plik

BEZPIECZNA FIRMA

HAKIN9 5/2010

ezpieczeństwo informacji według
normy ISO 17799 oznacza zachowanie
poufności, integralności i dostępności

informacji. Dodatkowo mogą być brane pod
uwagę inne atrybuty informacji, takie jak
autentyczność, rozliczalność, niezaprzeczalność
i niezawodność. Jak uczy doświadczenie,
sukces w zapewnieniu bezpieczeństwa
informacji w organizacji zależy miedzy innymi
od szacowania ryzyka i właściwego nim
zarządzania.

Ryzyko ma wiele znaczeń. Potocznie

oznacza niepewność, która wiąże się z szansą
albo stratą. Według Wikipedii oznacza jakąś
miarę/ocenę zagrożenia czy niebezpieczeństwa
wynikającego albo z prawdopodobnych
zdarzeń od nas niezależnych, albo z możliwych
konsekwencji podjęcia decyzji. Najogólniej,
ryzyko jest wskaźnikiem stanu lub zdarzenia
które może prowadzić do strat. Jest ono
proporcjonalne do prawdopodobieństwa
wystąpienia tego zdarzenia i do wielkości strat
które może spowodować.

W bezpieczeństwie informacji, wg normy

ISO/IEC Guide 73:2002, ryzyko jest kombinacją
prawdopodobieństwa zdarzenia i jego
konsekwencji (następstw), natomiast wg normy
ISO/IEC 27005:2008, ryzyko to potencjalna
sytuacja, w której określone zagrożenie
wykorzysta podatność aktywów lub grupy
aktywów powodując w ten sposób szkodę dla
organizacji.

ANDRZEJ GUZIK

Z ARTYKUŁU

DOWIESZ SIĘ

jak zarządzać ryzykiem w

bezpieczeństwie informacji.

CO POWINIENEŚ

WIEDZIEĆ

znać podstawowe zasady

ochrony informacji.

Z kolei zarządzanie ryzykiem definiowane

jest jako proces szacowania ryzyka mający
na celu ograniczenie go do akceptowalnego
poziomu. Zarządzanie ryzykiem zawiera
zwykle następujące etapy: szacowanie ryzyka,
postępowanie z ryzykiem, akceptowanie ryzyka
i informowanie o ryzyku.

System Zarządzania

Bezpieczeństwem Informacji

a ryzyko

Zarządzanie ryzykiem jest podstawowym
elementem profesjonalnego podejścia
do bezpieczeństwa informacji i stanowi
kluczowy element systemu zarządzania
bezpieczeństwem informacji (dalej SZBI).
Jednocześnie jest to jedno z najtrudniejszych
do realizacji w praktyce zagadnień. Z pomocą
przychodzą nam normy serii ISO 27000.
Norma ISO 27002 zawiera wytyczne związane
z ustanowieniem, wdrożeniem, eksploatacją,
monitorowaniem, przeglądem, utrzymaniem
i doskonaleniem systemu zarządzania
bezpieczeństwem informacji. Norma jest
pierwszym standardem obejmującym
kompleksowo zarządzanie bezpieczeństwem
informacji, w tym zarządzanie ryzykiem.
Celem tej normy jest wdrożenie
mechanizmów zarządzania, które zapewnią,
że bezpieczeństwo informacji będzie istotnym
elementem funkcjonowania organizacji.
Norma zawiera wytyczne zarządzania

Stopień trudności

Ryzyko w

bezpieczeństwie

informacji

W starym modelu zarządzania ryzykiem można wyróżnić dwa

główne procesy: szacowanie ryzyka i ograniczanie ryzyka.

W nowym modelu zarządzania ryzykiem celem procesu

zarządzania ryzykiem jest ograniczenie go do akceptowalnego

poziomu przez opracowanie planu postępowania.

