Implementare SMSI

Fazele implementării SMSI
Plan 1: Stabilirea importanţei securităţii informaţiei
Plan 2: Definirea sferei SMSI
Plan 3: Definirea politicii de securitate
Plan 4: Stabilirea rolurilor şi responsabilităţilor
Plan 5: Identificarea şi clasificarea resurselor
Plan 6: Identificarea şi evaluarea riscurilor
Plan 7: Selectarea opţiunilor de tratare a riscului
Do 8: Implementare şi funcţionare SMSI
Do 9: Întocmirea declaraţiei de aplicabilitate
Do 10: Instruirea şi pregătirea personalului
Check 11: Monitorizarea şi controlul performanţelor SMSI
Act 12: Menţinerea SMSI şi îmbunătăţirea continuă

Plan 1: Stabilirea importanţei securităţii informaţiei
Identificarea şi documentarea obiectivelor afacerii
Identificarea proceselor de business
Identificarea sistemelor şi proceselor TI
Identificarea dependenţei afacerii de sistemele TI
Identificarea cerinţelor de protecţie pentru sistemele TI

Plan 2: Definirea sferei SMSI
Descrierea organizaţiei
Descrierea afacerii, obiective
Descrierea locaţiei geografice
Procese de afacere incluse în sferă
Sisteme TI incluse în sferă
O schemă fizică generală a locaţiei
Diagrame ce reflectă arhitectura SI (aplicații, flux de date, fizic, rețea logic și fizic)

Plan 3: Definirea politicii de securitate
Reprezintă demonstrarea atenţiei şi angajamentului managementului pentru securitatea informaţiei
Stabileşte directivele managementului pentru managementul securităţii informaţiei
Conţine:
Definiţia securităţii informaţiei
O declaraţie a managementului privind securitatea informaţiei
O scurtă descriere a principiilor, principalelor politici, standarde şi cerinţe de conformare;
O definire a responsabilităţilor generale şi specifice
Referinţă la documente care pot susţine implementarea Politicii

Plan 4: Roluri şi responsabilităţi în cadrul SMSI
Comitetul de conducere responsabil de securitatea informaţiei
Ofiţerul de securitate a informaţiei (OSI)
Diferite echipe cu destinaţie specială
Echipa de intervenţie la incidente
Echipa de instruire în domeniul securităţii
Echipa de planificare a continuităţii
Echipa de restabilire în caz de dezastru

Plan 4: Roluri şi responsabilităţi în cadrul SMSI
Posesor resurse
Gestionar resurse
Conducători de subdiviziune
Utilizatori

Plan 5: Indentificarea resurselor
Registrul resurselor organizaţiei
Informaţiile
Softuri aplicative
Servicii de suport
Bunuri fizice (hard)
Infrastructură (încăperi, sisteme de menţinere)
Personalul
Identificarea şi înregistrarea începe cu cele mai critice resurse

Plan 5: Clasificarea resurselor
Clasificarea se face pentru toate resursele importante
Clasificarea se face conform criteriilor:
Confidenţialitate
Integritate
Disponibilitate
Autenticitate
Non-Repudiere
Scări de clasificare
Critic
Important
Normal
Nesemnificativ

Plan 6: Identificarea şi evaluare riscurilor
Analiza ameninţărilor
Analiza vulnerabilităţilor
Analiza riscurilor
Evaluarea riscurilor

Plan 7: Selectarea opţiunilor de tratare a riscului
Opţiunile de tratare a riscului
Definirea politicilor de securitate
Definirea procedurilor
Identificarea soluţiilor de securitate
Evaluarea cost-eficienţei opţiunilor
Pregătirea Planului de tratare cu indicarea opţiunilor
Obținerea aprobării Managementului

Do 8: Implementare şi funcţionare SMSI
Implementarea planului de tratare a riscurilor
Planificarea proiectului de implementare
Pregătirea măsurilor de securitate
Testarea măsurilor de securitate
Implementarea măsurilor de securitate
Stabilirea indicatorilor de măsurare a eficienţei
Revizuirea riscului rezidual

Do 9: Declaraţia de aplicabilitate
Maparea măsurilor de securitate implementate pe cele din Anexa A, ISO/IEC 27001
Menţionarea excepţiilor, argumentarea neselecţiei, măsurile compensatorii
Poate fi utilă pentru eficientizarea controalelor BNM

Do 10: Instruire personal
Identificarea grupurilor de interes
Pregătirea planului de instruire
Pregătirea programului de instruire
Organizarea cursurilor de instruire
Menţinerea culturii de securitate corporativă

Check 11: Monitorizarea şi controlul performanţei SMSI
Raportarea incidentelor
Monitorizare efectuată de OSI
Auditul intern
Analiza de management

Act 12: Menţinerea SMSI şi îmbunătăţirea continuă
În rezultatul incidentelor
Rapoartelor de analiză a SMSI
Noi vulnerabilităţi
Schimbări în sistemul informaţional
Schimbări în legislaţia în vigoare

Documentaţia SMSI
Nivelul 1
Nivelul 2
Nivelul 3
Nivelul 4
Responsabilitate elaborare:
Conducere, comitet SMSI, OSI
Posesori resurse, gestionari
resurse
Posesori resurse, gestionari
resurse
Gestionari
resurse, OSI