Elementi uspeha za uspešno obvladovanje informacijskih tveganj

Predstavitev na temo: "Elementi uspeha za uspešno obvladovanje informacijskih tveganj"— Zapis predstavitve:

1 Elementi uspeha za uspešno obvladovanje informacijskih tveganj
Spoštovane gospe in gospodje. sem Nina Jeznik in prihajam iz podjetja iSON. Danes vam bom podala nekaj napotkov za uspešno obvladovanje informacijskih tveganj Nina Jeznik, risk manager

2 Reference Reference: Moja prva referenca je implementacija ISO sistem upravljanja varovanja informacij v Dravske elektrarne Maribor. Po dobri praksi DEM smo implementirali tudi sistem upravljanja varovanja informacij tudi v njihovo hčerinsko firmo – HSE Invest. Sama se ukvarjam predvsem z identifikacijo informacijskih tveganjem, njihovim ocenjevanjem in analiziranjem, pomagam pri izdelavi dokumentacije za presoje ter sodelujem pri presojah sistema vodenja za vse standarde s področja kakovosti, okolja, varnosti in zdravja pri delu ter varovanjem informacij. V družbi ELES sem pomagala pri prepoznavanju in ocenjevanju informacijskih tveganj skozi informacijsko podporo.

3 Kaj je tveganje? Vedno več naravnih katastrof (žled, poplave), informacijskih incidentov (virusi, zlonamerna elektronska sporočila) in kraj (gesel, dokumentov) so v podjetjih dvignila zavedanje, da je potrebno uspešno obvladovati tveganja, ki se dogajajo v že skoraj nepredvidljivem okolju napredne tehnologije in naravnih nesreč. Kako in na kakšen način in katere elemente uspeha je potrebno pri obvladovanju tveganja upoštevati pa bomo spoznali skozi predavanje. Vsekakor je edini cilj podjetij kljub naravnih katastrofam in incidentom nadaljevati neprekinjeno z njihovimi osnovnimi dejavnostmi. Podjetja si želijo ostati na suhem in identificirati grožnje in incidente, kar pa omogoča le uspešno obvladovanje informacijskih tveganj.

4 Tveganje - žled Spomnimo se letošnjega žleda med 30im Januarjem in 11 februarjem, ko je Slovenijo prizadel žled. Škoda, ki jo je na infrastrukturi - na električnem omrežju, železnici in cestah – povzročil žled je znašala kar 120 milijonov evrov.

5 Tveganje - žled Eles je utrpel škodo za 12 milijonov evrov. V ujmi je bilo porušenih 59, poškodovanih pa 34 daljnovodnih stebrov. Škoda bi bila še večja, če omrežja med letom ne bi tako skrbno in redno vzdrževali. Obremenitve na stebre in vodnike so bile od 8 do 12 krat večje od predvidenih. Skrb pa predstavlja dejstvo, da so se investicije v vzdrževanje v zadnjih letih občutno zmanjšala. Si znate predstavljati, kako bo ob naslednji havariji takšnih razsežnosti, če se bo ta trend zmanjševanja nadaljeval? Največjo škodo so utrpela elektrodistribucijska podjetja. Po zadnjih ocenah je poškodovanih ali uničenih tudi 2000 kilometrov distribucijskih elektroenergetskih vodov (to je pot iz Ljubljane do , Stocholma- Švedka) kar znaša škode za 63.5 milijonov evrov. Slovenske železnice so po zelo grobi oceni zabeležile za 34 milijonov evrov škode. Konkretna škoda je nastala na železniški vozni mreži in njenih stebrih, pa tudi zaradi prekinitve železniškega tovornega in potniškega prometa. Škoda, ocenjena na celotnem območju državnih cest, po prvi oceni dosegla 8,8 milijona evrov, vezana pa je na žled, odstranjevanje podrtih dreves, uničeno in poškodovano prometno signalizacijo. Na avtocestah in hitrih cestah pa je ocenjene škode za okoli 3,7 milijona evrov. Poškodovane so bile varovalne ograje in naprave.

6 Če podjetja nebi predvidela tveganja zaradi naravnih nesreč in nebi zavarovala svojega imetja, bi bila škoda občutno večja, za katero bi se lahko zgodilo, da bi jo še bolj občutili davkoplačevalci. Zato je pomembno, da se v družbah identificirajo tveganja, ki bi v primeru izpada pomenila večjo škodo, kot je potreben vložek (npr. zavarovalnina, vzdrževanje naprav…).

7 Tveganje - poplave V podjetju domovanje.com, ki nudi uporabnikom spletno gostovanje in domene, so jih v prejšnjih dneh prizadele poplave.

