Analiza ryzyka to podstawa wdrożenia Systemu Zarządzania Bezpieczeństwem Informacji w Organizacji
Uproszczona analiza stosowanych zabezpieczeń
Szczegółowa analiza ryzyka zgodna z wymogami normy ISO 27005
Analiza i ocena ryzyka. Ranking ryzyk
Postępowanie z ryzykiem: planowanie działań i realizacja
Raporty, dokumentacja
Dlaczego SAR ?
SAR to System, który umożliwia przeprowadzenie analizy ryzyka przez organizację z wykorzystaniem własnego zespołu bez konieczności zatrudniania konsultantów zewnętrznych. Dzięki takiemu podejściu budujemy wiedzę związaną z bezpieczeństwem informacji we własnej organizacji, zwiększając długofalowo odporność organizacji na zagrożenia.
Analiza podstawowa - Szybka diagnoza poziomu zabezpieczeń na podstawie rozbudowanej ankiety podnosi poziom świadomości na temat zagrożeń i podatności zwiększając istotnie bezpieczeństwo informacji. Dla mniejszych podmiotów może stanowić podstawę Systemu Zarządzania Bezpieczeństwem Informacji.
Analiza szczegółowa - Prowadzi użytkownika krok po kroku przez przeprowadzanie analizy ryzyka zgodnej z ISO 27005: od kontekstu (zadania i cele organizacji), poprzez grupowanie informacji i zasobów, ich wartościowanie, analizę zagrożeń, zabezpieczeń, podatności. Umożliwia stworzenie odpowiednio zwizualizowanego rankingu ryzyk.
Postępowanie z ryzykiem – System wspiera zarządzanie ryzykiem, w tym planowanie działań związanych z ograniczaniem ryzyka, zatwierdzanie tych działań, określanie terminów, wyznaczanie osób odpowiedzialnych za realizację. Pozwala na monitorowanie i dokumentowanie takich działań. 
Cykliczność działania – System wspiera powtarzalność i cykliczność prowadzonych działań: umożliwia zaplanowanie kolejnej analizy, automatycznie podpowiada dane z poprzedniej, wysyła powiadomienia do osób, które powinny brać w niej udział. Dzięki powtarzalności operacji każda kolejna analiza staje się łatwiejsza.
Dlaczego SAR?
Z naszego doświadczenia wynika, że klienci z sektora publicznego mają istotne trudności z realizacją okresowej i ciągłej analizy ryzyka w obszarze bezpieczeństwa informacji. Dotyczy to w szczególności jednostek samorządu terytorialnego oraz podmiotów od nich zależnych. Dzieje się tak pomimo faktu, że obowiązek ten wynika wprost z obowiązujących przepisów prawa. Aktualne wymagania Krajowych Ram Interoperacyjności (KRI), RODO, jak również zapisy nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa, jednoznacznie wskazują na konieczność przeprowadzania analizy ryzyka w sposób cykliczny, nie rzadziej niż raz w roku.
W praktyce analiza ryzyka bywa zlecana podmiotom zewnętrznym. Nawet jeśli zostanie ona wykonana w sposób profesjonalny i zgodny z prawidłową metodyką, po zakończeniu świadczenia usługi organizacja często nie dysponuje wystarczającą wiedzą, aby samodzielnie powtórzyć ten proces w kolejnych latach. W efekcie prace nie są kontynuowane, a analiza ryzyka pozostaje jednorazowym działaniem formalnym, a nie elementem stałego zarządzania bezpieczeństwem.
Alternatywnym scenariuszem jest próba przeprowadzenia analizy ryzyka przez zespół wewnętrzny. Jednak w wielu przypadkach zespoły te nie posiadają odpowiednich kompetencji, w szczególności znajomości metodyki, niezbędnych do prawidłowego przeprowadzenia całego procesu analizy ryzyka.
Naszym celem było stworzenie systemu, który umożliwi organizacjom zwłaszcza małym i średnim samodzielne przeprowadzenie analizy ryzyka krok po kroku, zgodnie z zaimplementowaną przez nas metodyką. Rozwiązanie to pozwala na nabycie wiedzy dotyczącej analizy ryzyka wewnątrz organizacji, zapewnia porównywalność wyników kolejnych analiz oraz sprawia, że wyciągane wnioski realnie przyczyniają się do podnoszenia poziomu bezpieczeństwa informacji i systemów IT.
Wypełnij formularz, a pełną ofertę wyślemy na podany przez Ciebie adres e-mail.
