Audyt bezpieczeństwa informacji w praktyce

Description

Rozpoczęła się era społeczeństwa informacyjnego. Działalność coraz większej liczby organizacji i firm zależy od szybkiego i efektywnego przetwarzania informacji. Informacja stała się cennym, często wykradanym towarem. Zagrożeniem dla bezpieczeństwa danych są nie tylko crackerzy, lecz często także pracownicy firmy, którzy nieświadomie udostępniają zastrzeżone informacje osobom trzecim. Upowszechnienie informacji, będących tajemnicą lub własnością intelektualną i handlową firmy lub instytucji, może oznaczać utratę reputacji, zakończenie działalności na rynku lub nawet wywołać kłopoty natury prawnej. Z tych powodów informację trzeba należycie chronić oraz odpowiednią nią zarządzać. Spis treści O autorze Wstęp Zezwolenie Od autora 1. Podstawowe założenia polityki bezpieczeństwa informacji Czym jest informacja Gdzie przechowujemy informacje Informacja w świetle regulacji prawnych Zasady audytu Norma PN-ISO/IEC 17799:2003 Norma BS 7799-2:2002 Zawartość normy BS 7799-2:2002 Norma ISO/IEC TR 13335 Norma ISO/IEC TR 13335 Aspekty prawne 2. Zarządzanie bezpieczeństwem informacji Polityka bezpieczeństwa informacji Co powinna zawierać polityka bezpieczeństwa informacji Czego nie powinna zawierać polityka bezpieczeństwa informacji Utworzenie infrastruktury bezpieczeństwa informacji Odpowiedzialność oraz kompetencje w systemie bezpieczeństwa informacji Autoryzacja urządzeń do przetwarzania informacji Doradztwo specjalistyczne w zakresie bezpieczeństwa informacji Współpraca między organizacjami Niezależne przeglądy stanu bezpieczeństwa informacji Zabezpieczenie przed dostępem osób trzecich Identyfikacja ryzyka związanego z dostępem osób trzecich Wymogi bezpieczeństwa informacji w umowach z osobami trzecimi Zlecenie przetwarzania danych firmom zewnętrznym Wymagania biznesowe w umowach zlecenia na zewnątrz 3. Klasyfikacja i kontrola aktywów Rozliczanie aktywów Inwentaryzacja aktywów Klasyfikacja informacji Wytyczne w zakresie klasyfikacji Oznaczenia i postępowanie z informacją 4. Bezpieczeństwo osobowe Bezpieczeństwo informacji przy określaniu obowiązków i w zarządzaniu zasobami ludzkimi Uwzględnianie zasad bezpieczeństwa informacji w zakresach obowiązków służbowych Sprawdzanie podczas naboru Umowa o zachowaniu poufności Warunki zatrudnienia Szkolenie użytkowników Szkolenia i kształcenie w zakresie bezpieczeństwa informacji Reagowanie na naruszenia bezpieczeństwa i niewłaściwe funkcjonowanie systemu Zgłaszanie przypadków naruszenia bezpieczeństwa Zgłaszanie słabości systemu bezpieczeństwa Zgłaszanie niewłaściwego funkcjonowania oprogramowania Wnioski po wystąpieniu incydentu Postępowanie dyscyplinarne 5. Bezpieczeństwo fizyczne i środowiskowe Fizyczny obwód zabezpieczający Fizyczne zabezpieczenie wejścia do budynku Zabezpieczenie biur, pomieszczeń i urządzeń Praca w obszarach bezpiecznych Izolowane obszary dostaw i załadunku Zabezpieczenie sprzętu Rozmieszczenie sprzętu i jego ochrona Zasilanie Bezpieczeństwo okablowania Konserwacja sprzętu Zabezpieczenie sprzętu poza siedzibą Bezpieczne zbywanie sprzętu lub przekazywanie go do ponownego użycia Ogólne zabezpieczenia Polityka czystego biurka i czystego ekranu Wynoszenie sprzętu poza siedzibę firmy 6. Zarządzanie systemami informatycznymi i sieciami komputerowymi Procedury eksploatacyjne oraz okres odpowiedzialności Dokumentowanie procedur eksploatacyjnych Kontrola zmian w eksploatacji Procedury zarządzania incydentami związanymi z bezpieczeństwem Podział obowiązków Oddzielenie urządzeń produkcyjnych od znajdujących się w fazie rozwoju Zarządzanie urządzeniami przez firmy zewnętrzne Planowanie i odbiór systemu Planowanie pojemności Odbiór systemu Ochrona przed szkodliwym oprogramowaniem Zabezpieczenie przed szkodliwym oprogramowaniem Procedury wewnętrzne Kopie zapasowe ważnych danych Dzienniki operatorów Zapisywanie w dzienniku zdarzeń informacji o błędach Zarządzanie sieciami Zabezpieczenia sieci Postępowanie z nośnikami i ich bezpieczeństwo Zarządzanie wyjmowalnymi nośnikami danych cyfrowych Niszczenie nośników Procedury postępowania z informacją Bezpieczeństwo dokumentacji systemu informatycznego Wymiana danych i oprogramowania Porozumienie dotyczące wymiany danych i oprogramowania Zabezpieczenia nośników podczas transportu Bezpieczeństwo handlu elektronicznego Bezpieczeństwo poczty elektronicznej Bezpieczeństwo komputerowych systemów biurowych Systemy publicznie dostępne Inne formy wymiany informacji 7. Kontrola dostępu do systemu Potrzeby biznesowe związane z dostępem do informacji Polityka kontroli dostępu do informacji Zarządzanie dostępem użytkowników Rejestracja użytkowników Zarządzanie przywilejami Zarządzanie uwierzytelnianiem użytkowników Przegląd praw dostępu Zakres odpowiedzialności użytkowników Używanie haseł Pozostawianie sprzętu użytkownika bez opieki Kontrola dostępu do sieci Polityka kontroli korzystania z usług sieciowych Wymuszanie dróg połączeń Uwierzytelnienie użytkowników przy połączeniach zewnętrznych Rozdzielenie sieci Kontrola połączeń sieciowych Kontrola routingu w sieci Kontrola dostępu do systemów operacyjnych Automatyczna identyfikacja terminalu Procedury rejestrowania terminalu w systemie Identyfikacja i uwierzytelnienie użytkowników Systemy zarządzania hasłami Użycie systemowych programów narzędziowych Odłączanie terminalu po określonym czasie Ograniczenia czasu trwania połączenia Kontrola dostępu do aplikacji Ograniczenie dostępu do informacji Izolowanie systemów wrażliwych Monitorowanie dostępu do systemu i jego wykorzystywania Zapisywanie informacji o zdarzeniach Monitorowanie użycia systemu Komputery przenośne i praca zdalna Komputery przenośne Praca na odległość Uwierzytelnianie wiadomości Zabezpieczenia kryptograficzne Polityka używania zabezpieczeń kryptograficznych Szyfrowanie Podpisy cyfrowe Zarządzanie ciągłością działania organizacji w sytuacji krytycznej Proces zarządzania ciągłością działania w sytuacji krytycznej Ciągłość działania i analiza skutków dla działalności biznesowej Tworzenie i wdrażanie planu ciągłości działania w sytuacji krytycznej Struktura planowania ciągłości działania w sytuacji krytycznej Testowanie, utrzymanie i ponowna ocena planów ciągłości działania Utrzymanie i ponowna ocena planów Zgodność Określenie odpowiednich przepisów prawnych Zabezpieczenie dokumentów instytucji Ochrona danych osobowych i prywatności informacji dotyczących osób fizycznych Przegląd polityki bezpieczeństwa informacji i zgodności technicznej Zgodność z polityką bezpieczeństwa informacji Sprawdzanie zgodności technicznej A B Ć D E F H I K M N O P R S T U V W Z Skorowidz