Požadavky na bezpečnost informací

Mezi proklamovanými zásadami a principy - ať v bezpečnosti či v jiných oblastech - a skutečným stavem bývá často podstatná mezera. Prvním krokem k překonání této mezery je vydefinování technických a netechnických požadavků na bezpečnost informací.

Cíl
Cílem definice požadavků je stanovit základní parametry bezpečnosti informací, které vycházejí z rizikovosti systémů a informací v nich zpracovávaných, a které představují požadavky, na nichž bude postaven následný návrh řešení.

Forma a rozsah
Tuto službu poskytujeme formou projektu nebo individuálních konzultací. Rozsah a šíři je možné přizpůsobit v závislosti na aktuálních potřebách a možnostech klienta.

Popis
Při definování požadavků na bezpečnost se řídíme vlastní metodikou, která vychází ze standardu ISO/IEC 27001:2005 a metodiky CRAMM (CCTA Risk Analysis and Management Method) uzpůsobených pro použití v místních podmínkách. Metodika byla vyvinuta na základě našich zkušeností s celkovým řešením bezpečnosti informací v řadě komerčních společností a veřejnoprávních institucí.

Při realizaci této služby vycházíme z definované strategie a strategických analýz, které dále upřesníme za pomoci analýzy rizik na detailnější netechnické a technické systémové požadavky. Realizace této služby zahrnuje následující kroky:

• Analýza rizik. V tomto kroku se na základě hodnoty informací, popisu IT infrastruktury a ohodnocení hrozeb a zranitelností určuje rizikovost jednotlivých částí systému. Jednodušší alternativou analýzy rizik je detailní analýza bezpečnosti provedená na základě srovnání s obecně uznávanými požadavky na minimální úroveň bezpečnosti.
• Systémová bezpečnostní politika. Na základě detailních informací o rizicích v systému a informací získaných ze strategické analýzy je navržena systémová bezpečnostní politika, která specifikuje netechnické a produktově neutrální technické požadavky na bezpečnost systému.
• Technická bezpečnostní politika. Technická bezpečnostní politika upřesňuje technické bezpečnostní požadavky na úroveň produktově neutrálních bezpečnostních funkcí.