Otrzymaj pełną ofertę
Informacja o organizacji (kontekst)
Zgodnie z wytycznymi zawartymi w normie ISO 27005 przed przystąpieniem do właściwej analizy ryzyka należy opisać kontekst funkcjonowania organizacji, na który składają się:
- dane o organizacji i środowisku,
- podstawy prawne działania organizacji,
- interesariusze zewnętrzni,
- interesariusze wewnętrzni
System posiada wstępnie przygotowane opisy dla trzech kategorii organizacji: Urzędów Gmin/Miast, Starostw Powiatowych oraz Ośrodków Pomocy Społecznej
Podstawowa analiza ryzyka
Analiza prowadzona jest w formie ankiety (TAK/NIE/NIE DOTYCZY), w dwóch zestawach podstawowym obejmującym 30 pytań (zagadnienia, które zostały objęte tym zestawem pytań wybrano na podstawie tzw. dobrych praktyk i doświadczenia autorów systemu) oraz rozszerzonym obejmującym 70 pytań bazującym na wymaganiach normy ISO 27005. Wynikiem analizy jest raport zawierający:
- ranking ryzyk organizacji (wynik procentowy, prezentacja graficzna),
- listę potencjalnych zagrożeń /podatności wynikających z odpowiedzi,
- rekomendacje i wnioski
Szczegółowa analiza ryzyka
System prowadzi użytkownika krok po kroku od kontekstu organizacji, poprzez wyszczególnienie grup przetwarzanych informacji i określenie ich wartości, wskazanie zasobów niezbędnych do ich przetwarzania, poprzez analizę zagrożeń, zabezpieczeń i podatności do oceny ryzyk.
Przy wartościowaniu informacji brane są pod uwagę takie atrybuty jak poufność, integralność i dostępność.
Wynikiem szczegółowej analizy ryzyka jest ranking ryzyk.
Raporty
Raporty są generowane automatycznie na podstawie informacji wprowadzonych zarówno podczas wykonywania analizy podstawowej jak i szczegółowej. Raport z przeprowadzonej analizy jest dokumentem syntetycznym, który obrazuje aktualny poziom bezpieczeństwa informacji w organizacji. Użytkownik decyduje jakie bloki informacji powinny pojawić się w raporcie.
Postępowanie z ryzykiem
System pozwala na dokumentowanie działań podejmowanych w stosunku do braku zabezpieczeń wykazanych w analizie podstawowej i do ryzyk o poziomie nieakceptowalnym wykazanych w analizie szczegółowej. Dla każdej z w/w sytuacji zespół przeprowadzający analizę ryzyka proponuje działania, przedstawiciel kierownictwa je zatwierdza oraz wskazuje osoby odpowiedzialne i terminy realizacji lub odrzuca. Osoba odpowiedzialna za realizację działania raportuje w systemie stan jego realizacji. System umożliwia przegląd zaakceptowanych działań według różnych parametrów.
Kolejne analizy
System wspiera cykliczność prowadzonych działań. Umożliwia zaplanowanie kolejnej analizy (podstawowej lub szczegółowej) oraz wysyła powiadomienia do wskazanych osób przypominając o konieczności wykonania zaplanowanej analizy. Podczas wykonywania kolejnej analizy system „podpowiada” dane wprowadzone podczas poprzedniej analizy, co znacznie ułatwia i przyspiesza cały proces. .
Bezpieczeństwo i administracja
Dwuskładnikowe logowanie: hasło + jednorazowy token wysyłany e-mailem lub SMS (konfigurowalne w administracji).
Administracja i kontrola: zarządzanie użytkownikami i uprawnieniami, historia logowań, log systemu i błędów, powiadomienia systemowe (z możliwością eksportu zestawień np. do CSV).
Powiadomienia i szablony komunikatów: gotowe mechanizmy informowania o wersjach roboczych, zakończeniu analiz i terminach kolejnych działań/analiz
Wdrożenie
System udostępniany jest klientowi w modelu chmurowym, nie wymaga w związku z tym posiadania infrastruktury niezbędnej do jego wdrożenia.
Warsztaty i szkolenia
Autorzy oprogramowania skupiali się na tym aby przeprowadzenie analizy ryzyka było maksymalnie proste dla użytkownika. Niemniej jednak, ze względu na skomplikowany charakter procesu (dotyczy to w szczególności wykonania analizy szczegółowej) rekomendujemy wzięcie udziału w jednodniowych zdalnych warsztatach, w trakcie których przeprowadzimy użytkowników przez szczegółową analizę ryzyka dotyczącą wybranego obszaru organizacji.
Nasz partner
ZETO Koszalin realizuje usługę w partnerstwie z Obserwatorium.biz – partnerem doradczym, doświadczonym we współpracy z administracją publiczną na poziomie centralnym. Obserwatorium.biz wspiera projektowanie i wdrażanie strategii cyfrowych, które uwzględniają złożoność procesów decyzyjnych, uwarunkowania regulacyjne oraz wymogi bezpieczeństwa, charakterystyczne dla administracji publicznej.
Dowiedz się więcej o naszym partnerze
Nie zwlekaj, zarządzaj bezpieczeństwem
swojej organizacji już teraz!
Kierownik Biura Katowice
Wacław Szewczyk
email: w.szewczykatzeto.koszalin.pl
tel.: 607 407 452