tylko-tutaj-audyt-bezpieczenstwa-informacji-w-praktyce_audyt.pdf

IDZ DO

PRZYK£ADOW Y ROZDZIA£

Audyt bezpieczenstwa

SPIS TREŒCI

informacji w praktyce

KATALOG KSI¥¯EK

Autor: Tomasz Polaczek

ISBN: 83-246-0402-2

Format: B5, stron: oko³o 126

KATALOG ONLINE

ZAMÓW DRUKOWANY KATALOG

TWÓJ KOSZYK

DODAJ DO KOSZYKA

Rozpoczê³a siê era spo³eczeñstwa informacyjnego. Dzia³alnoœæ coraz wiêkszej

liczby organizacji i firm zale¿y od szybkiego i efektywnego przetwarzania informacji.

Informacja sta³a siê cennym, czêsto wykradanym towarem. Zagro¿eniem dla

bezpieczeñstwa danych s¹ nie tylko crackerzy, lecz czêsto tak¿e pracownicy firmy,

którzy nieœwiadomie udostêpniaj¹ zastrze¿one informacje osobom trzecim.

Upowszechnienie informacji, bêd¹cych tajemnic¹ lub w³asnoœci¹ intelektualn¹

i handlow¹ firmy lub instytucji, mo¿e oznaczaæ utratê reputacji, zakoñczenie

dzia³alnoœci na rynku lub nawet wywo³aæ k³opoty natury prawnej. Z tych powodów

informacjê trzeba nale¿ycie chroniæ oraz odpowiedni¹ ni¹ zarz¹dzaæ.

Ksi¹¿ka „Audyt bezpieczeñstwa informacji w praktyce” przedstawia praktyczne

aspekty wdra¿ania i realizowania polityki ochrony danych. Opisuje zarówno regulacje

prawne, jak i normy ISO traktuj¹ce o bezpieczeñstwie informacji. Zawiera informacje

o odpowiednim zarz¹dzaniu systemami przechowywania danych, fizycznym

zabezpieczaniu miejsc, w których znajduj¹ siê noœniki danych, oraz szkoleniu

u¿ytkowników systemów.

Normy ISO i PN dotycz¹ce ochrony informacji

Planowanie polityki bezpieczeñstwa

Umowy o zachowaniu poufnoœci

Zabezpieczanie budynku i pomieszczeñ

Tworzenie procedur eksploatacji sprzêtu i systemów

Ochrona sieci przed programami szpieguj¹cymi

Zarz¹dzanie dostêpem u¿ytkowników do systemu

Odpowiednio zaplanowane procedury ochrony danych mog¹ uchroniæ

przedsiêbiorstwo przed powa¿nymi problemami. Wykorzystaj wiadomoœci zawarte

w tej ksi¹¿ce i wprowadŸ podobne procedury w swojej firmie.

CENNIK I INFORMACJE

ZAMÓW INFORMACJE

ONOWOŒCIACH

ZAMÓW CENNIK

CZYTELNIA

FRAGMENTY KSI¥¯EK ONLINE

Wydawnictwo Helion

ul. Chopina 6

44-100 Gliwice

tel. (32)230-98-63

e-mail: helion@helion.pl

O autorze ........................................................................................................................... 5

Wstęp ................................................................................................................................ 7

Zezwolenie ........................................................................................................................ 9

Od autora ........................................................................................................................ 11

Podstawowe założenia polityki bezpieczeństwa informacji ........................................... 13

Czym jest informacja .............................................................................................................. 13

Gdzie przechowujemy informacje .......................................................................................... 14

Informacja w świetle regulacji prawnych ................................................................................ 15

Zasady audytu ........................................................................................................................ 15

Norma ISO/IEC TR 13335 ...................................................................................................... 19

Zarządzanie bezpieczeństwem informacji ...................................................................... 23

Polityka bezpieczeństwa informacji ........................................................................................ 23

