Notandi:Vatnajokull
Úr Wikipediu, frjálsa alfræðiritinu
Efnisyfirlit |
[breyta] Upplýsingaöryggi
Með sífellt öflugri hugbúnaði og vélabúnaði, vaxandi notkun, nettengingum og ekki síst almennum aðgangi að Netinu eykst þörfin fyrir að tryggja öryggi gagna og búnaðar. Á sama tíma hefur orðið gríðarleg þróun í öryggismálum upplýsingakerfa sem m.a. má sjá af útkomu fjölmargra nýrra alþjóðlegra staðla á þessu sviði. Jafnframt hafa kröfur löggjafans á þessu sviði aukist, ekki síst varðandi meðferð persónuupplýsinga.
[breyta] Meginþættir í öryggi upplýsinga
Upplýsingar eru verðmætar eignir og þurfa því viðeigandi vernd. Þær geta verið í margs konar formi, t.d. prentaðar eða ritaðar á pappír, geymdar með rafrænum hætti, birtar á filmu eða látnar í ljós í mæltu máli. Ávallt ætti að vernda upplýsingar á viðeigandi hátt óháð þeim leiðum sem farnar eru til að nýta þær eða geyma. Upplýsingaöryggi felur í sér að upplýsingar eru verndaðar fyrir margs konar ógnum í því skyni að tryggja samfelldan rekstur, lágmarka tjón og hámarka árangur. Upplýsingaöryggi má líta á sem leið til að varðveita:
- Leynd (e. confidentiality), þ.e. tryggingu þess að upplýsingar séu aðeins aðgengilegar þeim sem hafa heimild. Vernda þarf viðkvæmar upplýsingar fyrir óleyfilegri birtingu, aðgangi eða hlerun.
- Réttleika (e. integrity), þ.e. að viðhalda nákvæmni og heilleika upplýsinga og vinnsluaðferða. Tryggja þarf að upplýsingar séu réttar og óskemmdar og að hugbúnaður vinni rétt.
- Tiltækileika (e. availability), þ.e. trygging þess að upplýsingar og þjónusta séu aðgengilegar fyrir notendur með aðgangsheimild, þegar þeirra er þörf.
Upplýsingaöryggi er einnig varðveisla á öðrum eiginleikum s.s. rekjanleika upplýsinga, áreiðanleika, óhrekjanleika og ábyrgð. Með því að innleiða staðla um upplýsingaöryggi er leitast við að tryggja alla ofangreinda þætti með úttekt og endurskoðun á vinnutilhögun viðkomandi fyrirtækis eða stofnunar. Viðfangsefni alþjóðlegu öryggisstaðlanna ISO/IEC 17799 og ISO/IEC 27001 eru ekki einungis upplýsingakerfin sjálf heldur einnig öll vinna og búnaður sem þeim tengist. Þannig þarf m.a. að skilgreina hvernig umgengni notenda við upplýsingar og kerfi er háttað og setja niður vinnureglur þar að lútandi. Nauðsynlegt er því að aðilar í rekstri skrái verklag sitt og skipulag í sérstaka handbók, svokallaða öryggishandbók. Best er að slík handbók sé heildstæð og í henni séu áherslur s.s. á gæði, upplýsingaöryggi eða umhverfisöryggi, samtvinnaðar. Þannig næst heildstæð sýn í rekstri samþætting allrar starfsemi. Öryggishandbókin inniheldur meðal annars stefnur fyrirtækisins, verklagsreglur og ferli.
[breyta] Áætlanir um samfelldan rekstur
Markmið með gerð áætlana um samfelldan rekstur er að vernda mikilvæga starfsemi gegn áhrifum meiriháttar bilana og áfalla. Slíkar áætlanir eru einnig oft nefndar neyðaráætlanir, viðbragðs- eða viðlagaáætlanir. Mikilvægt er að fyrirtæki geri sér grein fyrir mögulegum afleiðingum áfalla og geri ráðstafanir til að minnka hættu á rekstrartruflunum eða jafnvel rekstrarstöðvun. Áætlun um samfelldan rekstur er áætlun um viðbrögð við alvarlegum bilunum og rekstraráföllum. Slík áætlun miðar að því að greina áfall hratt og flýta endurreisn starfsseminnar sem fyrir bilun eða áfalli verður. Í áætluninni eru m.a. tilgreindir aðilar með afmörkuð hlutverk í neyðarástandi og aðgerðir sem framkvæma skal til að endurreisa starfsemi.