8 Tveganje - poplave Še sreča, da so predvideli tveganja in so imeli produkcijske strežniki na drugi lokaciji (testni strežniki na prvotni lokaciji so bili zaliti) sicer bi lahko uporabniki lahko ostali brez svojih podatkov na spletnih straneh oziroma podatkov v elektronski pošti.

9 Se zavedate groženj? nevarnost spletnih prevar, goljufij, kraje gesel?
vdorov v elektronsko bančništvo? spretnosti hekerjev in spletnih vohunov? možnosti, da vaš zaposlen odpre elektronsko pošto z okuženo priponko? slabosti pregleda uporabniških pravic? možnosti izgube podatkov? možnosti uhajanja zaupnih informacij? zlorabe pravic med vašimi zaposlenimi? možnosti okvar varnostnih kopij? nedostopnosti / prekinitve storitev? šibkost človeka v varnostni verigi? Sedaj smo govorili o tveganjih, ki so jih povzročile naravne nesreče, kaj pa konkretno informacijska tveganja. Se zavedate groženj, ki pretijo vašemu podjetju? Se zavedate: nevarnosti spletnih prevar, goljufij, kraje gesel, vdorov v elektronsko bančništvo; spretnosti spletnih vohunov, hekerjev in kriminalcev; možnosti, da vaš zaposlen odpre elektronsko pošto z okuženo priponko; slabosti pregleda uporabniških pravic do informacijskih sistemov; možnosti nepooblaščenih dostopov; možnosti izgube podatkov; možnosti uhajanja zaupnih informacij v javnost; poškodb podatkov zaradi naravnih nesreč; zlorabe pravic med vašimi zaposlenimi; možnosti okvar varnostnih kopij; nedostopnosti oziroma prekinitev storitev, ki jih nudite; šibkosti človeka v varnostni verigi?  

10 Ali si želite…? zmanjšati možnosti človeških napak?
želite varno in neprekinjeno poslovati? želite dokazati poslovnim partnerjem, da ste zaupanja vreden partner ter da so njihovi dokumenti na varnem? dvigniti ozaveščenosti zaposlenih iz informacijske varnosti? Si želite zmanjšati možnosti človeških napak; želite varno in neprekinjeno poslovati; želite dokazati poslovnim partnerjem, da ste zaupanja vreden partner ter da so njihovi dokumenti na varnem; želite zagotavljati zaupnost, razpoložljivost in celovitost informacij (svojih in naročnikovih); vzpostaviti višjo razpoložljivost in zanesljivost storitev; dvigniti ozaveščenosti zaposlenih iz informacijske varnosti; želite celovito varovanje informacij? Če se zavedate tveganj, se boste odločili, da jih boste identificirali oziroma prepoznali ter jih zmanjšali na sprejemljivo raven.

11 TVEGANJA Informacijska tveganje lahko posegajo na več področij, vključujejo tudi fizično varovanje vaše poslovne stavbe, možnosti nepooblaščenega vstopa, ločitev obiskovalcev od zaposlenih, identifikacija zaposlenih, uporaba ID kartic, sezname vstopov in izstopov, zaklepanje računalnika, zaklepanje zaupnih dokumentov, uporaba dobrih gesel za računalnik in mobitel, tveganja z vidika osebja, še posebej tista, s katerimi imamo sklenjene pogodbe, čistilke, računovodski servisi (ki vidijo vse podatke).

12 TVEGANJA Informacijska tveganje lahko posegajo na več področij, vključujejo tudi fizično varovanje vaše poslovne stavbe, možnosti nepooblaščenega vstopa, ločitev obiskovalcev od zaposlenih, identifikacija zaposlenih, uporaba ID kartic, sezname vstopov in izstopov, zaklepanje računalnika, zaklepanje zaupnih dokumentov, uporaba dobrih gesel za računalnik in mobitel, tveganja z vidika osebja, še posebej tista, s katerimi imamo sklenjene pogodbe, čistilke, računovodski servisi (ki vidijo vse podatke).

13 TVEGANJA Informacijska tveganje lahko posegajo na več področij, vključujejo tudi fizično varovanje vaše poslovne stavbe, možnosti nepooblaščenega vstopa, ločitev obiskovalcev od zaposlenih, identifikacija zaposlenih, uporaba ID kartic, sezname vstopov in izstopov, zaklepanje računalnika, zaklepanje zaupnih dokumentov, uporaba dobrih gesel za računalnik in mobitel, tveganja z vidika osebja, še posebej tista, s katerimi imamo sklenjene pogodbe, čistilke, računovodski servisi (ki vidijo vse podatke).

