Vyhodnocení rizik: kvantifikace opatření

V tomto příspěvku se dozvíte, jakým způsobem provést vyhodnocení jednotlivých opatření a zvolit to nejefektivnější.

V okamžiku, kdy jsme provedli analýzu rizik a známe již celkovou škodu, kterou by mohly jednotlivé hrozby způsobit, měli bychom se zamyslet nad volbou vhodných opatření. Rozhodnutí, zda bude dané opatření vůbec implementováno, by měla předcházet tzv. cost/benefit analýza. V rámci této analýzy bychom měli posoudit, jaká je hodnota aktiva a jaké jsou náklady na jeho ochranu. Pro výpočet hodnoty lze použít následující vzorec:

Štítky: , ,
celý článek

COBIT tajemství zbavený

V tomto příspěvku se dozvíte, co je to COBIT, pro koho je tato metodika určena a jaký je její přínos.

Metodika CobiT (Control OBjectives for Information and related Technology) je považována za soubor těch nejlepších praktik pro řízení informatiky (IT Governance), které by měly umožnit dosažení strategických cílů organizace díky efektivnímu využití dostupných zdrojů a minimalizaci IT rizik.

Štítky: ,
celý článek

Logická bomba

Logická bomba je samostatná aplikace, skript nebo kód vložený do jiného programu, který se spustí po splnění určitých podmínek.

Logická bomba může dělat v podstatě cokoliv. Nejčastěji ji do systému umísťuje nespokojený zaměstnanec, který ví, že bude propuštěn nebo se této situace obává a jeho motivem tak bývá pomsta nebo snaha se finančně zajistit v období, kdy bude bez práce a příjmu. O tom, že toto riziko roste např. v době krize, jsme již psali.

Štítky:
celý článek

Vyhodnocení rizik: identifikace opatření

Cílem tohoto příspěvku je popsat jednotlivé typy bezpečnostních opatření a doplnit tak informace uvedené v knize „Řízení informačních rizik v praxi“.

Pro termín opatření, někdy též protiopatření, se v informační bezpečnosti používají více či méně zaměnitelná synonyma security measures, countermeasures, safeguards nebo controls. Ať už je ale použit jakýkoliv termín, vždy se jedná o opatření, jehož cílem je snížit riziko na akceptovatelnou úroveň a ochránit tak cenná aktiva. Podle způsobu implementace můžeme opatření rozdělit na:

Štítky: , ,
celý článek

Outsourcing ICT: uzavíráme SLA

V tomto příspěvku se dozvíte, co by měla smlouva o outsourcingu obsahovat a na co si dát pozor.

Kromě běžných náležitostí jako je identifikace smluvních stran, místo plnění smlouvy apod., by ve smlouvě o outsourcingu mělo být uvedeno, jaké služby a v jaké kvalitě se společnost zavazuje dodávat, jak bude probíhat vyhodnocování kvality těchto služeb, jaká je cena za tyto služby a jaké jsou sankce v případě neplnění.

Štítky: ,
celý článek

Vícevrstvá architektura: popis vrstev

Vícevrstvá architektura se často označuje jako multi-tier nebo ještě častěji jako n-tier, kde n vyjadřuje počet vrstev, ze kterých se vícevrstvá architektura skládá.

Jako vícevrstvá se označuje proto, že funkčnost aplikace je rozdělena mezi několik vzájemně spolupracujících vrstev, které spolu komunikují přes definované rozhraní. Nejběžnějším příkladem vícevrstvé architektury je architektura třívrstvá, kterou používá mnoho webových aplikací. V takovém případě rozlišujeme vrstvu, která se stará o uživatelské rozhraní, vlastní logiku aplikace a databázi.

Štítky:
celý článek

Analýza rizik: kvantitativní analýza rizik

Cílem tohoto příspěvku je poskytnout čtenáři jednoduchý návod jak provést kvantitativní analýzu rizik a doplnit informace uvedené v knize „Řízení informačních rizik v praxi“.

Kvantitativní analýza rizik je založena na vyjádření hodnoty aktiva a dopadu v peněžních jednotkách. Analýza rizik probíhá v několika krocích, ve kterých se snažíme o identifikaci a kvantifikaci aktiv, hrozeb, zranitelností a stanovení celkové výše škody. Jednotlivé kroky nebo chcete-li fáze analýzy rizik, si dále stručně popíšeme.

Štítky: ,
celý článek

Bezpečnost-náklady-použitelnost

Mezi bezpečností, náklady a použitelností je určitý vztah. Tento vztah se někdy označuje jako trojí omezení.

Graficky lze tento vztah vyjádřit nejlépe pomocí trojúhelníku, kde každá strana představuje právě jednu veličinu. Obecně platí, že pokud se změní jedna veličina, změní se minimálně i jedna další. Čím vyšší hodnotu dané veličině přisoudíme, tím můžeme považovat dané řešení za bezpečnější, použitelnější nebo lacinější.

Štítky:
celý článek

Outsourcing ICT: rizika o kterých se nemluví

Proč outsourcovat IT? Důvodů, proč outsourcovat některé činnosti nebo rovnou celé IT, je několik.

Jako vůbec nejčastější důvod se uvádí, že společnost, která se rozhodne některé své činnosti, jež nesouvisí přímo s předmětem jejího podnikání, svěřit jiné, na danou činnost se specializující společnosti, se pak bude moci plně soustředit jen na svůj business a dosáhnout tak lepších hospodářských výsledků a obstát v boji s konkurencí. Je tomu ale opravdu tak?

Štítky: ,
celý článek

Autentizace: Jak vybrat vhodnou autentizační metodu?

V tomto příspěvku se dozvíte, jak postupovat při výběru vhodné autentizační metody.

Vybrat vhodnou autentizační metodu není vůbec jednoduché. Vždy je třeba znát účel a podmínky, v jakých má být autentizace nasazena. Kromě toho se musíte rozhodnout, zda nasadíte autentizaci jednofaktorovou, dvoufaktorovou nebo vícefaktorovou. Začít můžete třeba tím, že provedete kvalitativní AR, kdy stanovíte hodnotu aktiva, pro přístup k němuž se máte autentizovat, míru hrozby a zranitelnosti a spočtete výsledné riziko.

Štítky: ,
celý článek