Podejmowanie działań związanych z ryzykiem dla infrastruktury krytycznej

Analiza ryzyka dostarczyła materiał wspierający podejmowanie decyzji odnośnie priorytetów postępowania w stosunku do określonych zdarzeń. Podejmując konkretne działania uwzględnia się szerszy kontekst ryzyka. Dotyczy to okoliczności wpływu na organy, które nie ponoszą bezpośrednich odpowiedzialności ani korzyści z podejmowanych ryzyk w stosunku do organu bezpośrednio odpowiedzialnego za ryzyko, jak i rezultat działania będący skutkiem podejmowanej decyzji. Może to w szczególności doprowadzić do decyzji o niepostępowaniu z ryzykiem w jakikolwiek sposób poza stosowaniem nad nim tylko środków kontrolnych.

Więcej

Kontrola statusu zidentyfikowanych ryzyk dla infrastruktury krytycznej

Przygotowanie odpowiednich działań w obszarze zapobiegania zagrożeniom infrastruktury krytycznej wymaga ich wdrożenia, bieżącego śledzenia ich wykonywania oraz kontroli statusu poszczególnych zidentyfikowanych ryzyk.

Więcej

Wymagania dla architektury systemu infrastruktury krytycznej

Rozpoznanie i wyznaczenie infrastruktury krytycznej, w celu zapewnienia utrzymania podstawowych atrybutów bezpieczeństwa wymaga wdrażania środków ochrony adekwatnych do postawionych wymagań i przeprowadzanej analizy ryzyka. Nie wyklucza to jednak takiego projektowania i budowania systemów stanowiących elementy tej infrastruktury, aby już sama ich konstrukcja uwzględniała stosowne zabezpieczenia odnoszące się do standardowych ryzyk dla określonego typu systemów należących do poszczególnych sektorów infrastruktury krytycznej. Odpowiednie zaprojektowanie architektury rozwiązań systemów oraz wchodzących w ich skład powiązanych ze sobą funkcjonalnie obiektów, w tym urządzeń, instalacji oraz kluczowych usług dla bezpieczeństwa państwa i jego obywateli bezpośrednio wpływa na koszt implementacji środków ochrony.

Więcej

Polityka dostępu do zasobów systemu informatycznego

Ustalenie odpowiednich zasad dostępu do zasobów systemu informatycznego przyczynia się do podniesienia poziomu bezpieczeństwa, a tym samym może pozwolić na optymalizację kosztów środków ochrony.

Więcej

Dostęp do zasobów systemu informatycznego

W ramach definiowania środków ochrony systemu informatycznego niezbędne jest określenie zasad dostępu do zasobów systemu  m.in. poprzez podanie do wiadomości użytkowników faktu istnienia określonego rodzaju zabepzieczeń, a także wskazanie odpowiedizalności  za ich implementację. Poniżej umiesciłem wybrane zapisy, które powinny się znaleźć w dokumentacji bezpieczeństwa, np. w polityce bezpieczeństwa. 

Więcej

Polityka uwierzytelniania i autoryzacji z wykorzystaniem haseł

Jednym z podstawowych dokumentów, który powinien znajdować się w każdej instytucji jest Polityka Bezpieczeństwa. Zawarte w niej informacje powinny określać nie tyle rodzaj wytwarzanych i przetwarzanych informacji, co sposób w jaki te informacji powinny być chronione, aby nie było możliwe ich skompromitowanie. Dokumenty tego rodzaju są z reguły bardzo ogólne i nie precyzują konkretnych zabezpieczeń technicznych, lecz definiują jedynie wymagania oraz funkcjonalność takich systemów. Ponadto, określają listę procedur, instrukcji i wytycznych niezbędnych na poszczególnych poziomach bezpieczeństwa. Do wielu rodzajów polityk bezpieczeństwa należy polityka haseł, która jednoznacznie powinna określać przyjęte metody identyfikacji i uwierzytelniania wraz z listą wytycznych dla użytkowników.

Więcej

Zanim skorzystasz z internetowego narzędzia badającego bezpieczeństwo, zastanów się czy warto

Obecnie, powszechny dostęp do Internetu, umożliwia współdzielenie wszelkich informacji, a w szczególności oprogramowania. Dzięki hackerskim stronom webowym, listom dyskusyjnym, potencjalni włamywacze (ang. crackers) nie są już osamotnieni w poszukiwaniu nowych technik pokonywania zabezpieczeń. Liczba ogólnie dostępnych narzędzi w Internecie do penetrowania dowolnej platformy jest oszałamiająca.

Więcej