ZARZĄDZANIE RYZYKIEM W BEZPIECZEŃSTWIE INFORMACJI

HAKIN9

5/2010

bezpieczeństwem informacji. Dotyczy
wszystkich obszarów bezpieczeństwa:
bezpieczeństwa fizycznego i
środowiskowego, bezpieczeństwa
osobowego, bezpieczeństwa IT,
zarządzania ciągłością działania i
zapewnienia zgodności z przepisami
prawa (bezpieczeństwa prawnego).

Natomiast norma ISO/IEC 27001

definiuje wymagania dla systemu
zarządzania bezpieczeństwem informacji.
SZBI powinien stanowić część składową
systemu zarządzania organizacją i być
oparty na analizie ryzyka biznesowego.
Norma zaleca podejście systemowe
zgodnie z cyklem PDCA (Plan-Do-
Check-Act) Deminga obejmującym:
ustanowienie, wdrożenie, eksploatację,
monitorowanie, przegląd, a także
utrzymanie i doskonalenie systemu
zarządzania bezpieczeństwem informacji.
W ramach ustanowienia SZBI organizacja
powinna w kontekście zarządzania
ryzykiem wykonać następujące działania:

• zdefiniować podejście do szacowania

ryzyka w organizacji,

•   określić ryzyka,
•   analizować i oceniać ryzyka,
•   zidentyfikować i ocenić warianty

postępowania z ryzykiem,

• wybrać cele stosowania

zabezpieczeń i zabezpieczenia jako
środki postępowania z ryzykiem,

• uzyskać akceptację kierownictwa dla

proponowanych ryzyk szczątkowych.

Analiza ryzyka obejmuje: analizę
zasobów, analizę zagrożeń, analizę
podatności, analizę zabezpieczeń oraz
ocenę (oszacowanie) ryzyk. Mając
zdefiniowaną metodykę analizy ryzyka
można przystąpić do zinwentaryzowania
zasobów i szacowania ryzyk.

W wyniku przeprowadzonej analizy

ryzyka otrzymamy poziomy ryzyk
oraz poziom ryzyka akceptowalnego.
Zabezpieczenia jakie należy wdrożyć w
organizacji w celu ograniczenia ryzyk
nieakceptowalnych należy opisać w
planie postępowania z ryzykiem. Zwykle
odwołujemy się do zabezpieczeń
zaproponowanych w normie ISO
27001, w innych standardach lub
do dobrych praktyk stosowanych w

organizacji. Następnie należy opracować
deklarację stosowania. Określa ona
cele stosowania zabezpieczeń oraz
zabezpieczenia zastosowane do
budowy SZBI, w tym zawiera opis
ewentualnych wyłączeń. Należy zauważyć,
że lista 133 zabezpieczeń zawartych
w załączniku A do normy ISO 27001
nie jest wyczerpująca. Znaczy to, że
organizacja może rozważyć, czy nie są
konieczne dodatkowe cele stosowania
zabezpieczeń i zabezpieczenia.

Tabela 1 przestawia, działania jakie

należy podjąć w organizacji w procesie
zarządzania ryzykiem na poszczególnych
etapach wdrażania SZBI.

Wszystkie działania związane

z ustanowieniem, wdrożeniem,

eksploatacją, monitorowaniem,
przeglądem, utrzymaniem i
doskonaleniem systemu zarządzania
bezpieczeństwem informacji powinny
być udokumentowane, w tym proces
zarządzania ryzykiem.

Tabela 2 przedstawia wymagania

dokumentacyjne SZBI wymagane przez
normę ISO 27001.

Metodyki analizy ryzyka

Do analizy ryzyka w bezpieczeństwie
informacji stosuje się różne metodyki
analizy ryzyka, najczęściej metodykę
ilościową, jakościową lub metodykę
mieszaną – ilościowo – jakościową.

W metodyce ilościowej

oszacowanie wartości ryzyka wiąże

Tabela 1.

