Controls affecting asset

LNACS



-

Service

0

0

0

Physical

2

2

6

10

Implemented

0

Implemented

Explanation -









Likelihood 1

RACK1 0

0

Physical


Effectiveness

Yes

6


Residual Risk

0

0

2

2


Implemented

Likelihood 2

Likelihood 4


Implemented

Effectiveness

Yes

8

0


5

0

6


1

2

3

LNSW

Likelihood 1

Effectiveness

Yes

5

Yes

5

Yes

6

Yes

6

-

Switch array

Physical

2

3


2

1

2

5


Effectiveness

Yes

6

Likelihood 4


Implemented

Effectiveness

Yes

8

Residual Risk Objekt DMZ Controls affecting asset

Intangible

0

3

4

0

Residual Risk


DMZ

4

7

0

0

0

0


1

4

5

Likelihood 1

Implemented

Scenario

-

3

Implemented



0


Controls affecting asset 3

Implemented

7



4

Effectiveness


3

Implemented

Scenario

Implemented

0

3

-

0

0

3

0

0

2

0

5

6

0

1

2

2

3


Implemented *if above acceptance criteria


-

Explanation -


WEBC





Information

0

0

0

0




Implemented

-



UPS

Zalozni zdroj

Physical



-

2

2

Likelihood 1

Implemented

Effectiveness

Yes

6


0

Implemented

Scenario


0

0

0

3

0

0

2

2





10.11 Příloha 11 – Popis vloženého CD V každém výtisku bakalářské práce je vloženo jedno datové CD s digitálním výtiskem bakalářské práce, instalací použitého nástroje, složku katalogů, složku reportů, složku šablon reportů a vyexportovaným projektem. Pro import projektu rozbalte Verinice do domovského adresáře na operačním systému Windows 7, spusťte Verinice.exe. Po nahrání programu zvolte ISM perspektivu a v okně Perspective browseru vyberte ikonu pro import organizace (malý modrý „u“ tvar se šipkou dovnitř – viz kapitola 3.5.12 ).

Adresářová struktura CD (kde X označuje písmeno jednotky): X:\

Obsahuje PDF soubor bakalářské práce

X:\REPORTS

Obsahuje reporty z příloh BP

X:\RP_TP

Obsahuje šablony reportů Verinice

X:\CATS

Obsahuje katalogy objektů Verinice

X:\VRNC

Obsahuje balík Verinice 1.6.2 pro Win

X:\XPRT

Obsahuje vyexportovanou Blue Pecari, s.r.o.

100

UNICORN COLLEGE BAKALÁŘSKÁ PRÁCE

Recommend Documents