Co powinna zawierać polityka bezpieczeństwa informacji .................................................... 24

Czego nie powinna zawierać polityka bezpieczeństwa informacji ......................................... 25

Utworzenie infrastruktury bezpieczeństwa informacji ........................................................... 25

Odpowiedzialność oraz kompetencje w systemie bezpieczeństwa informacji ...................... 26

Autoryzacja urządzeń do przetwarzania informacji ............................................................... 26

Doradztwo specjalistyczne w zakresie bezpieczeństwa informacji ........................................ 27

Współpraca między organizacjami ......................................................................................... 28

Niezależne przeglądy stanu bezpieczeństwa informacji ....................................................... 28

Zabezpieczenie przed dostępem osób trzecich ..................................................................... 29

Zlecenie przetwarzania danych firmom zewnętrznym ............................................................ 33

Klasyfikacja i kontrola aktywów ......................................................................................35

Rozliczanie aktywów .............................................................................................................. 35

Klasyfikacja informacji ............................................................................................................ 37

Bezpieczeństwo osobowe ...............................................................................................39

Bezpieczeństwo informacji przy określaniu obowiązków i w zarządzaniu zasobami ludzkimi 39

Szkolenie użytkowników ......................................................................................................... 43

Reagowanie na naruszenia bezpieczeństwa i niewłaściwe funkcjonowanie systemu ........... 44

Bezpieczeństwo fizyczne i środowiskowe ......................................................................47

Fizyczny obwód zabezpieczający .......................................................................................... 48

Zabezpieczenie sprzętu .......................................................................................................... 54

Ogólne zabezpieczenia ..........................................................................................................59

Zarządzanie systemami informatycznymi i sieciami komputerowymi ............................63

Procedury eksploatacyjne oraz okres odpowiedzialności ...................................................... 63

Planowanie i odbiór systemu .................................................................................................. 67

Ochrona przed szkodliwym oprogramowaniem ..................................................................... 69

Procedury wewnętrzne ........................................................................................................... 71

Zarządzanie sieciami .............................................................................................................. 73

Postępowanie z nośnikami i ich bezpieczeństwo ................................................................... 74

Wymiana danych i oprogramowania ...................................................................................... 77

Kontrola dostępu do systemu .........................................................................................85

Potrzeby biznesowe związane z dostępem do informacji ..................................................... 85

Zarządzanie dostępem użytkowników ................................................................................... 86

Zakres odpowiedzialności użytkowników ............................................................................... 89

Kontrola dostępu do sieci ....................................................................................................... 91

Kontrola dostępu do systemów operacyjnych ....................................................................... 94

Kontrola dostępu do aplikacji ................................................................................................. 97

Monitorowanie dostępu do systemu i jego wykorzystywania ................................................. 98

Komputery przenośne i praca zdalna ................................................................................... 100

Zabezpieczenia kryptograficzne ........................................................................................... 103

Zarządzanie ciągłością działania organizacji w sytuacji krytycznej ..................................... 105

Zgodność ............................................................................................................................. 111

Przegląd polityki bezpieczeństwa informacji i zgodności technicznej .................................. 114

Skorowidz ..................................................................................................................... 115

SPIS TREŚCI

Sieci komputerowe, a właściwie wszelakie systemy informatyczne, stały się

już niezbędne zarówno przy wykonywaniu czynności służbowych, jak rów-

nież w życiu prywatnym. W rzeczywistości bez tego dobrodziejstwa techniki

trudno się obyć. Przykładowo, coraz częściej sieci komputerowe służą do do-

konywania zakupów. Siecią przesyła się wszelakie informacje i dane — te

ważne i te mniej istotne. Systemy informatyczne z kolei dane te przetwarzają

i przechowują. Oczywistym jest, że aby służyły one w należyty — i przede

wszystkim — w bezpieczny sposób, trzeba zapewnić ich odpowiednią obsługę

i poprawnie zarządzać nimi.