Relacje między procesem SZBI a procesem zarządzania ryzykiem

w bezpieczeństwie informacji

Proces SZBI

Proces zarządzania ryzykiem w bezpieczeństwie informacji

Planuj (Plan)

Ustanowienie kontekstu

Szacowanie ryzyka

Opracowanie planu postępowania z ryzykiem

Akceptowanie ryzyka

Wykonaj (Do)

Wdrożenie planu postępowania z ryzykiem

Sprawdzaj (Check) Ciągłe monitorowanie i przeglądanie ryzyka
Działaj (Act)

Utrzymanie i doskonalenie procesu zarządzania ryzykiem

w bezpieczeństwie informacji

Źródło: PN-ISO/IEC 27005

Tabela 2.

Wymagania dokumentacyjne wg ISO 27001

Lp.

Dokumentacja SZBI wg ISO 27001

Polityka bezpieczeństwa informacji

Deklaracja stosowania

Dokumentacja systemowa

Procedury wspomagające SZBI

Opis metodyki szacowania ryzykiem

Raport z szacowania ryzykiem

Plan postępowania z ryzykiem

Źródło: Opracowanie własne

Tabela 3.

Przykład metodyki ilościowej i jakościowej do określenia wartości zasobów

organizacji (4-stopniowa skala wartości)

Metodyka ilościowa

szacowania wartości zasobów

Metodyka jakościowa

szacowania wartości zasobów

< 10 000 PLN

Mała wartość zasobu

< 100 000 PLN

Średnia wartość zasobu

< 1 000 000 PLN

Duża wartość zasobu

> 1 000 000 PLN

Bardzo duża wartość zasobu

Źródło: Opracowanie własne

BEZPIECZNA FIRMA

HAKIN9 5/2010

ZARZĄDZANIE RYZYKIEM W BEZPIECZEŃSTWIE INFORMACJI

HAKIN9

5/2010

się z wykorzystaniem miar liczbowych
– wartość zasobów informacyjnych
jest określana kwotowo, częstotliwość
wystąpienia zagrożenia liczbą
przypadków, a podatność wartością
prawdopodobieństwa ich utraty.

W metodyce jakościowej

oszacowanie wartości ryzyka wiąże się z
opisem jakościowym wartości aktywów,
określeniem skal jakościowych dla
częstotliwości wystąpienia zagrożeń
i podatności na dane zagrożenie.

W Tabeli 3 podano przykład

wykorzystania metodyki ilościowej i
jakościowej przy określaniu wartości
zasobów organizacji.

Analiza ryzyka

wg ISO/IEC TR 13335-3

Jednym z najtrudniejszych zadań jakie
należy wykonać na etapie ustanowienia

systemu zarządzania bezpieczeństwem
informacji jest określenie podejścia
organizacji do szacowania ryzyka.
Pomocny w tym względzie może być
raport techniczny ISO/IEC TR 13335-3
(polski odpowiednik ISO/IEC TR 13335-3:
1998 Technika informatyczna – Wytyczne
do zarządzania bezpieczeństwem
systemów informatycznych Część 3:
Techniki zarządzania bezpieczeństwem
systemów informatycznych), który
zawiera przykłady metodyk szacowania
ryzyka.

W raporcie tym przedstawiono cztery

warianty podejścia do analizy ryzyka:
podejście podstawowego poziomu
bezpieczeństwa, podejście nieformalne,
szczegółową analizę ryzyka i podejście
mieszane. Podstawowa różnica pomiędzy
nimi dotyczy stopnia szczegółowości
analizy ryzyka.

Podejście podstawowego poziomu

bezpieczeństwa polega na wprowadzeniu
standardowych zabezpieczeń niezależnie
od ryzyka wynikającego z analizy
zasobów, zagrożeń i podatności.
Podejście nieformalne polega na
wykorzystaniu wiedzy i doświadczenia
ekspertów, koncentruje się na zasobach
narażonych na wysokie ryzyko. Z
kolei szczegółowa analiza ryzyka
wymaga identyfikacji i wyceny aktywów,
oszacowania zagrożeń oraz oszacowania
podatności. Podejście czwarte, podejście
mieszane obejmuje dwa etapy. W
pierwszym etapie przeprowadza się
ogólną analizę ryzyka dla wszystkich
zasobów z uwzględnieniem ich wartości
biznesowej i ryzyka, na które są narażone.
Dla wszystkich zidentyfikowanych
zasobów, które są ważne (wartościowe)
dla organizacji, słabo zabezpieczone
i narażone na wysokie ryzyko, należy
później przeprowadzić szczegółową
analizę ryzyka. W drugim etapie dla
pozostałych zasobów stosuje się
podejście podstawowego poziomu
bezpieczeństwa.

