http://www.kiwiki.info/index.php?action=history&feed=atom&title=Syst%C3%A9m_mana%C5%BE%C3%A9rstva_informa%C4%8Dnej_bezpe%C4%8Dnosti 2026-04-14T20:42:57Z História úprav pre túto stránku na wiki MediaWiki 1.34.0 http://www.kiwiki.info/index.php?title=Syst%C3%A9m_mana%C5%BE%C3%A9rstva_informa%C4%8Dnej_bezpe%C4%8Dnosti&diff=10752&oldid=prev 2011-06-19T14:39:51Z

<p>Vytvorená stránka „{{Praca_uvod|3|Systém manažérstva bezpečnosti informácií podľa ISO/IEC 27001:2005 v porovnaní so systémom manažérstva kvality podľa ISO 9001:2008|Integrovaný m…“</p> <p><b>Nová stránka</b></p><div>{{Praca_uvod|3|Systém manažérstva bezpečnosti informácií podľa ISO/IEC 27001:2005 v porovnaní so systémom manažérstva kvality podľa ISO 9001:2008|Integrovaný manažérsky systém|Podsystémy IMS|Systém manažérstva informačnej bezpečnosti|Podnikový informačný systém|Bezpečnosť informácií a IMS vo firme SLOVECA, Sasol Slovakia, spol. s.r.o.}}<br /> <br /> <br /> =Systém manažérstva informačnej bezpečnosti=<br /> <br /> Systém riadenia informačnej bezpečnosti podľa ISO 27001:2005 je určený <br /> k ochrane informácií a teda k zvládaniu rizík, ktoré tieto informácie môžu <br /> potenciálne ohrozovať. <br /> <br /> Systém riadenia informačnej bezpečnosti podľa ISO 27001:2005 je dokumentovaný <br /> systém dokazujúci, že identifikované informačné aktíva sú chránené, riziká <br /> bezpečnosti informácií sú riadené, sú zavedené opatrenia s požadovanou úrovňou <br /> záruky a tie sú kontrolované. ISMS môže byť zavedený pre špecifický IS, <br /> jednotlivé časti IS alebo môže zahŕňať celú organizáciu.<br /> <br /> ==Prečo systém manažérstva informačnej bezpečnosti==<br /> <br /> Informácie sú aktíva, ktoré majú pre spoločnosť veľkú hodnotu a teda <br /> potrebujú byť vhodným spôsobom chránené. Bezpečnosť informácií je zameraná <br /> na širokú škálu hrozieb a zabezpečuje tak kontinuitu činností organizácie, <br /> minimalizuje obchodné straty a maximalizuje návratnosť investícii a <br /> podnikateľských príležitostí. Informácie môžu existovať v rôznych podobách. <br /> Môžu byť tlačené, písané, zachytené na filme alebo posielané elektronickou <br /> poštou. Nech už majú akúkoľvek formu alebo sú zdieľané akýmikoľvek <br /> prostriedkami, vždy by mali byť vhodne chránené. <br /> <br /> <br /> Pre účely tejto normy je bezpečnosť informácií charakterizovaná ako zachovanie: <br /> <br /> -dôvernosti <br /> <br /> -integrity <br /> <br /> -dostupnosti <br /> <br /> Bezpečnosť informácií je možné dosiahnuť implementáciou sústavy opatrení, <br /> ktoré môžu existovať vo forme pravidiel, natrénovaných postupov, procedúr, <br /> organizačnej štruktúry a programových funkcií. Tieto opatrenia musia byť <br /> zavedené preto, aby sa dosiahli špecifické bezpečnostné ciele organizácie. [7]<br /> <br /> ==Norma ISO 27001:2005==<br /> <br /> ISO 27001:2005 je certifikovateľný štandard a obsahuje špecifikáciu pre systémy riadenia bezpečnosti informácií.<br /> <br /> Funguje ako základ pre posudzovanie systémov riadenia bezpečnosti informácií (ISMS - Information Security Management System) pre organizáciu ako celok alebo len pre jej časť. Je ju možné použiť ako základ pre formalizovaný postup k certifikácii.<br /> <br /> Dôležitou súčasťou normy ISO 27001 je popis k vybudovaniu a prevádzke systému riadenia bezpečnosti informácií:<br /> Organizácie musia realizovať analýzu rizík, aby bolo možné určiť špecificky optimálne bezpečnostné ciele a opatrenia, implementovať ich a aplikovať podľa vlastných požiadaviek. Po ich identifikácii je ich potrebné zrozumiteľne zdokumentovať pre všetky osoby v organizácii, pre ktoré budú aplikované. Tieto podklady musia byť k dispozícii pre manažérov, zamestnancov a vybrané nezávislé strany (napr. interných audítorov, certifikačných audítorov atď.).<br /> <br /> Zdokumentované bezpečnostné ciele a opatrenia, dokumentácia bezpečnostnej politiky a postupy, ako aj všetky ostatné záznamy, dôležité z hľadiska IS, sa označujú ako systém riadenia bezpečnosti informácií organizácie.<br /> <br /> '''Príloha A''' ISO 27001 sleduje štruktúru normy ISO 17799, ako návod na riadenie bezpečnosti informácií. Zoznam bezpečnostných cieľov a opatrení tejto časti normy ISO 27001 však nie je vyčerpávajúci. Na základe špecifík organizácie môže vyplynúť potreba konkretizácie ďalších bezpečnostných cieľov a opatrení.