14 Tveganje - okužene priponke
Po Sloveniji se je v prejšnjih mesecih širilo sporočilo, ki naj bi ga pošiljal Telekom Deutschland. A to ni držalo. V njem se v resnici skrival virus in že nekaj nepremišljenih klikov z miško zaposlenega , bi lahko kakšno podjetje pripeljalo do katastrofe. Kdo od vas je pridobil sporočilo? Koliko od vas je odprlo okuženo priponko? Zato bodite pozorni in premislite, preden kliknete. Posledica okužbe je kraja gesel in na koncu morda celo finančno oškodovanje podjetja.

15

16 Zakaj prepoznavati tveganja?
odvisnost od informacijske tehnologije možnosti človeških napak želja po varnem in neprekinjenem poslovanju želja po prepoznavanju in zmanjševanju tveganja ohranjanje konkurenčne prednosti, dobičkonosnost in ugled na trgu zmanjševanje finančne škode v primeru vdorov v podjetje pravočasno odkrivanje in poročanje o varnostnih incidentih zmanjševanje stroškov, ki jih takšni dogodki povzročajo povečati zanesljivost storitev Torej zakaj je potrebno prepoznati informacijska tveganja? Ker so podjetja odvisna od informacijske tehnologije (vedno več procesov je informatiziranih), še vedno je človek najšibkejši člen v varnostni verigi in se pojavljajo možnosti človeških napak, podjetja želijo varno in neprekinjeno poslovati ter prepoznavati in zmanjševati tveganja na želeno raven ter ohranjati konkurenčne prednosti, dobičkonosnost in ugled na trgu; zmanjšati finančno škodo v primeru vdorov v podjetje; pravočasno odkrivati in poročati o varnostnih incidentih ter posledično zmanjševati stroške, ki jih takšni dogodki povzročajo ter povečati zanesljivost storitev.

17 Sistem upravljanja varovanja informacij
Z vzpostavitvijo sistema upravljanja varovanja informacij bodo tveganja: Postala vidna Možno jih bo upravljati Z vpeljavo kontrol postala sprejemljivejša Ko se enkrat zavedamo tveganj, ki pretijo našemu podjetju, lahko vzpostavimo sistema upravljanja varovanja informacij in z njim strukturirano zavedamo da bodo tveganja postala vidna, jih bo možno upravljati in z vpeljavo kontrol bodo postala sprejemljivejša.

18 Tveganjem ne morete ubežati
Tveganjem ne morete ubežati. Kljub temu, da uvedemo nekatere ukrepe za zmanjšanje tveganj, ne moremo sedaj reči, da tveganja ne obstajajo, ampak lahko samo rečemo, da smo zmanjšali tveganja na sprejemljivejšo raven. Ta raven je takšna, da jo lahko obvladujemo in opazujemo ter smo v pripravljenosti z napisanimi postopki, s katerimi lahko v primeru nezgode zagotovo hitro hitro ukrepanje in tako zmanjšamo tveganje.

19 E 1: ZANIMANJE VODSTVA Prvi izmed najpomembnejših elementov uspeha je vsekakor zanimanje vodstva. Če se vodstvo ne zanima za tveganja, jim tako tudi ne bodo namenil finančnih sredstev, ki pa so nujna za zmanjševanje tveganj. Na eni strani tehnice visi škoda, ki lahko nastane, na drugi strani pa vložek, ki ga lahko vložimo, da škodo na drugi strani zmanjšamo. Vložek pa nikoli ne sme biti večji od pričakovane škode (vendar je potrebno zajeti res vse dejavnike).

20 E 2: MARKETING Ko pridobimo podporo vodstva je prepričanje o pomembnosti obvladovanja informacijskih tveganj potrebno razširiti tudi med ostale zaposlene. Še posebej je pomembno, da se pomembnosti tveganj zavedajo skrbniki in lastniki proces, saj bodo le ti sodelovali pri ocenjevanju tveganj. To lahko dosežemo z učinkovitim marketingom – pripravimo dopis direktorja, ki doseže vsakega zaposlenega in v njem zapišemo razloge, zakaj je pomembno ocenjevati tveganja, ter časovno do kdaj se mora ocena izvesti. Če gre za večje družbe, lahko zapišete članek na temo informacijske varnosti na njihov intranet ali v interno revijo ali pa se natisne kakšna hudomušna knjižica, kot na primeru Dravskih elektrarn Maribor.