Przyjęcie podejścia mieszanego

zalecane jest dla większości organizacji.
Jest ono najbardziej efektywne
– szczegółowa analiza ryzyka dla
zasobów posiadających wartość,
słabo zabezpieczonych i narażonych
na wysokie ryzyko, a dla pozostałych
zasobów zastosowanie podstawowego
poziomu bezpieczeństwa – wdrożenie
standardowych zabezpieczeń.

Zarządzanie ryzykiem

wg ISO 27005

Norma ISO/IEC 27005:2008 –
Zarządzanie ryzykiem w bezpieczeństwie
informacji zastępuje raporty techniczne
ISO/IEC TR 13335-3:1998 i ISO/IEC
TR 13335-4:2002, stanowiąc ich
techniczną aktualizację. Zawiera ona
wytyczne dotyczące zarządzania
ryzykiem w bezpieczeństwie informacji w
organizacji, a w szczególności wspiera
wymagania SZBI zgodnego z ISO/IEC
27001. Norma ta nie zawiera żadnej
określonej metodyki analizy ryzyka.
Każda organizacja sama powinna
określić swoje podejście do zarządzania
ryzykiem w zależności od zakresu SZBI,

Rysunek 1.

Proces zarządzania ryzykiem w bezpieczeństwie informacji. Źródło: PN-

ISO/IEC 27005

��

�

��

�

��

�

��

�

��

BEZPIECZNA FIRMA

HAKIN9 5/2010

ZARZĄDZANIE RYZYKIEM W BEZPIECZEŃSTWIE INFORMACJI

HAKIN9

5/2010

kontekstu zarządzania ryzykiem czy
branży, w której działa. Wdrożenie SZBI
wymaga systematycznego podejścia do
zarządzania ryzykiem w bezpieczeństwie
informacji. Proces zarządzania ryzykiem
powinien być procesem ciągłym.
Po oszacowaniu ryzyka zaleca się
opracowanie planu postępowania z
ryzykiem w celu wdrożenia zaleceń i
decyzji.

Wg ww. normy proces zarządzania

ryzykiem w bezpieczeństwie informacji
składa się z ustanowienia kontekstu,
szacowania ryzyka, postępowania
z ryzykiem, akceptowania ryzyka,
informowania o ryzyku oraz
monitorowania i przeglądu ryzyka.
Ilustruje to Rysunek 1.

Jak wynika z Rysunku 1, dla działań

szacowania ryzyka i/lub postępowania
z ryzykiem, proces zarządzani ryzykiem
w bezpieczeństwie informacji może być
iteracyjny.

Zawiera dwa punkty decyzyjne:

szacowanie ryzyka satysfakcjonujące
i postępowanie z ryzykiem
satysfakcjonujące.

W przypadku, gdy szacowanie

ryzyka jest satysfakcjonujące (poziom
ryzyka akceptowalny) przechodzimy do
postępowania z ryzykiem.

Rysunek 2 przedstawia postępowanie

z ryzykiem w bezpieczeństwie informacji.

Jak wynika z Rysunku 2 możliwe są

cztery warianty postępowania z ryzykiem:
redukowanie ryzyka, zachowanie ryzyka,
unikanie ryzyka i przeniesienie ryzyka.

W wariancie I – redukowanie

ryzyka, zaleca się zredukowanie
ryzyka przez taki wybór zabezpieczeń,
aby ryzyko szczątkowe można było
ponownie oszacować jako ryzyko do
zaakceptowania.

W wariancie II – zachowanie ryzyka,

zaleca się podjęcie decyzji o zachowaniu
ryzyka bez podejmowania dalszych
działań na podstawie oceny ryzyka.