[breyta] Áhættumat
Áhættumat er mikilvægur þáttur í innleiðingu upplýsingaöryggis og ein af kröfum öryggisstaðalsins ISO/IEC 27001 fyrir vottun. Það er einnig lögbundin krafa til aðila sem hafa með höndum vinnslu persónuupplýsinga að gert sé áhættumat og það endurskoðað reglulega. Þegar gert er áhættumat er mikilvægt að notuð sé kerfisbundin aðferð við mat á áhættunni, þ.e. aðferð sem tryggir að annar aðili sem gerir sama áhættumat komist að sömu niðurstöðu. Niðurstaða áhættumats kemur að gagni við leiðsögn og við að ákvarða viðeigandi aðgerðir, m.a. við forgangsröðun aðgerða og ráðstafana. Niðurstaðan birtist í yfirlýsingu um nothæfi eða greinargerð (e. statement of applicability) sem lögð er fram til staðfestingar á stöðu upplýsingaöryggis hjá viðkomandi aðila. Þetta er mikilvægt fyrir stjórnendur, viðskiptavini eða eftirlitsaðila, t.d. Persónuvernd, sem óska eftir upplýsingum um öryggismál viðkomandi stofnunar eða fyrirtækis. Gerð áhættumats er tvíþætt, annars vegar áhættumatið sjálft og hins vegar áhættustjórnun. Áhættumat er kerfisbundin athugun á:
- Þeim rekstrarlega skaða sem líklegt er að hljótist af ef öryggi brestur, að teknu tilliti til hugsanlegra afleiðinga af því að leynd, réttleiki eða tiltækileiki upplýsinga og annarra eigna glatist.
- Raunhæfum líkum á því að öryggi bresti miðað við yfirvofandi ógnir og veikleika sem eru fyrir hendi.
Eitt áhættumatskerfi er sérsmíðað hér á landi, RM Studio frá Stika.
[breyta] Áhættustjórnun er að:
- Fá yfirlit yfir ráðstafanir sem þegar hafa verið innleiddar, þ.e. greiningu á öryggisglufum (e. gap analysis).
- Skilgreina framtíðarráðstafanir.
- Innleiða framtíðarráðstafanir og minnka þar með öryggisáhættu.
- Sætta sig við þekkta afgangsáhættu.
Samkvæmt öryggisstaðlinum ISO 27001 er áhættumat (e. risk assessment) mat á ógnum sem steðja að upplýsingum og upplýsingavinnslubúnaði, áhrifum ógna og veikleikum gagnvart ógnum svo og mat á líkindum þess að eitthvað fari úrskeiðis. Samkvæmt staðlinum er áhættustjórnun (e. risk management) ferli sem felst í því að greina, stýra og lágmarka eða útiloka öryggisáhættu upplýsingakerfa fyrir ásættanlegan kostnað.
[breyta] Skráning upplýsingaeigna
Eign er eitthvað sem hefur virði fyrir fyrirtæki og rekstur þess. Það ber að vernda eignir fyrirtækisins til að rekstur gangi eins og til er ætlast og ekki verði rof á rekstri. Við innleiðingu upplýsingaöryggis er nauðsynlegt að skrá allar upplýsingaeignir rekstursins. Þær eignir geta verið bæði óáþreifanlegar og áþreifanlegar eignir svo sem húsnæði, tölvubúnaður og húsgögn. Óáþreifanlegar eignir eru t.d. viðskiptasambönd, orðspor, verkferlar, þjónusta, þekking og mannauður.
[breyta] Rekjanleiki
Oft er mikilvægt að geta skoðað hvernig gögn eru að þróast eða hafa breyst. Skoða þarf eftirfarnadi hluti:
- Hvaða notandi framkvæmdi breytingu.
- Hvernig var staða gagna fyrir breytingu.
- Hvernig var staða gagna eftir breytingu.
- Hvenær átti breyting sér stað.
- Hvaða áhrif hafði breytingin á einstaka hluta kerfisins eða kerfið í heild.
[breyta] Heimildir
- Greinin „Information security“ á ensku útgáfu Wikipedia. Sótt 27. ágúst 2007.
- Staðlaráð Íslands stadlar.is
- Stiki ehf stiki.is

