Správa zabezpečení ITIL - ITIL security management - Wikipedia

tento článek potřebuje další citace pro ověření. Prosím pomozte vylepšit tento článek podle přidávání citací ke spolehlivým zdrojům. Zdroj bez zdroje může být napaden a odstraněn. Najít zdroje: „Správa zabezpečení ITIL“  – zprávy  · noviny  · knihy  · učenec  · JSTOR (Srpna 2016) (Zjistěte, jak a kdy odstranit tuto zprávu šablony)

Správa zabezpečení ITIL popisuje strukturované začlenění zabezpečení do organizace. ITIL správa zabezpečení je založena na normě ISO 27001. „ISO / IEC 27001: 2005 pokrývá všechny typy organizací (např. Obchodní podniky, vládní agentury, neziskové organizace).^[1] ISO / IEC 27001: 2005 specifikuje požadavky na zavedení, implementaci, provoz, monitorování, revizi, údržbu a zdokonalení dokumentovaného systému řízení bezpečnosti informací v kontextu celkových obchodních rizik organizace. Specifikuje požadavky na implementaci bezpečnostních kontrol přizpůsobených potřebám jednotlivých organizací nebo jejich částí. ISO / IEC 27001: 2005 je navržen tak, aby zajistil výběr adekvátních a přiměřených bezpečnostních kontrol, které chrání informační aktiva a poskytují důvěru zúčastněným stranám. “

Základní koncept řízení bezpečnosti je informační bezpečnost. Primárním cílem informační bezpečnosti je kontrola přístupu k informacím. Hodnota informací je to, co musí být chráněno. Mezi tyto hodnoty patří důvěrnost, integrita a dostupnost. Odvozené aspekty jsou soukromí, anonymita a ověřitelnost.

Cíl správy zabezpečení má dvě části:

• Bezpečnostní požadavky definované v dohody o úrovni služeb (SLA) a další externí požadavky, které jsou specifikovány v podkladových smlouvách, legislativě a možných interních nebo externích uložených zásadách.
• Základní zabezpečení, které zaručuje kontinuitu správy. To je nezbytné k dosažení zjednodušené správy úrovně služeb pro zabezpečení informací.

SLA definují bezpečnostní požadavky spolu s legislativou (je-li relevantní) a dalšími smlouvami. Tyto požadavky mohou fungovat jako klíčové indikátory výkonu (KPI), které lze použít pro správu procesů a pro interpretaci výsledků procesu správy zabezpečení.

Proces správy zabezpečení se týká dalších procesů ITIL. V této konkrétní části jsou však nejzřetelnějšími vztahy vztahy k správa úrovně služeb, řešení incidentů a řízení změn procesy.

Správa zabezpečení

Správa zabezpečení je nepřetržitý proces, se kterým lze srovnávat W. Edwards Deming kruh kvality (Plánovat, dělat, kontrolovat, jednat ).

Vstupy jsou požadavky od klientů. Požadavky jsou přeloženy do bezpečnostních služeb a metrik zabezpečení. Klient i dílčí proces plánu ovlivňují SLA. SLA je vstupem jak pro klienta, tak pro celý proces. Poskytovatel vytváří bezpečnostní plány pro organizaci. Tyto plány obsahují zásady a dohody na provozní úrovni. Bezpečnostní plány (Plan) se poté implementují (Do) a implementace se poté vyhodnotí (Check). Po vyhodnocení jsou plány a realizace plánu zachovány (zákon).

Činnosti, výsledky / produkty a proces jsou dokumentovány. Externí zprávy jsou psány a zasílány klientům. Klienti jsou poté schopni přizpůsobit své požadavky na základě informací získaných prostřednictvím zpráv. Poskytovatel služeb může dále upravit svůj plán nebo implementaci na základě svých zjištění tak, aby vyhověl všem požadavkům uvedeným ve smlouvě SLA (včetně nových požadavků).