Z kolei w wariancie III – unikanie

ryzyka, zaleca się unikanie działań lub
warunków, które powodują powstanie
określonych ryzyk.

Natomiast w wariancie IV –

przeniesienie (transfer) ryzyka, zaleca się
transfer ryzyka do innej strony, która może
skutecznie zarządzać ryzykiem.

Na koniec warto wspomnieć o

sześciu załącznikach informacyjnych
do normy ISO 27005. Zawierają one

wiele pomocnych informacji, które
można wykorzystać przy zarządzaniu
i analizie ryzyka. W załączniku A

Rysunek 2.

Działanie postępowania z ryzykiem .Źródło: PN-ISO/IEC 27005

��

Normy związane z analizą ryzyka

• ISO/IEC TR 13335-3 (polski odpowiednik ISO/IEC TR 13335-3:1998 Technika

informatyczna – Wytyczne do zarządzania bezpieczeństwem systemów
informatycznych Część 3: Techniki zarządzania bezpieczeństwem systemów
informatycznych).

• ISO/IEC 27001:2005 – Wymagania związane z ustanowieniem, wdrożeniem,

eksploatacją, monitorowaniem, przeglądem, utrzymaniem i doskonaleniem Systemu
Zarządzania Bezpieczeństwem Informacji (polski odpowiednik PN-ISO/IEC 27001:
2007 Technika informatyczna – Techniki bezpieczeństwa – Systemy zarządzania
bezpieczeństwem informacji – Wymagania).

• ISO/IEC 27002:2005 – Wytyczne związane z ustanowieniem, wdrożeniem,

eksploatacją, monitorowaniem, przeglądem, utrzymaniem i doskonaleniem Systemu
Zarządzania Bezpieczeństwem Informacji (polski odpowiednik PN-ISO/IEC 17799:
2007 Technika informatyczna – Techniki bezpieczeństwa – Praktyczne zasady
zarządzania bezpieczeństwem informacji).

• ISO/IEC 27005:2008 – Zarządzanie ryzykiem w bezpieczeństwie informacji (projekt

polskiego odpowiednika PN-ISO/IEC 27005:2009 Technika informatyczna – Techniki
bezpieczeństwa – Zarządzanie ryzykiem w bezpieczeństwie informacji).

BEZPIECZNA FIRMA

HAKIN9 5/2010

ZARZĄDZANIE RYZYKIEM W BEZPIECZEŃSTWIE INFORMACJI

HAKIN9

5/2010

znajdziemy informacje na temat
sposobu definiowania zakresu i
granic procesu zarządzania ryzykiem
w bezpieczeństwie informacji.

Struktura normy ISO/IEC 27005

Przedmowa
Wprowadzenie
1    Zakres normy.
2    Powołania normatywne.
3    Terminy i definicje.
4    Struktura niniejszej Normy Międzynarodowej.
5    Informacje podstawowe.
6    Przegląd procesu zarządzania ryzykiem związanym z bezpieczeństwem

informacji.

7    Ustanowienie kontekstu.
7.1    Rozważania ogólne.
7.2    Podstawowe kryteria.
7.3    Zakres i granice.
7.4    Organizacja zarządzania ryzykiem w bezpieczeństwie informacji.
8    Szacowanie ryzyka w bezpieczeństwie informacji.
8.1    Ogólny opis szacowania ryzyka w bezpieczeństwie informacji.
8.2    Analiza ryzyka.
8.2.1  Identyfikowanie ryzyka.
8.2.2 Estymacja ryzyka.
8.3    Ocena ryzyka.
9    Postępowanie z ryzykiem w bezpieczeństwie informacji.
9.1    Ogólny opis postępowania z ryzykiem.
9.2    Redukowanie ryzyka.
9.3    Zachowanie ryzyka.
9.4    Unikanie ryzyka.
9.5    Transfer ryzyka.
10    Akceptowanie ryzyka w bezpieczeństwie informacji.
11    Informowanie o ryzyku w bezpieczeństwie informacji.
12    Monitorowanie i przegląd ryzyka w bezpieczeństwie informacji.
12.1   Monitorowanie i przegląd czynników ryzyka.
12.2  Monitorowanie, przegląd i doskonalenie zarządzania ryzykiem.

