Inform

1
Információ Biztonsági Irányítási Rendszer
bevezetési és üzemeltetési tapasztalatok(A
megtett út BS 7799-21999-tol ISO/IEC
270012005-ig)Potóczky AndrásPénzjegynyomda
Zrt., számítástechnikai o.v.
2
Mi lehet a cél?

• a szervezet kulcsfolyamatainak zavartalan,
  minimális kockázatú muködése
• átlátható üzleti és információs folyamatok
• rendszerben muködo információ bázis
• az információ rendelkezésre állásának,
  sértetlenségének, bizalmasságának biztosítása
• fizikai biztonság, humán eroforrás biztonsága
• termék, szolgáltatás biztonsága
• tulajdonos és külso partnerek követelményeinek
  való megfelelés

3
Mit tegyünk ehhez?

• a szervezet legfelso vezetoinek személyes
  elkötelezettsége
• személyi és anyagi feltételek megteremtése
• üzleti folyamatok felmérése
• meglévo szabályzások, dokumentációk megismerése
• kockázatelemzés
• kockázatok elviselheto szintre történo
  csökkentése
• szabvány szerinti, auditálható rendszer
  kialakítása, muködtetése és annak igazolása

4
(No Transcript)
5

• www.iso27001certificates.com

6
Miért a BS 7799-2-t választottuk?

• rendszerszintu szemlélet
• bevezethetoségi nyilatkozat
• nem csak az informatikára korlátozódik
• nem ajánlás, szabvány, amely szerint auditálni
  lehet
• a világ 74 országában 5206 szervezet ezt már
  felismerte
• legkisebb a néhány fos kft, legnagyobb a The Word
  Bank Group, szerintem
• külsos partnerek felé történo egyértelmu, gyors
  dokumentálás

7
Mit engedett meg a BS 7799-2?

• bármely eddig megszokott eszköz, munkamódszer,
  bevált gyakorlat továbbra is alkalmazható
• a szabvány eloírásainál lehet többet megszervezni
  és muködtetni
• meglévo módszerek beintegrálása a BS 7799-2
  szerint kialakított Információ biztonsági
  irányítási rendszerbe
• nem engedi meg a szabvány leszukítését csak az
  informatikára!

8
Mit követelnek meg az auditorok?

• a teljes információ biztonsági rendszerre történo
  kiterjedést, amelynek csak egy része az
  informatika
• a felso vezeto elkötelezettséget
• független, kello hatalommal bíró irányítást
• a szabvány minden pontjának való megfelelést,
  illetve kizárást
• kelloképpen felkészített munkatársakat
• több hónapos dokumentált muködési gyakorlatot
• belso auditorok dokumentált munkáját
• stb

9
Mi a plusz az ISO/IEC 270012005 eloírásaiban?

• Külso munkavégzok felügyeletének szigorítása
• A hatékonyság mérésére mutatószámok bevezetése
• Naplóesemények figyelésének szigorítása,
  dokumentálása, archiválása
• Az eddigi ésszeru plusszok megjelenése a
  szabályzásban.

10
Mi jelenthet problémát?

• a munkatársak és az új belépok tudatlansága
• a felso vezetok hatalommal való visszaélése
• a munkatársak fásultsága, a fegyelem lazulása
• az új folyamatok, illetve a meglévok változásának
  figyelmen kívül hagyása
• a fejlodés elmaradása
• a kockázatok alábecsülése

11
Hogyan fejlodjünk tovább?

• kísérjük figyelemmel a szabvány változásait
• integráljuk egybe a minoségirányítást, a
  környezetvédelmi irányítást és az információ
  biztonsági irányítási rendszert, az egyéb
  tanúsításokat és a munkavédelmet is
• alakítsunk ki közös eljárásokat,
  munkautasításokat, véletlenül se szervezzük
  keresztbe a többi rendszert
• alakítsunk ki a rendszereket közös szemléletben
  irányító Integrált Vállalat Irányítási Tanácsot
• az auditorokat és a munkatársakat rendszeresen
  képezzük tovább, külön figyelmet fordítva a
  vezetokre

12
Mit tett ebbol a Pénzjegynyomda Zrt?

• 2003. nyarán megalakította az Integrált Vállalat
  Irányítási Tanácsot, amely azóta is folyamatosan
  muködik
• 2004. nyarán újra auditáltatta BS 7799-21999
  szerinti Információ biztonsági irányítási
  rendszerét és megkapta a BS 7799-22002 szerinti
  tanúsítását
• 2006. nyarára átállította rendszerét az ISO/IEC
  270012005-ös szabvány eloírásainak megfeleloen
  és ezt a tanúsítást is megszerezte.

13
Mik egy muködo Információ Biztonsági Irányítási
Rendszerben a fellazulás jelei?

• Az elkényelmesedés
• A pozíció harcok
• A felelosségre vonás hiánya
• A mindentudás hiú ábrándja
• A szabályzás és a mindennapos gyakorlat egymástól
  történo eltávolodása

14
Hová vezet, ha ezt idoben nem korrigáljuk?

• A belso auditok nem megfeleloségei
• A külso auditok nem megfeleloségei
• A tanúsítás megvonása
• Külso auditor és az ot ellenorzo auditok
  összefüggése
• A minosítés elvesztésének hatásai

15
Meddig lehet a rendszert szigorítani és lehet-e
túlszabályozni?

• Mit ír elo a szabvány? Mit vár az auditor?
• Miért nem vesszük lazábbra?
• Növekednek-e napi feladataink?
• Mit tesz Általános János, ha összecsapnak a feje
  felett a hullámok?
• A szabályzás és a napi gyakorlat egymásra
  gyakorolt hatásai.

16
Kérdések és válaszok

• mobil 06-30-311-8818
• e-mail potoczky.andras_at_pjrt.hu
• Köszönöm megtisztelo figyelmüket!