Řízení

První aktivitou v procesu správy zabezpečení je podproces „Control“. Dílčí proces Control organizuje a spravuje proces správy zabezpečení. Dílčí proces Control definuje procesy, rozdělení odpovědnosti za prohlášení o zásadách a rámec řízení.

Rámec správy zabezpečení definuje dílčí procesy pro vývoj, implementaci a hodnocení do akčních plánů. Dále rámec řízení definuje, jak by měly být výsledky hlášeny klientům.

Model metaprocesu kontrolního dílčího procesu je založen na a UML diagram činnosti a poskytuje přehled o činnostech dílčího procesu kontroly. Šedý obdélník představuje řídicí podproces a menší tvary paprsku uvnitř představují činnosti, které se v něm odehrávají.

Model metadat řídicího podprocesu je založen na UML třídní diagram. Obrázek 2.1.2 ukazuje metamodel řídicího podprocesu.

Obrázek 2.1.2: Dílčí proces řízení modelu metaprocesu

CONTROL obdélník s bílým stínem je otevřený komplexní koncept. To znamená, že ovládací obdélník se skládá z kolekce (pod) konceptů.

Obrázek 2.1.3 je model procesních dat řídicího podprocesu. Ukazuje integraci těchto dvou modelů. Tečkované šipky označují koncepty, které jsou vytvořeny nebo upraveny v odpovídajících aktivitách.

Obrázek 2.1.3: Dílčí proces řízení modelu procesních dat

Plán

Dílčí proces Plán obsahuje aktivity, které ve spolupráci s správa úrovně služeb vést do sekce (informace) Zabezpečení v SLA. Dílčí proces Plán dále obsahuje činnosti, které souvisejí s podpůrnými smlouvami, které jsou specifické pro (informační) bezpečnost.

V dílčím procesu Plán jsou cíle formulované v SLA specifikovány ve formě dohod na operační úrovni (OLA). Tyto smlouvy OLA lze definovat jako plány zabezpečení pro konkrétní entitu interní organizace poskytovatele služeb.

Kromě vstupu dohody SLA pracuje dílčí proces Plan také s prohlášeními o zásadách samotného poskytovatele služeb. Jak již bylo řečeno, tato prohlášení o zásadách jsou definována v kontrolním dílčím procesu.

Dohody na provozní úrovni pro informační bezpečnost jsou nastaveny a implementovány na základě procesu ITIL. To vyžaduje spolupráci s dalšími procesy ITIL. Například pokud si řízení zabezpečení přeje změnit IT infrastruktura za účelem zvýšení bezpečnosti budou tyto změny prováděny prostřednictvím řízení změn proces. Správa zabezpečení poskytuje vstup (žádost o změnu) pro tuto změnu. Manažer změn je odpovědný za proces řízení změn.

Plán se skládá z kombinace neuspořádaných a objednaných (dílčích) aktivit. Dílčí proces obsahuje tři komplexní činnosti, které jsou uzavřenými činnostmi a jednu standardní činnost.

Stejně jako podproces Control je modelován podproces Plan pomocí techniky meta-modelování. Levá strana obrázku 2.2.1 je metadata modelu dílčího procesu Plan.

Obdélník Plan je otevřený (komplexní) koncept, který má agregační typ vztahu se dvěma uzavřenými (komplexními) koncepty a jedním standardním konceptem. Dva uzavřené koncepty nejsou v tomto konkrétním kontextu rozšířeny.

Následující obrázek (obrázek 2.2.1) je diagram procesních dat dílčího procesu plánu. Tento obrázek ukazuje integraci obou modelů. Tečkované šipky označují, které koncepty jsou vytvořeny nebo upraveny v odpovídajících činnostech dílčího procesu Plan.

Obrázek 2.2.1: Procesní datový model Podproces plánu

Implementace

Dílčí proces Implementace zajišťuje, že všechna opatření, jak jsou specifikována v plánech, jsou správně implementována. Během podprocesu Implementace nejsou definována ani měněna žádná opatření. Definice nebo změna opatření probíhá v podprocesu Plán ve spolupráci s Procesem řízení změn.