Załącznik A (informacyjny) Definiowanie zakresu i granic procesu zarządzania ryzykiem w bezpieczeństwie informacji.

A.1    Studium organizacji.
A.2   Lista ograniczeń dotyczących organizacji.
A.3   Lista powołań legislacyjnych i regulacyjnych mających zastosowanie w organizacji.
A.4    Lista ograniczeń dotyczących zakresu.

Załącznik B (informacyjny) Identyfikowanie i wartościowanie aktywów oraz szacowanie skutków

B.1    Przykłady identyfikowania aktywów.
B.1.1  Identyfikowanie aktywów podstawowych.
B.1.2  Lista i opis aktywów wspierających.
B.2   Wartościowanie aktywów.
B.3    Szacowanie skutków.

Załącznik C (informacyjny) Przykłady typowych zagrożeń.

Załącznik D (informacyjny) Podatności i metody szacowania podatności.

D.1 Przykłady podatności.
D.2 Metody szacowania podatności technicznych.

Załącznik E (informacyjny) Podejście do szacowania ryzyka w bezpieczeństwie informacji.

E.1    Ogólne szacowanie ryzyka w bezpieczeństwie informacji.
E.2    Szczegółowe szacowanie ryzyka w bezpieczeństwie informacji.
E.2.1  Przykład 1 Macierz z wcześniej zdefiniowanymi wartościami.
E.2.2  Przykład 2 Ranking zagrożeń przez pomiar ryzyka.
E.2.3  Przykład 3 Szacowanie wartości prawdopodobieństwa i potencjalnych następstw ryzyka.

Załącznik F (informacyjny) Ograniczenia przy redukowaniu ryzyka.

Bibliografia.

Załącznik B zawiera przykłady
identyfikowania i wartościowania
aktywów oraz szacowanie skutków w
związku z incydentami związanymi z

bezpieczeństwem informacji. Załączniki
C i D zawierają przykłady typowych
zagrożeń i podatności oraz metody
szacowania podatności, które można

BEZPIECZNA FIRMA

HAKIN9 5/2010

ZARZĄDZANIE RYZYKIEM W BEZPIECZEŃSTWIE INFORMACJI

HAKIN9

5/2010

Lista typowych zasobów

Andrzej Guzik

audytor systemu zarządzania bezpieczeństwem

informacji oraz systemu zarządzania jakością, audytor

wewnętrzny, ekspert w zakresie ochrony informacji

prawnie chronionych, redaktor portalu www.ochronain

formacji.pl.

Kontakt z autorem, e-mail: a.guzik@ochronainformacji.pl.

Terminologia związana z ryzykiem

Skutek – negatywna zmiana w odniesieniu do osiąganego poziomu celów biznesowych.
Ryzyko związane z bezpieczeństwem informacji – potencjalna sytuacja, w której określone zagrożenie wykorzysta podatność aktywów lub
grupy aktywów powodując w ten sposób szkodę dla organizacji. Ryzyko jest mierzone jako kombinacja prawdopodobieństwa zdarzenia i jego
następstw.
Unikanie ryzyka – decyzja o nieangażowaniu się lub działanie w kierunku wycofania się
z ryzykowanej sytuacji.
Informowanie o ryzyku – wymiana lub dzielenie się informacjami o ryzyku między decydentami a innymi uczestnikami.
Estymacja ryzyka – proces przypisywania wartości prawdopodobieństwu i następstwom ryzyka.
Identyfikowanie ryzyka – proces znajdowania, zestawiania i charakteryzowania elementów ryzyka.
Redukowanie ryzyka – działania podejmowane w celu zmniejszenia prawdopodobieństwa, negatywnych następstw, lub obu, związanych z
ryzykiem.
Zachowanie ryzyka – akceptowanie ciężaru straty lub korzyści z zysku, z określonego ryzyka.
Transfer ryzyka – dzielenie z inną stroną ciężaru straty lub korzyści zysku, dla ryzyka.

