Innowacyjna Gmina. Audyt bezpieczeństwa informacyjnego
Loading...
Innowacyjna Gmina red. Mirosław Hajder.pdf (8.95 MB)
Authors
Date
2018
Journal Title
Journal ISSN
Volume Title
Publisher
Wyższa Szkoła Informatyki i Zarządzania z siedzibą w Rzeszowie
Abstract
Doświadczeni nauczyciele akademiccy mówią w żartach, że praca na uczelni byłaby fantastyczna, gdyby nie zajęcia. Niestety, podobne odczucia towarzyszą użytkownikom Internetu. Usługi oferowane przez sieć już od wielu lat są częścią naszej codzienności, bez któ rej trudno sobie wyobrazić nasze sprawne funkcjonowanie. Jednak Internet, podobnie jak praca dydaktyczna ma swoją drugą, ciemniejszą stronę. Brak ograniczeń w komunikowaniu się, będący największą zaletą Internetu stał się jednocześnie jego przekleństwem. Informacja, któ ra trafia do sieci staje się w niej nieśmiertelna, żyje własnym życiem, bez względu na to, czy jest ona prawdziwa czy też nie. Ogólnodostępność i nieśmiertelność informacji stały się powodem wielu nieszczęść. Walka z osobami wykorzystującymi Internet do anonimowego szerzenia fałszywych opinii krzywdzących inne osoby jest trudna, lecz nie niemożliwa. Jedną z najskuteczniejszych metod walki z tą patologią jest wdrażanie rygorystycznych zasad przetwarzania danych osobowych tak, aby nie trafiały one do osó b niepowołanych, a także ograniczenie dopuszczalności umieszczania w przestrzeni publicznej informacji o innych, bez ich zgody. Doskonałym przykładem takich działań jest wdrożenie w Polsce Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE. Dokument ten, potocznie nazywany RODO, precyzyjnie określa zasady postępowania z naszymi danymi i wizerunkiem przez podmioty je przetwarzające. Powyższy akt normatywny jest nie pierwszym i zapewne nieostatnim dokumentem poświęconym bezpieczeństwu gromadzonej, magazynowanej, przetwarzanej, przesyłanej i udostępnianej informacji. Do chwili obecnej, pomimo wycofania przez Polski Komitet Normalizacyjny stosowana jest norma PN-ISO/IEC 15408 Technika informatyczna -- Techniki zabezpieczeń -- Kryteria oceny zabezpieczeń informatycznych. Składa się ona z trzech części zatytułowanych: Wprowadzenie i model ogólny, Komponenty funkcjonalne zabezpieczeń oraz Wymagania uzasadnienia zaufania do zabezpieczeń. Obecnie, najszerzej wykorzystywaną serią standardów poświęconych bezpieczeństwu informacji jest złożona z kilkudziesięciu niezależnych dokumentów norma ISO/IEC 27000. Niestety, w wyniku wieloletnich zaniedbań w obszarze bezpieczeństwa informacji, wdrożenie RODO, podobnie jak wcześniej norm ISO, okazało się wielkim wyzwaniem dla polskich przedsiębiorstw i samorządów. Dlatego, zespół redakcyjny Innowacyjnej Gminy zdecydował się poświęcić kolejne wydanie monografii tematom bezpieczeństwa informacyjnego. Szczególnym obszarem zainteresowania autorów będzie nie techniczne, a prawno-organizacyjne zapewnienie bezpieczeństwa. Nasza monografia nie jest opisem którejkolwiek z ustaw, norm czy rozporządzeń – w tym temacie napisanych zostało już wiele doskonałych publikacji [1], [2], [3], [4], [5], [6], [7], [8], [9], [10], [11], [12], [13], [14]. Autorzy postawili przed sobą ambitne zadanie pomocy osobom odpowiedzialnym w przedsiębiorstwie za bezpieczeństwo informacyjne w kreowaniu stosownej polityki. Dlatego, w jej obu tomach skoncentrowano się na przedstawieniu najważniejszych kroków, które powinien podjąć odpowiedzialny personel, w celu zapewnienia bezpieczeństwa swoich zasobów informacyjnych. Nie ulega wątpliwości, że działaniem przysparzającym najwięcej kłopotów jest opracowanie i wdrożenie Polityki bezpieczeństwa informacyjnego – zestawu instrukcji i regulaminów określających postępowanie z zasobami informacyjnymi przedsiębiorstwa. Aby rozwiązania zaprezentowane w monografii oparte były na solidnych podstawach, zdecydowano się opisać politykę zgodną z normą ISO/IEC 27001. Każdy z rozdziałó w został poświęcony wybranemu problemowi bezpieczeństwa, jawnie występującemu w normie. Rozpoczynają się one od analizy występującego problemu bezpieczeństwa, kończą zaś prezentacją rozbudowanego dokumentu (polityki, regulaminu, instrukcji), uwzględniającego większość wymagań bezpieczeństwa.Zadaniem administratora bezpieczeństwa informacyjnego (lub inspektoraochrony danych) będzie dostosowanie wzoru polityki lub regulaminu do własnych, specyficznych potrzeb. Aby odróżnić analizę od przykładów, te ostatnie wyróżniono inną czcionką i numeracją. Przedstawione dokumenty były zweryfikowane przez kilkudziesięciu użytkowników instytucjonalnych. Dzięki ich pomocy zostały one dostosowane do aktualnych realiów ochrony. Chociaż w prezentowanej książce dominują tematy związane z polityką bezpieczeństwa informacyjnego, rozpoczyna ją jednak rozdział będący opisem procedury audytu, będącej podstawą najważniejszych działań w obszarze bezpieczeństwa informacyjnego. Audyt może być ukierunkowany na wiele różnych uregulowań bezpieczeństwa systemów informacyjnych. Procedury przytoczone w książce mają uniwersalny charakter i nie dotyczą bezpośrednio żadnego z aktó w normatywnych definiujących sposób audytowania – zaprezentowany został autorski scenariusz prowadzenia audytu.Podobnie jak wcześniejsze wydania Innowacyjnej Gminy, również niniejszy tom oferowany jest czytelnikom nieodpłatnie. Jednocześnie informujemy, że wszystkie dotychczasowe tomy naszej monografii cyklicznej są zdeponowane na ogólnodostępnych portalach z publikacjami naukowymi (Research Gate, Google Scholar), a także w bibliotece internetowej wydawnictwa Wyższej Szkoły Informatyki i Zarządzania z siedzibą w Rzeszowie