Levá strana obrázku 2.3.1 je metaprocesním modelem fáze implementace. Čtyři štítky s černým stínem znamenají, že tyto aktivity jsou uzavřené koncepty a v tomto kontextu se nerozšíří. Žádné šipky spojují tyto čtyři aktivity, což znamená, že tyto aktivity jsou neuspořádané a hlášení bude provedeno po dokončení všech čtyř aktivit.

Během fáze implementace jsou vytvářeny a / nebo upravovány koncepty.

Vytvořené a / nebo upravené koncepty jsou modelovány pomocí techniky meta-modelování. Pravá strana obrázku 2.3.1 je meta-datový model implementačního dílčího procesu.

Implementační dokumenty jsou otevřeným konceptem a jsou v této souvislosti rozšířeny. Skládá se ze čtyř uzavřených konceptů, které nejsou rozšířeny, protože jsou v tomto konkrétním kontextu irelevantní.

Aby byly vztahy mezi těmito dvěma modely jasnější, je integrace těchto dvou modelů znázorněna na obrázku 2.3.1. Tečkované šipky běžící od aktivit k konceptům ilustrují, které koncepty jsou vytvořeny / upraveny v odpovídajících aktivitách.

Obrázek 2.3.1: Procesní datový model Implementační dílčí proces

Hodnocení

Hodnocení je nezbytné k měření úspěšnosti implementace a bezpečnostních plánů. Hodnocení je důležité pro klienty (a případně i třetí strany). Výsledky dílčího procesu Hodnocení se používají k udržení dohodnutých opatření a provádění. Výsledky hodnocení mohou vést k novým požadavkům a odpovídajícím požadavkům Žádost o změnu. Poté je definována žádost o změnu a odeslána do správy změn.

Tři druhy hodnocení jsou sebehodnocení, interní audit a externí audit.

Vlastní hodnocení se provádí hlavně v organizaci procesů. Interní audity provádějí interní auditoři IT. Externí audity provádějí externí nezávislí auditoři IT. Kromě těch, které již byly zmíněny, dochází k vyhodnocení na základě komunikovaných bezpečnostních incidentů. Nejdůležitějšími činnostmi pro toto hodnocení jsou bezpečnostní monitorování IT systémů; ověřovat bezpečnostní legislativu a implementaci bezpečnostního plánu; sledovat a reagovat na nežádoucí použití IT dodávek.

Obrázek 2.4.1: Procesní datový model Podproces hodnocení

Diagram procesních dat ilustrovaný na obrázku 2.4.1 sestává z modelu metaprocesu a modelu metadat. Subproces Hodnocení byl modelován pomocí techniky meta-modelování. Tečkované šipky běžící od diagramu meta-procesu (vlevo) k diagramu meta-dat (vpravo) označují, které koncepty jsou vytvořeny / upraveny v příslušných aktivitách. Všechny aktivity ve fázi hodnocení jsou standardní aktivity. Krátký popis konceptů fáze hodnocení je uveden v tabulce 2.4.2, kde jsou koncepty uvedeny a definovány.

Tabulka 2.4.2: Dílčí proces hodnocení koncepce a definice Správa zabezpečení

Údržba

Z důvodu změn v organizaci a IT infrastruktuře se bezpečnostní rizika časem mění, což vyžaduje revizi bezpečnostní sekce dohod o úrovni služeb a bezpečnostních plánů.

Údržba je založena na výsledcích dílčího procesu Hodnocení a na pohledu na měnící se rizika. Tyto činnosti přinesou návrhy. Návrhy slouží buď jako vstupy pro dílčí proces plánu a cestování cyklem, nebo mohou být přijaty jako součást udržování dohod o úrovni služeb. V obou případech by návrhy mohly vést k činnostem v akčním plánu. Skutečné změny jsou prováděny procesem správy změn.