21 E 3: NAČRT Po uspešno izvedenem marketinškemu načrtu je potrebno narediti strukturiran načrt za izvedbo tveganja. Plan mora biti zapisan kar nekaj časa pred samo izvedbo oceno tveganj in biti potrjen s strani skrbnikov procesov, torej s strani tistih, ki bodo v največji meri sodelovali pri oceni tveganja. Procesov je lahko ogromno in zaradi časovne stiske ali večjih premikov se lahko ocena tveganja takoj zamakne za celo tri mesece ali več. Priporočamo vam, da še pred izvedbo organizirate delavnico s vsemi skrbniki procesi ter jim še enkrat pojasnite namen ocene tveganja, cilje ocene tveganja in postopek ocene tveganja in jim date priložnost za njihova vprašanja.

22 E 4: USTREZNA METODOLOGIJA
Pomembno je, da imate pripravljeno ustrezno metodologijo in program v katerem boste ocenjevali tveganja. Z nakupom nekaterih orodij pridobite že vključeno metodologijo, ki je povzeta po dobrih praksah v standardu ISO Na trgu obstaja več vrst orodij, s katerimi lahko naredite oceno tveganja

23 E 5: USTREZNO ORODJE 20 procesov x 270 sredstev x cca. 3 grožnje in ranljivosti na sredstvu = podatkov! Najpreprostejše in najcenejše orodje je seveda Excel, ki sem ga tudi uporabljala pri svojem delu. Zavedati se je potrebno nekaterih pomenljivosti napram profesionalnim orodjem, ki so namenjena za ocenjevanje tveganj. Če se odločimo za nakup aplikacije bomo z aplikacijo časovno učinkovitejši, saj so takšne aplikacije enostavno za uporabo in nas strukturirano vodijo po korakih ocenjevanja. Prav tako, boste pridobili vpogled v celoten proces ocenjevanja v enem programu, napram prej, ko ste imeli ogromno Excelovih listov iz katerega še ocenjevalec ni mogel pridobiti celovite slike. Najboljše pa je, da takoj ko ocenite informacijska sredstva in tveganja na njih pridobite avtomatsko analizo. Z odlično analizo in odličnim grafičnim prikazom sedaj lahko poročate vodstvu še bolj učinkovito. Enostavno lahko tudi implementirate lastno metodologijo ter tako prepoznavate vsako tveganje. Grožnje in ranljivosti lahko enostavno dodajate na podlagi organizacijskih sprememb, incidentov in zakonodaje. Primerjate lahko izdaje in tako dobimo sliko za nazaj. Največji poudarek pa je vsekakor časovna učinkovitost, saj se vam bo zmanjšalo delo za kar 7 dni intenzivnega dela v Excelu.

24 E 6: INFORMATIZACIJA OCENE TVEGANJ
Najpreprostejše in najcenejše orodje je seveda Excel, ki sem ga tudi uporabljala pri svojem delu. Zavedati se je potrebno nekaterih pomenljivosti napram profesionalnim orodjem, ki so namenjena za ocenjevanje tveganj. Če se odločimo za nakup aplikacije bomo z aplikacijo časovno učinkovitejši, saj so takšne aplikacije enostavno za uporabo in nas strukturirano vodijo po korakih ocenjevanja. Prav tako, boste pridobili vpogled v celoten proces ocenjevanja v enem programu, napram prej, ko ste imeli ogromno Excelovih listov iz katerega še ocenjevalec ni mogel pridobiti celovite slike. Najboljše pa je, da takoj ko ocenite informacijska sredstva in tveganja na njih pridobite avtomatsko analizo. Z odlično analizo in odličnim grafičnim prikazom sedaj lahko poročate vodstvu še bolj učinkovito. Enostavno lahko tudi implementirate lastno metodologijo ter tako prepoznavate vsako tveganje. Grožnje in ranljivosti lahko enostavno dodajate na podlagi organizacijskih sprememb, incidentov in zakonodaje. Primerjate lahko izdaje in tako dobimo sliko za nazaj. Največji poudarek pa je vsekakor časovna učinkovitost, saj se vam bo zmanjšalo delo za kar 7 dni intenzivnega dela v Excelu.

25 E 7: OCENJEVANJE S TISTIMI, KI POZNAJO PROCES
Prepoznavanje tveganj mora potekati s skrbniki procesa, ki svoj proces poznajo najbolj podrobno. Oni se zavedajo najbolj svojih tveganj in tako najlažje tudi predlagajo ukrepe za zmanjševanje tveganj. Zelo pomembno tudi je, že kot tudi sam standard govori, da definirate za vsako prepoznano tveganje lastnika tveganja, ki bo odgovoren za vzpostavitev delovanja, nastavitve in vzdrževanje informacijskih sredstev ter seveda bo prevzel tveganje. Poimensko definirajte lastnike tveganj, saj samo tako se bo vsak zavedal svoje odgovornosti in pooblastil in tako bodo tveganja hitro prepoznana, odpravljena in nadzorovana.

