Ocena jakości systemów informacyjnych (aspekt eksploatacyjny)

1. Ocena jakości systemów informacyjnych(aspekt eksploatacyjny)

2. System Bezpieczeństwa Informacji

3. System bezpieczeństwa informacji (SBI) • Akty prawne • Tworzenie dokumentacji SBI • Polityka Bezpieczeństwa, • Instrukcja Zarządzania Systemem, • Inne (zalecenia, instrukcje, procedury). • Wdrożenie SBI • Eksploatowanie i opieka nad SBI

4. Dlaczego wdraża się SBI? • Wymogi ustawowe • Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, • Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, • Dążenie do doskonalenia organizacji • Informacje zawarte w oświadczeniu o intencjach

5. Polityka Bezpieczeństwa • Struktury organizacyjne SBI, • Oszacowanie ryzyka, • Kształcenie w zakresie bezpieczeństwa informacji, • Opis obszaru w którym przetwarzane są informacje, • Opis przetwarzanych informacji, • Opis środków technicznych i organizacyjnych, • Audyty SBI.

6. Ochrona danych • Dane osobowe: „Każda informacja dotycząca osoby fizycznej, pozwalająca na określenie jej tożsamości” • Pozostałe dane: • Dane finansowe, • Dane związane z prowadzoną działalnością, • Inne dane „wewnętrzne”.

7. Oświadczenie o intencjach - dlaczego • Mając na uwadze akty prawne dotyczące ochrony danych komputerowych, • Uwzględniając szeroko rozumiane dobro klientów, powiązanych instytucji organizacji, własnego przedsiębiorstwa i pracowników, • Dążąc do ciągłego rozwoju i usprawniania własnej organizacji,

8. Oświadczenie o intencjach – deklarowanedziałania • Zdąża się do zapewnienia maksymalnej, możliwej ochrony eksploatowanego systemu informatycznego. • Wdrożona zostanie Polityka Bezpieczeństwa i jej postanowienia będą egzekwowane w maksymalnym, uzasadnionym zakresie. • Dążyć się będzie do ciągłego podnoszenia poziomu bezpieczeństwa danych przetwarzanych w zasobach informatycznych przedsiębiorstwa.

9. DYREKTOR GAI POLITYKA BEZPIECZEŃSTWA INFORMACJI GABI AI GRUPY INFORMACJI ABI GABS AS SYSTEMY PRZETWARZANIA ABS Pion administracyjny/ informatyczny Pionbezpieczeństwa Zarządzanie informacją (TISM)

10. DYREKTOR GAI GABI POLITYKA BEZPIECZEŃSTWA GRUPA INFORMACJI AI ABI AS GABS ABS SYSTEM PRZETWARZANIA Pion administracyjny Pion bezpieczeństwa Struktura systemu bezpieczeństwa (TISM)

11. Struktura SBI - przykład

12. Zakres PB (1) • Cel i zakres dokumentu • Definicja bezpieczeństwa informacji • Oświadczenie o intencjach • Wyjaśnienie terminologii użytej w polityce, podstawowe definicje, założenia • Analiza ryzyka • Określenie ogólnych i szczególnych obowiązków w odniesieniu do zarządzania bezpieczeństwem informacji

13. Zakres PB (2) • Określenie działów organizacyjnych oraz stanowisk odpowiedzialnych za wdrażanie i przestrzeganie zasad polityki • Wymagania dotyczące kształcenia w dziedzinie bezpieczeństwa, odpowiedzialne osoby, zakres szkolenia • Sposób zgłaszania, konsekwencje i odpowiedzialność naruszenia polityki bezpieczeństwa • Zakres rozpowszechniania dokumentu

14. Zakres PB (3) • Wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe. • Wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych. • Opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi

15. Zakres PB (4) • Określenie poziomu bezpieczeństwa • Określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych • Wewnętrzny audyt bezpieczeństwa danych osobowych i systemów do ich przetwarzania

16. Instrukcja Zarządzania • Szczegółowe procedury dotyczące: • Uprawnień użytkowników systemu, • Archiwizacji danych, • Zabezpieczenia przed niepowołanym dostępem, • Zabezpieczenia antywirusowe, • Konserwacji systemu, • Przechowywania nośników, • Likwidacji zbiorów danych.

17. Ogólne zasady- administratorzy systemów - odpowiedzialność • Udostępnienie sprawnego sprzętu komputerowego i telekomunikacyjnego wraz ze sprawnymi systemami: operacyjnym, użytkowym i narzędziowym; • Właściwe ustawienie parametrów systemów operacyjnych i użytkowych; • Codzienną obsługę systemów; • Zagwarantowanie serwisu technicznego; • Określenie zasad postępowania w przypadku konieczności wyłączenia systemu, spowodowanego nagłym zdarzeniem losowym (takich jak zagrożenie bombowe, pożar, powódź).

18. Ogólne zasady- systemy • GABI może wyznaczyć administratora bezpieczeństwa informacji (ABI); • Główny administrator informacji (GAI) może wyznaczyć administratora informacji (AI) oraz wyznacza osobę zastępującą administratora informacji podczas jego nieobecności. • Dla każdego systemu o kluczowym znaczeniu, który nie przetwarza danych osobowych GABI może wyznaczyć administratora bezpieczeństwa informacji (ABI), a GAI administratora informacji (AI) oraz osobę zastępującą AI podczas jego nieobecności. • Zakres obowiązków administratorów bezpieczeństwa informacji (ABI) dla systemów przetwarzających dane osobowe opracowuje główny administrator bezpieczeństwa informacji (GABI); • Zakresy obowiązków administratorów informacji (AI), jeżeli występują, opracowuje główny administrator informacji (GAI);

19. Ogólne zasady- systemy kluczowe • Prowadzi się „Dziennik pracy systemu informatycznego”. • Tworzy się „Spis numerów telefonów do firm serwisowych”. • Prowadzi się „Rejestr kopii archiwalnych i awaryjnych”. • AS systemu przechowuje dokumentację techniczną sprzętu oraz oprogramowania systemu. • AS w przypadku poważnych problemów z przetwarzaniem danych ma obowiązek powiadomić o tym fakcie: GABI oraz ABI. • Dla każdego systemu o kluczowym znaczeniu prowadzona jest ewidencja użytkowników.

20. Instrukcja zarządzania - Zakres • Cel i zakres dokumentu • Wyjaśnienie użytej terminologii • Ogólne zasady zarządzania systemem informatycznym • Procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności • Procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu

21. Instrukcja zarządzania • Metoda i częstotliwość tworzenia kopii danych oraz kopii systemu informatycznego • Zabezpieczenie systemu informatycznego przed dostępem osób nieuprawnionych • Postępowanie w przypadku awarii oraz naruszenia ochrony danych • Przegląd, konserwacja i naprawa systemu • Ochrona systemu informatycznego przed wirusami komputerowymi

22. Instrukcja zarządzania • Sposób i czas przechowywania nośników informacji • Likwidacja zbiorów danych • Postępowanie w wypadku klęski żywiołowej lub katastrofy spowodowanej siłą wyższą • Wymagania dotyczące sprzętu i oprogramowania oraz przesyłania danych • Postanowienia końcowe

23. Zalecenia techniczno-organizacyjne • Wdrożenie SBI • Zasady wdrożenia SBI, • Ramowy harmonogram, • Zalecenia organizacyjne • Prowadzenie dokumentacji, • Instruktaże, szkolenia, • Organizacja danych na serwerach, • Zalecenia techniczne • Archiwizacja danych, • Serwer – oprogramowanie, sprzęt.