Obrázek 2.5.1 je diagram procesních dat implementačního dílčího procesu. Tento obrázek ukazuje integraci meta-procesního modelu (vlevo) a meta-datového modelu (vpravo). Tečkované šipky označují, které koncepty jsou vytvářeny nebo upravovány v aktivitách fáze implementace.

Obrázek 2.5.1: Procesní model datový podproces údržby

Dílčí proces údržby začíná údržbou dohod o úrovni služeb a údržbou dohod o úrovni provozu. Poté, co se tyto činnosti uskuteční (v žádném konkrétním pořadí) a dojde k žádosti o změnu, dojde k žádosti o změnu činnosti a po dokončení žádosti o změnu činnosti bude zahájena činnost vykazování. Pokud není požadavek na změnu, pak se aktivita hlášení začne hned po prvních dvou činnostech. Koncepty v modelu metadat jsou vytvářeny / upravovány během fáze údržby. Seznam konceptů a jejich definice najdete v tabulce 2.5.2.

Tabulka 2.5.2: Koncept a definice Plán podprocesu Správa zabezpečení

Kompletní model procesních dat

Obrázek 2.6.1: Kompletní procesně-datový model Proces řízení zabezpečení

Vztahy s dalšími procesy ITIL

Proces správy zabezpečení, jak je uvedeno v úvodu, má vztahy s téměř všemi ostatními procesy ITIL. Jedná se o tyto procesy:

• Řízení vztahů se zákazníky v oblasti IT
• Správa úrovně služeb
• Správa dostupnosti
• Správa kapacity
• Správa kontinuity služeb IT
• Správa konfigurace
• Správa vydání
• Správa incidentů a servisní středisko
• Řešení problémů
• Správa změn (ITSM)

V rámci těchto procesů jsou vyžadovány činnosti týkající se bezpečnosti. Za tyto činnosti odpovídá příslušný proces a jeho procesní manažer. Správa zabezpečení však dává náznaky souvisejícímu procesu, jak tyto činnosti strukturovat.

Příklad: interní zásady e-mailu

Interní e-mail podléhá několika bezpečnostním rizikům, která vyžadují odpovídající bezpečnostní plán a zásady. V tomto příkladu se k implementaci zásad e-mailu používá přístup ITIL zabezpečení.

Je vytvořen tým správy zabezpečení a jsou formulovány a sdělovány procesní pokyny a sděleny všem zaměstnancům a poskytovatelům. Tyto akce se provádějí ve fázi kontroly.

V následující fázi plánování jsou formulovány zásady. Zásady specifické pro zabezpečení e-mailů jsou formulovány a přidány k dohodám o úrovni služeb. Na konci této fáze je celý plán připraven k realizaci.

Implementace probíhá podle plánu.

Po implementaci jsou zásady vyhodnocovány, buď jako sebehodnocení, nebo prostřednictvím interních nebo externích auditorů.

Ve fázi údržby se e-zásady upravují na základě vyhodnocení. Potřebné změny jsou zpracovávány prostřednictvím Žádostí o změnu.

Viz také

• Služby správy infrastruktury
• ITIL v3
• Microsoft Operations Framework
• Systém řízení bezpečnosti informací
• COBIT
• Model zralosti schopností
• ISPL

Viz také

• Informační bezpečnost

Reference

Zdroje

• Bon van, J. (2004). Správa IT služeb: een introductie op basis van ITIL. Nakladatelství Van Haren
• Cazemier, Jacques A .; Overbeek, Paul L .; Peters, Louk M. (2000). Správa zabezpečení, papírnictví.
• Správa zabezpečení. (1. února 2005). Microsoft
• Tse, D. (2005). Zabezpečení v moderním podnikání: model hodnocení zabezpečení pro postupy zabezpečení informací. Hong Kong: University of Hong Kong.

externí odkazy

• Otevřená architektura zabezpečení
• Domovská stránka Microsoft Operations Framework
• Web ISO / IEC 17799
• Oficiální stránky ITIL
• Fórum pro správu IT služeb
• Fórum ITIL
• ITIL wiki
• Model vyspělosti správy zabezpečení informací