26 E 8: IZVEDBA NAJPREJ V INFORMATIKI
Priporočamo, da si vzamete čas in najprej oceno tveganja izvedete v informatiki, saj se več kot 70% informacijskih sredstev pojavlja v informatiki. Uporabniki programov ne poznajo delovanja v ozadju, kje se podatki hranijo, vendar lahko ocenjujejo samo podatke, za katere so oni odgovorni. Same aplikacije (strežniki, programi), pa morajo biti prepoznane v informatiki, saj jih informatika nudi kot storitev uporabnikom.

27 E 9: DOBRA ANALIZA Z dobro analizo in z grafičnem pogledom lahko tako vodstvu omogočite odličen vpogled v analizo ocene tveganja. Tako lahko vodstvo takoj vidi za katera tveganja je podjetje najbolj ranljivo in koliko denarja je potrebno nameniti za posamezna tveganja, da se le ta lahko obvladujejo. Ne smemo pozabiti, da lahko tveganja tudi sprejmemo, se jih zavedamo ampak tako upoštevamo finančno škodo, ki lahko nastane. Tveganje lahko tudi preusmerimo na naše dobavitelje – na primer informatiko, če le te nimamo lastne in zahtevamo, da nam zagotavljajo 100% razpoložljivost in neprekinjenost storitev, seveda se sklicujemo na pogodbo

28 E 10: PREPOZNAVANJE NOVIH INCIDENTOV IN GROŽENJ
Analiza tveganja pa še daleč ni končana z zavrtenim enim krogom. Ves čas morate prepoznavati nove grožnje in vključevati nove incidente, ki so se tekom leta zgodili. Pripravite si obrazec za analizo incidenta, ki po odpravi incidenta vključuje ponovno oceno tveganja. Po odpravi incidenta z izvedenimi nekaterimi ukrepi se lahko tveganja tako zmanjšajo zaradi izvedenih ukrepov ali pa po drugi strani tveganja povečajo, saj smo tveganje prvič prepoznali zaradi incidenta in lahko na tem področju naredimo še več (npr. odprtje sumljive elektronske priponke - izobraževanje uporabnikov).

29 Vključitev skrbnikov procesa Definiranje lastnikov tveganj
ELEMENTI USPEHA Podpora vodstva Marketing Strukturiran plan Vključitev skrbnikov procesa Definiranje lastnikov tveganj Uspešna metodologija Orodje Elementov uspeha za uspešno obvladovanje tveganj je več. Danes smo govorili samo o elementih uspeha za uspešno obvladovanje informacijskih tveganj, ki vsekakor najbolj vključujejo podporo vodstva, strukturiran plan, vključitev skrbnikov procesov, definiranje lastnikov tveganja, uspešno metodologijo in orodje, ki zagotavlja primerjavo med leti in s finančnega vidika.

30 Različna orodja so različno draga
Različna orodja so različno draga. V postopku nakupa se je potrebno vprašati katera tveganja si želimo obvladovati, če želimo vključiti samo tveganja na področju informacijske varnosti je dovolj le takšno orodje. Če pa ima družba že razvito in postavljeno metodologijo na drugih področjih, kot so okoljska tveganja, strateška tveganja ali projektna tveganja, vam predlagamo, da takšna tveganja vključite v isto aplikacijo, ki pa mora seveda podpirati primerljivo metodologijo, saj le tako boste lahko še bolj uspešni in boste lahko celovito obvladovali tveganja. Mi smo delali z aplikacijo RRA, ki vključuje samo tveganja s področja informacijske varnosti in z aplikacijo SBR, ki vključuje vsa tveganja, primerjava med Excelom in aplikacijami pa je neverjetna v časovni učinkovitosti in bolj uspešnem obvladovanju. Cilj podjetij pa je vsekakor ostati na suhem in identificirati grožnje in incidente, še preden pride do kašnega incidenta, kar omogoča le uspešno obvladovanje informacijskih tveganj. Želimo vam čim bolj uspešno in čim manj informacijskih in drugih incidentov!

31 Vsekakor si v DEM želimo v prihodnje ostati na suhem in identificirati grožnje in ranljivosti, še preden, da pride do kakšnega incidenta.

32 HVALA ZA VAŠO POZORNOST!
Za več informacij: Hvala vam za vašo pozornost in lep dan še naprej!