Monitoring i bezpieczeństwo: Walka z ryzykiem IT

Janusz Grobicki

Tylko rzetelna i dokładne przeprowadzenia analiza może dać podstawę do przygotowania polityki bezpieczeństwa, a tym samym dobranie odpowiednich zabezpieczeń. Zarządzanie informacją to proces powiązany z zarządzaniem bezpieczeństwem systemów informatycznych, definiowanego jako „proces identyfikowania, kontrolowania i minimalizowania ryzyka dotyczącego bezpieczeństwa przy zachowaniu akceptowalnego poziomu kosztów”.

Chronić informacje, nie systemy

Tworząc politykę bezpieczeństwa instytucji finansowej w obszarze IT, najpierw należy dokonać oceny znaczenia i wartości posiadanych informacji. Trzeba wiedzieć, które informacje są ważne, krytyczne, objęte przymusem ochrony, a które jedynie powinny być chronione. Dopiero na tej podstawie można konstruować politykę bezpieczeństwa dla całej organizacji.

Nie można mówić o polityce bezpieczeństwa w obszarze informatycznym, jeżeli nie zostały stworzone odpowiednie dokumenty i procedury dla całej organizacji. Należy dokładnie zidentyfikować te obszary, które mają krytyczne znaczenie z biznesowego punktu widzenia. Należy przyłożyć odpowiednią wagę biznesową do odpowiednich informacji. A także przeanalizować sposoby, które mogą doprowadzić do stracenia poufności, dostępności i integralności informacji. Czyli tych trzech podstawowych cech, które decydują o tym, czy informacja jest bezpieczna, czy też nie. Powinno się również stworzyć hipotetyczną mapę potencjalnych możliwości zaatakowania systemu. Celem polityki bezpieczeństwa jest więc ochrona informacji, a nie systemów informatycznych. Chodzi o to, żeby w razie awarii systemu informacja nadal była dostępna, możliwa do odtworzenia i o nienaruszonej integralnoś...