Lp.

Lista zasobów

grupy informacji przetwarzane w systemach informatycznych, w tym zwłaszcza informacje prawnie chronione:

tajemnica przedsiębiorstwa, dane osobowe, informacje niejawne

sprzęt komputerowy

oprogramowanie

urządzenia telekomunikacyjne

informatyczne nośniki danych

dokumentacja

usługi

sprzęt zapewniający właściwe warunki środowiskowe

budynki, pomieszczenia

personel

wizerunek organizacji

Źródło: ISO 27005

wykorzystać w analizie ryzyka. Na
szczególną uwagę zasługuje załącznik
E opisujący podejście do szacowania
ryzyka w bezpieczeństwie informacji.
Znajdziemy w nim informacje na temat
ogólnego i szczegółowego szacowania
ryzyka w bezpieczeństwie informacji. W
ostatnim załączniku F norma opisuje
ograniczenia jakie należy wziąć pod
uwagę przy redukowania ryzyka.

Podsumowanie

Proces zarządzania ryzykiem
jest podstawowym i zarazem
najtrudniejszym procesem w systemie
zarządzania bezpieczeństwem
informacji. Jego jakość decyduje o
jakości całego SZBI. Na podstawie

wyników analizy ryzyka dobiera się
zabezpieczenia, opracowuje się
plan postępowania z ryzykiem oraz
akceptuje ryzyka. Należy pamiętać, że
nie jest to jednorazowy akt, lecz proces
ciągły. Powinien być przeprowadzany
przynajmniej raz w roku. Instytucja
powinna posiadać udokumentowaną
procedurę analizy ryzyka, tak aby proces
analizy ryzyka był powtarzalny.

Zgodnie z nowym modelem

zarządzania ryzykiem ograniczamy
ryzyka do akceptowalnego poziomu
przez opracowanie planu postępowania
z ryzykiem. Po oszacowaniu ryzyka
mamy do wyboru cztery warianty
postępowania z ryzykiem: redukowanie,
zachowanie, unikanie i przeniesienie.

Wybór wariantu postępowania z
ryzykiem należy do najwyższego
kierownictwa organizacji.

Wdrożenie procesu zarządzanie

ryzykiem w organizacji świadczy
o profesjonalnym podejściu do
planowania skutecznych i uzasadnionych
działań w obszarze bezpieczeństwa
informacji oraz do zapewnienia ciągłości
działania organizacji.