Bardzo istotnym elementem systemu bezpieczeństwa informacji jest staranne

zabezpieczenie sieci komputerowych i systemów informatycznych przed oso-

bami niepowołanymi. W tym celu — podobnie jak w przypadku innych sys-

temów — trzeba wprowadzić odpowiednie procedury eksploatacyjne.

Procedury eksploatacyjne

oraz okres odpowiedzialności

Informacja jest wykorzystywana za pomocą różnego typu urządzeń. Skoro

tak się dzieje, oznacza to również konieczność zabezpieczenia tych urządzeń.

W tym przypadku oczywistą sprawą jest sprecyzowanie odpowiednich pro-

cedur zarządzania tymi urządzeniami oraz zakresów odpowiedzialności za te

urządzenia oraz informacje w nich przechowywane lub przetwarzane. Należy

również wdrożyć procedury reagowania na incydenty związane z uszkodze-

niem takich urządzeń bądź niewłaściwym ich użytkowaniem, co może się

przyczynić do uszkodzenia sprzętu lub utraty przechowywanych danych.

Dokumentowanie procedur eksploatacyjnych

Procedury zawarte w polityce bezpieczeństwa informacji powinny być ogól-

nodostępne dla wszystkich osób w organizacji — jest to warunek sprawnego

funkcjonowania całego systemu. Jak wspomniałem we wcześniejszych rozdzia-

łach tej książki, poszczególne procedury powinny być opracowane w sposób

ściśle odpowiadający specyfice pracy na danych stanowiskach, jednak istnieją

jeszcze procedury ogólnodostępne, skierowane do wszystkich pracowników

organizacji. Istnieje przecież wiele urządzeń, wykorzystywanych przez prak-

tycznie wszystkie osoby w firmie do przeglądania, przesyłania, przechowy-

wania czy przetwarzania informacji. Sposób posługiwania się tym sprzętem

i zasady ochrony informacji z nim związanej powinny zatem zostać precy-

zyjnie określone w odpowiednich procedurach. Do takich procedur należą

właśnie m.in. procedury eksploatacyjne. Oczywiście, należy je odpowiednio

dokumentować i przechowywać. Każda z tych procedur powinna zawierać

dokładną instrukcję postępowania z określonymi urządzeniami oraz z infor-

macją w nich zawartą lub przetwarzaną.

Podczas codziennej pracy bardzo często dochodzi do incydentów, które po-

tencjalnie mają wpływ na jakość pracy lub na bezpieczeństwo przetwarzanych

danych. Oczywiście, te zdarzenia są spowodowane różnymi przyczynami,

np. błędnym działaniem aplikacji lub niepoprawną pracą systemu informa-

tycznego. W takich przypadkach, gdy praca zostanie zakłócona przez np. źle

działający system informatyczny, procedury powinny mówić m.in. o obsłudze

technicznej i sposobie uzyskania pomocy działu lub firmy zajmującej się

utrzymaniem bądź serwisem struktur informatycznych. Poza tym należy rów-

nież udokumentować procedury ponownego uruchomienia systemu bądź jego

odtworzenia w przypadku awarii.

Kontrola zmian w eksploatacji

W przypadku każdego systemu informatycznego na porządku dziennym jest

dokonywanie zmian, aktualizacji zabezpieczeń lub innych czynności związanych

z podniesieniem wydajności działania sprzętu i oprogramowania. Wszystkie

tego typu zmiany powinny być starannie dokumentowane, co ułatwia zapo-

bieganie awariom systemu lub przynajmniej pozwala na odpowiednio szybkie

zdiagnozowanie przyczyn jego uszkodzenia. Każda zmiana czy aktualizacja

ROZDZIAŁ 6. ZARZĄDZANIE SYSTEMAMI INFORMATYCZNYMI I SIECIAMI KOMPUTEROWYMI

Plik z chomika:

Inne pliki z tego folderu:

Inne foldery tego chomika: