ť, ktorou by sa mal zaoberať najmä vedúci oddelenia IT v spolupráci s ďalšími IT pracovníkmi. Často však vzhľadom na nedostatok času, financií a kvalifikovaných personálnych zdrojov interného auditu IT nastáva situácia, keď problematika informačnej bezpečnosti rieši komplexne až po výskyte bezpečnostných incidentov, ktoré môžu organizáciám spôsobiť nielen časové straty a finančné škody, ale aj stratu dobrého mena a dôveryhodnosti vo vzťahu k svojim dodávateľom, klientom a pod. Zaistenie informačnej bezpečnosti a všetkých aktív spojených s prostriedkami informačných a komunikačných technológií môže byť zásadné taktiež pre udržanie konkurencieschopnosti, toku hotovosti (cash-flow), ziskovosti a legislatívneho súladu organizácie.Informácie sú aktíva, ktoré môžu existovať v rôznych podobách (napr. elektronickej, papierovej). Mnohé z nich majú pre organizáciu vysokú hodnotu, a preto potrebujú byť primeraným spôsobom chránené. Bezpečnosť informácií je možné všeobecne charakterizovať ako zachovanie ich:

* dôvernosti (zaistenie, aby boli informácie prístupné iba oprávneným osobám, ochrana proti neoprávnenému prístupu),

* integrity (zabezpečenie správnosti a kompletnosti informácií a metód ich spracovania, ochrana proti ich poškodeniu, zmene, vymazaniu alebo zničeniu),

* dostupnosti (zabezpečenie, aby informácie boli autorizovaným používateľom prístupné podľa ich potreby a chránené proti výpadkom a havarijným situá-ciám).

Často sa môžeme stretnúť s predstavami, že napr. správne nastavenie firewallu (oddeľuje internú počítačovú sieť organizácie od internetu, umožňuje povoliť alebo zakázať rôzne druhy elektronickej komunikácie smerom dovnútra aj von), prípadne v kombinácii s automatickým systémom detekcie prieniku do internej počítačovej siete (Intrusion Detection System) a inštalácia antivírusového softvéru s pravidelnou aktualizáciou predstavujú dostatočné kroky k primeranému zabezpečeniu informačnej bezpečnosti. Prax ale ukazuje, že technické riešenia a opatrenia sú napriek svojej vysokej dôležitosti iba jednou z mnohých súčastí účinných systémov riadenia informačnej bezpečnosti.

Veľká časť bezpečnostných incidentov totiž nie je spôsobená nedostatkami v technológiách, ale zlyhaním ľudského faktora. Významnú úlohu pri budovaní a riadení informačnej bezpečnosti zohrávajú okrem technických riešení aj personálne a organizačné opatrenia, t. j. vybudovanie vý-konnej organizačnej štruktúry informačnej bezpečnosti (bezpečnostný manažér, bezpečnostní špecialisti - LAN, firewall, antivírus atď.), zabezpečenie kontrolnej činnosti - interný audit informačnej bezpečnosti, ako aj zabezpečenie dostatočnej podpory vrcholového vedenia organizácie pri budovaní a riadení informačnej bezpečnosti. Podpora vrcholového vedenia má byť jednoznačne zrejmá všetkým zamestnancom.

Významnú úlohu pri budovaní a riadení informačnej bezpečnosti majú taktiež interné smernice s vymedzením pravidiel, úloh, pracovných postupov, právomocí a zodpovedností nielen odborných IT pracovníkov, ale aj koncových používateľov informačných systémov. Ideálne je zaviesť program vzdelávania pracovníkov v oblasti bezpečnosti IT, či už sa ide o nástupné školenia, ale aj o pravidelné školenia na udržiavanie bezpečnostného povedomia za-mestnancov, prípadne školenia pri prechode na nové informačné systémy.

Všetci zamestnanci by teda mali mať jasný prehľad o tom, aké sú pravidlá práce s informačnými systémami organizácie, aké dôsledky pre nich môže mať porušenie týchto pravidiel a že aj oni majú svoj podiel na budovaní a riadení informačnej bezpečnosti - napr. uplatnením správnych postupov v prípade výskytu rôznych typov bezpečnostných incidentov a pod.

Medzinárodne uznávanou normou pre oblasť informačnej bezpečnosti je norma ISO 17799:2000, ktorá vychádza z britského štandardu BS 7799 - Informačné technológie - Súbor postupov pre riadenie informačnej bezpečnosti. Táto norma poskytuje celý rámec hodnotiacich mechanizmov, s pomocou ktorých sú organizácie schopné posúdiť svoje schopnosti v oblasti ochrany dôvernosti, integrity a dostupnosti svojich informačných systémov. Rozsah tejto normy pokrýva bezpečnostnú politiku informačnej bezpečnosti, organizačnú stránku informačnej bezpečnosti, klasifikáciu a riadenie informačných aktív, personálnu bezpečnosť, fyzickú bezpečnosť a bezpečnosť prostredia, riadenie komunikácie a prevádzky, riadenie prístupov do systémov, vývoj a údržbu systémov, plánovanie kontinuity prevádzky a súlad s legislatívnymi požiadavkami. Ďalším vhodným štandardom je napr. norma ISO TR 13335:2000 - Informačné technológie - Smernice pre riadenie bezpečnosti IT a ďalšie.

Prvým krokom k vybudovaniu informačnej bezpečnosti v organizácii môže byť rámcová previerka/audit bezpečnosti IT. V rámci tejto previerky sú identifikované najkritickejšie nedostatky a navrhnuté najdôležitejšie kroky a primerané opatrenia pre vybudovanie základov informačnej bezpečnosti v organizácii. Previerka organizáciu obohatí taktiež o objektívny, nezávislý externý pohľad a umožní jeho porovnanie s najlepšími organizáciami podobného typu. Ideálne je, aby takúto previerku vykonal nezávislý a primerane kvalifikovaný audítor s dostatočnou praxou v tejto oblasti. Vhodnou kvalifiká-ciou pre vykonávanie auditov informačnej bezpečnosti je získanie certifikátu CISA (Certified Information Systems Auditor), ktorý udeľuje medzinárodna organizácia ISACA (Information Systems Audit and Control Association) s ústredím v USA. Organizácia ISACA má po celom svete sieť národných pobočiek. Získanie certifikátu CISA je podmienené najmä úspešným zložením náročnej odbornej skúšky (koná sa celosvetovo 1-krát ročne), preukázaním najmenej 5-ročnej praxe v oblasti bezpečnosti IT a auditu bezpečnosti IT a priebežným plnením podmienok pre kontinuálne vzdelávanie. V súčasnosti je v Slovenskej republike 27 držiteľov platného certifikátu CISA a ich počet sa postupne každý rok zvyšuje.

Ďalším krokom v oblasti budovania informačnej bezpečnosti môže byť vybudovanie komplexného systému manažérstva informačnej bezpečnosti podľa normy ISO 17799:2000 a v prípade záujmu aj jeho certifikácia niektorou z nezávislých certifikačných spoločností. V rámci takéhoto projektu sa vykoná zmapovanie prvkov informačných systémov, analýza rizík s ohodnotením informačných aktív a hrozieb, ktoré na informačné aktíva môžu pôsobiť, a následne sa navrhnú primerané bezpečnostné opatrenia, bezpečnostné politiky a smernice. Implemen-tácia výstupov projektu vyžaduje vyčlenenie primeraných personálnych a finančných zdrojov, ako aj aktívnu účasť vedenia organizácie pri riešení a rozhodovaní o spôsobe implementácie. V neposlednom rade je potrebné zabezpečiť presadenie a akceptáciu systému manažérstva informačnej bezpečnosti u všetkých používateľov informačných systémov.

Vybudovanie komplexného systému manažérstva informačnej bezpečnosti je ďalej vhodné doplniť vykonaním detailných (podľa možností pravidelných) previerok:

* bezpečnosti serverov (preverenie systémovej konfigurácie serverov, používateľských účtov, používateľských práv, kontrol prístupu do citlivých adresárov, spustených rizikových a pritom nevyužívaných služieb atď.),

* bezpečnosti komunikačnej infraštruktúry (tzv. penetračné testovanie - preverenie komunikácie a pripojenia počítačovej siete k internetu, bezpečnostných nastavení routerov, firewallov atď.).

Dôležitou súčasťou budovania informačnej bezpečnosti je aj plánovanie kontinuity prevádzkových činností, t. j. definovanie priorít, zodpovedností a rámcových postupov ako zabezpečiť kontinuitu prevádzky celej organizácie v prípade výskytu mimoriadnych havarijných situácií alebo iných výpadkov informačných systémov. Tieto plány by mali byť pravidelne testované a aktualizované.

Významný podiel na budovaní informačnej bezpečnosti má nepretržitá nezávislá kontrolná činnosť formou interného auditu informačnej bezpečnosti, ktorý poskytuje spätnú väzbu pre vrcholový manažment organizácie, bezpečnostného manažéra, oddelenie controllingu, prípadne ďalšie. Interný audítor informačnej bezpečnosti by mal mať dostatočnú kvalifikáciu pre túto činnosť a pre mnohé organizácie je výhodné vykonávať interný audit informačnej bezpečnosti formou outsourcingu angažovaním kvalifikovaného odborníka na pravidelnej báze - napr. 1-2x mesačne na dohodnutý počet hodín.

Čiastočný posun v oblasti budovania informačnej bezpečnosti v niektorých organizáciách na Slovensku nastal po prijatí zákona č. 428/2002 Z.z. o ochrane osobných údajov, podľa ktorého sú organizácie spracúvajúce osobné údaje zodpovedné za ich bezpečnosť a sú povinné chrániť ich pred odcudzením, stratou, poškodením, neoprávneným prístupom, zmenou a rozširovaním. Na tento účel sú povinné prijať primerané technické, organizačné a personálne opatrenia. Tieto opatrenia musia byť za určitých podmienok stanovených týmto zákonom prijaté formou bezpečnostného projektu informačného systému. V rámci vykonávania bezpečnostného projektu sa vykoná analýza rizík a v súlade s bezpečnostnými štandardmi sa navrhnú opatrenia, ktoré eliminujú alebo minimalizujú vplyv týchto rizík. Taktiež sú navrhnuté a prijaté bezpečnostné smernice. V prípade zistenia nesúladu so zákonom č. 428/2002 Z.z. hrozia organizáciám zo strany Úradu na ochranu osobných údajov pokuty až do výšky 10 mil. Sk.

Je potrebné uvedomiť si, že investícia do informačnej bezpečnosti neprináša organizáciám

priame zisky, dá sa však prirovnať k investovaniu finančných pros-triedkov do ochrany proti krádeži /zničeniu majetku - inštaláciou primeraných zabezpečovacích zariadení, poistením a primeranou preventívnou údržbou (napr. dom, byt, auto atď.).

Ing. Martin Mikušiak,

MITAS, s.r.o.