<br /> <br /> Spoločnosť by mala mať minimálne jedného pracovníka, ktorý sa vyzná v problematike ISMS, aby mohol efektívne spolupracovať jednak pri zavádzaní systému a konečnej certifikácii, ako aj pri správe, údržbe a trvalom zlepšovaní systému s tým, že bude komunikačným partnerom pre vedenie organizácie aj pre výkonnú zamestnaneckú zložku. <br /> <br /> Pre tento účel sa ponúka a je vo veľkom využívaný medzinárodne akreditovaný vzdelávací program „ Manažér IS“ ( informačnej bezpečnosti) od spoločnosti CIS-Certificaion &amp; Information Security Services.<br /> [8]<br /> Norma popisuje systém manažérstva informačnej bezpečnosti – Information Security<br /> Management System (ISMS), založený na podobných princípoch ako systém manažérstva kvality podľa normy ISO 9001:2005 a systém environmentálneho manažérstva podľa normy ISO 14001:2004. Cieľom tohto systému je riadiť procesy narábania s informáciami pri zabezpečení troch prvkov:<br /> <br /> '''Dôvernosti''' – confidentiality – t.j. zabezpečenie toho, že informácie sú poskytnuté<br /> a prístupne len oprávneným osobám.<br /> <br /> '''Dostupnosti''' – availability – t.j. zabezpečenie toho, že k informáciám majú neobmedzený<br /> prístup len oprávnené osoby. Inými slovami, správne informácie, správnym ľuďom<br /> v správny čas.<br /> <br /> '''Integrity''' – integrity – t.j. zabezpečenie správnosti a úplnosti informácií z hľadiska obsahu<br /> a formy.<br /> <br /> ==Implementácia systému manažérstva informačnej bezpečnosti==<br /> <br /> Treba si uvedomiť, že implementácia systému je kontinuálny proces.Nie je to jednorázová záležitosť a treba sa jej venovať neustále. Pri zavedení systému manažérstva informačnej bezpečnosti treba vychádzať z PDCA cyklu, ktorého autorom je Alexander Deming.<br /> <br /> '''Plan''' -Plánovanie<br /> <br /> '''Do'''- Zavedenie a prevádzka <br /> <br /> '''Check'''- Monitorovanie a preskúmanie <br /> <br /> '''Act''' -Udržiavanie a zlepšovanie<br /> <br /> ===Postup implementácie===<br /> <br /> -Stanoviť si stratégiu, rozsah a cieľ<br /> <br /> -Vypracovať rizikovú analýzu<br /> <br /> -Vytvoriť bezpečnostné štandardy<br /> <br /> -Implementovať bezpečnostné opatrenia<br /> <br /> -Monitorovať systém<br /> <br /> <br /> Implementácia ISO 27001:2005 predstavuje mnoho výhod pre <br /> organizáciu, medzi ktoré patria najmä:<br /> <br /> '''Externé konkurenčné výhody''': <br /> <br /> -certifikáciou ISMS sa zvyšuje imidž a osobná prestíž organizácie <br /> na trhu, u zákazníkov, dodávateľov, odberateľov a širokej verejnosti, <br /> čo prospieva jej dlhodobej stabilite a prosperite <br /> <br /> - ISMS poskytuje zrýchľovanie rastu konkurenčnej schopnosti organizácie <br /> <br /> - ISMS napomáha odstráneniu prístupových bariér ku svetovým <br /> aj domácim trhom<br /> <br /> '''Interné organizačné výhody''': <br /> <br /> -zvýšenie produktivity činnosti pozitívnou efektivitou motivácie, <br /> vzdelanosti, monitoringu, kontroly a sankcií<br /> <br /> - zníženie počtu a účinnosti rizík a z nich vyplývajúcich incidentov, <br /> čím sa redukujú náklady na chyby<br /> <br /> - optimalizácia a zefektívnenie plánovania investícií do IS a IT<br /> <br /> - objektívnejšie vyhodnocovanie a ochrana firemného know-how<br /> <br /> <br /> Doba zavádzania systému riadenia je závislá na: <br /> <br /> - veľkosti organizácie a časovému prispôsobeniu vedenia a zamestnancov<br /> <br /> - často spôsobu a forme zavádzania (iba vlastnými silami, s pomocou <br /> odborného externého poradcu alebo kombináciou týchto možností) [7]<br /> <br /> '''Certifikácia'''- Po vykonaní certifikačného auditu môže organizácia získať certifikát. Doba jeho platnosti je 3 roky. Pred uplynutím tejto doby môže organizácia požiadať o recertifikáciu.<br /> <br /> ==Medzinárodná platnosť==<br /> <br /> Norma ISO 27001 je rovnako ako všetky ISO štandardy medzinárodne platným štandardom. a to znamená, že firma, ktorá obdrží certifikát v jednej krajine, nemusí preukazovať znovu splnenie požiadaviek v inej krajine. [9]<br /> <br /> ==Predpisy súvisiace s bezpečnosťou informácií==<br /> <br /> V niektorých prípadoch býva dôvodom na zavedenie systému bezpečnosti informácií aby organizácia vyhovela požiadavkám legislativy.<br /> <br /> Medzi takéto požiadavky a predpisy patria okrem iného aj:<br /> <br /> Zákon č. 211/2000 Z.z. o slobodnom prístupe,<br /> <br /> Zákon č. 215/2004 Z. z. o ochrane utajovaných skutočností,<br /> <br /> Zákon č. 428/2002 Z.z. o ochrane osobných údajov,<br /> <br /> Zákon č. 215/2002 Z. z. o elektronickom podpise,<br /> <br /> Obchodný zákonník č. 513/1991 Zb.</div>

Samopalo