BEZPIECZNA FIRMA

HAKIN9 5/2010

ZARZĄDZANIE RYZYKIEM W BEZPIECZEŃSTWIE INFORMACJI

Lista typowych zagrożeń

Rodzaj zagrożenia Typ zagrożenia

Przyczyna

Zniszczenia fizyczne Pożar

P, R, S

Zalanie

P, R, S

Zanieczyszczenie

P, R, S

Poważny wypadek

P, R, S

Zniszczenie urządzeń lub nośników

P, R, S

Pył, korozja, wychłodzenie

P, R, S

Zjawiska naturalne

Zjawiska klimatyczne

Zjawiska pogodowe

Powódź

Utrata

Podstawowych

usług

Awaria systemu klimatyzacji lub wodno-kanalizacyjnego

P, R

Utrata zasilania

P, R, S

Awaria urządzenia telekomunikacyjnego

P, R

Zakłócenia

spowodowane

promieniowaniem

Promieniowanie elektromagnetyczne

P, R, S

Promieniowanie cieplne

P, R, S

Impuls elektromagnetyczny

P, R, S

Naruszenie

bezpieczeństwa

informacji

Przechwycenie sygnałów na skutek zjawiska interferencji

Szpiegostwo zdalne

Podsłuch

Kradzież nośników lub dokumentów

Kradzież urządzenia

Odtworzenie z nośników wyrzuconych lub pochodzących z recyklingu

Ujawnienie

P, R

Dane z niewiarygodnych źródeł

P, R

Manipulowanie urządzeniem

Sfałszowanie oprogramowania

P, R

Detekcja umiejscowienia

Awarie techniczne

Awaria urządzenia

Niewłaściwe funkcjonowanie urządzeń

Przeciążenie systemu informacyjnego

P, R

Niewłaściwe funkcjonowanie oprogramowania

Naruszenie zdolności utrzymania systemu informacyjnego

P, R

Nieautoryzowane

działania

Nieautoryzowane użycie urządzeń

Nieuprawnione kopiowanie oprogramowania

Użycie fałszywego lub skopiowanego oprogramowania

P, R

Zniekształcenie danych

Nielegalne przetwarzanie danych

Naruszenie

bezpieczeństwa

funkcji

Błąd użytkowania

Nadużycie praw

P, R

Fałszowanie praw

Odmowa działania

Naruszenie dostępności personelu

P, R, S

Źródło: ISO 27005. Gdzie: P – zagrożenie przypadkowe R – zagrożenie rozmyślne S – zagrożenie środowiskowe

BEZPIECZNA FIRMA

HAKIN9 5/2010

ZARZĄDZANIE RYZYKIEM W BEZPIECZEŃSTWIE INFORMACJI

Lista typowych podatności w poszczególnych obszarach bezpieczeństwa

Lp.

Obszar bezpieczeństwa

Podatność

Środowisko i infrastruktura

Brak fizycznej ochrony budynku, drzwi i okien

Niewłaściwe lub nieuważne użycie fizycznej kontroli dostępu do budynków, pomieszczeń

Niestabilna sieć elektryczna

Lokalizacja na terenie zagrożonym powodzią

Sprzęt

Brak planów okresowej wymiany

Podatność na zmiany napięcia

Podatność na zamiany temperatury

Podatność na wilgotność, kurz, zabrudzenie

Wrażliwość na promieniowanie elektromagnetyczne

Niewłaściwa konserwacja/wadliwa instalacja nośników

Brak sprawnej kontroli zmian w konfiguracji

Oprogramowanie

Niejasny lub niekompletny opis techniczny dla projektantów

Brak lub niedostateczne przetestowanie oprogramowania

Skomplikowany interfejs użytkownika

Brak mechanizmów identyfikacji i uwierzytelniania takich jak uwierzytelnianie użytkowników

Brak śladów dla audytu

Dobrze znane wady oprogramowania

Niechronione tablice haseł

Złe zarządzanie hasłami

Niewłaściwy przydział uprawnień do dostępu

Brak kontroli pobierania i użytkowania oprogramowania

Brak konieczności wylogowania się po opuszczeniu stacji roboczej

Brak efektywnej kontroli zmian

Brak dokumentacji

Brak kopii zapasowych

Usuwanie lub ponowne użycie nośników bez odpowiedniego kasowania ich zawartości

Łączność

Niechronione linie łączności

Złe łączenie kabli

Brak identyfikacji i uwierzytelniania nadawcy i odbiorcy

Przesyłanie haseł w postaci jawnej

Brak dowodu wysłania lub odebrania wiadomości

Linie komutowane

Niechroniony wrażliwy ruch

Nieodpowiednie zarządzanie siecią

Niechronione połączenia do sieci publicznej

Dokumenty

Niechronione przechowywanie

Nieodpowiednie niszczenie

Niekontrolowane kopiowanie

Personel

Nieobecność personelu

Praca personelu zewnętrznego lub sprzątającego bez nadzoru

Niedostateczne szkolenia w zakresie bezpieczeństwa

Brak świadomości bezpieczeństwa

Niewłaściwe użycie oprogramowania i sprzętu

Brak mechanizmów monitorowania

Brak polityk właściwego użycia środków łączności i komunikowania się

Niewłaściwe procedury zatrudniania

Podatności mające

zastosowania ogólne

Pojedynczy punkt uszkodzenia

Niewłaściwa reakcja serwisu dokonującego konserwacji

Źródło: ISO 27005