Řízení rizik v informatice

Garant předmětu:

Přednášející:

Cvičící:

Předmět zajišťuje:

katedra počítačových systémů

Anotace:

Informatika je často brána jako předmět, kde kromě standardních postupů je třeba zabývat se i bezpečností informačních systémů. Soustředění se na tuto problematiku však vede velmi často k jednostrannému chápání hrozeb, které informačním systémům hrozí a soustředění se na ochranu před virovými útoky, útoky z vnějšího prostředí apod. Rovněž se často opomíjí situace, které souvisí s nutností obnovit činnost organizace po nepředvídaných událostech. Mezinárodní standardy, které se zabývají informatikou, otázku řízení rizik přijímají teprve v poslední době a neexistuje ucelená metodika, která by se situací zabývala a poskytla tak vhodná vodítka při snaze zavést kontrolu hrozeb a zranitelností organizace a tedy i informačních systémů. Bezpečnostní hrozby, které se objevují v souvislosti se změněnou situací ve světě vyvolávají tlaky na propracování plánů na udržení činnosti organizace i v případě nepříznivé situace (živelné katastrofy, kriminální útoky apod.)

Požadavky:

Žádné speciální požadavky.

Osnova přednášek:

1.Definice rizika, materialita informace

2.Hrozby v informatice

3.Metody přístupu k řízení rizik

4.Kategorie a katalog hrozeb

5.Životní cyklus rizik

6.Identifikace hrozeb v organizaci

7.Analýza zranitelností

8.Analýza dopadů na činnost organizace (finanční/nefinanční)

9.Organizace řízení rizik a bezpečnosti (RACI)

10.Registr rizik - organizace a realizace

11.Návratnost investic procesu řízení rizik v informatice - ROI

12.Business Continuity Management - udržení činnosti organizace i v podmínkách katastrofy apod.

13.Archivace, legislativní dopady na práci informatika v dané oblasti

Osnova cvičení:

Cíle studia:

Předmět jako takový by měl dát přehled o definicích, identifikaci hrozeb a zranitelností, metodách vyhodnocení hrozeb, normativní a metodické standardy, tvorbu katalogu hrozeb, kvantifikace rizik - metody, BIA (Business Impact Analysis - analýza dopadu hrozeb na činnost organizace), metodách výpočtu návratnosti investic do zmírnění dopadů hrozeb (ROI - Return of Investment), legislativní požadavky v dané oblasti. Seznámí se se základy plánování BC plánů, získají základní znalosti nutné pro vybudování DRC (Disaster Recovery Center - záložní prostředky pro reakci na katastrofu) apod.

Studenti by se rovněž měli seznámit se základy jednání s vedením organizace. Měli by si uvědomit, co je potřeba udělat pro zdůvodnění svých požadavků, neboť vedení firem i institucí je nutno v prvé řadě přesvědčit o oprávněnosti výdajů na odstranění či zmírnění rizik.

Studijní materiály:

ČSN BS 25999-1:2006 (vydáno únor 2009) BS 25999-2:2007

USA - Published by the National Fire Protection Association NFPA 1600:Standard on Disaster/Emergency Management and Business Continuity Programs

International Organization for Standardization (ISO) ISO/PAS 22399:2007 Guideline for incident preparedness and operational continuity management

Standards Australia HB 292-2006 : A practitioners guide to business continuity management HB 293-2006 : Executive guide to business continuity management

Risk Management Standard, AS/NZS 4360:2004 has been superseded by AS/NZS ISO 31000:2009, Risk management - Principles and guidelines.

ISACA COBIT 4.1

ISO/IEC 27001: Správa bezpečnosti informací (ISO/IEC 17799 je odpovídajícím souborem postupů)

ISF 2010 methodology

ITIL ISO/IEC 20000-1:2005 část 1: Specifikace Definuje požadavky na Správu služeb

ITIL ISO/IEC 20000-2:2005 část 2: Soubor postupu Poskytuje návody a doporučení, jak dosáhnout požadavků z části 1

ITIL ISO/IEC 20000-3:2007 část 3: Stanovení rozsahu a aplikovatelnost (zatím není k dispozici)

ITIL ISO/IEC 20000-4:2007 část 4: Referenční model procesu Správa služeb (zatím není k dispozici)

ITIL BIP 0005: A Manager`s Guide to Service Management

ITIL BIP 0015 IT Service Management: Manuál pro ocenění sama sebe (v současnosti se oceňuje vůči ITIL V2, má být revidováno prostřednictvím doplňkových publikací ITIL V3).

Poznámka:

Informace o předmětu a výukové materiály naleznete na https://courses.fit.cvut.cz/MI-RRI/

Další informace:

https://courses.fit.cvut.cz/MI-RRI/

Pro tento předmět se rozvrh nepřipravuje

Předmět je součástí následujících studijních plánů:

• Mgr. obor Znalostní inženýrství, 2016-2017 (volitelný předmět)
• Mgr. obor Počítačová bezpečnost, 2016-2019 (volitelný předmět)
• Mgr. obor Počítačové systémy a sítě, 2016-2019 (volitelný předmět)
• Mgr. obor Návrh a programování vestavných systémů, 2016-2019 (volitelný předmět)
• Mgr. obor Webové a softwarové inženýrství, zaměření Informační systémy a management, 2016-2019 (volitelný předmět)
• Mgr. obor Webové a softwarové inženýrství, zaměření Softwarové inženýrství, 2016-2019 (volitelný předmět)
• Mgr. obor Webové a softwarové inženýrství, zaměření Webové inženýrství, 2016-2019 (volitelný předmět)
• Mgr. program Informatika, pro fázi studia bez oboru, 2016-2019 (volitelný předmět)
• Mgr. obor Systémové programování, zaměření Systémové programování, 2016-2019 (volitelný předmět)
• Mgr. obor Systémové programování, zaměření Teoretická informatika, 2016-2017 (volitelný předmět)
• Mgr. specializace Teoretická informatika, 2018-2019 (volitelný předmět)
• Mgr. obor Znalostní inženýrství, 2018-2019 (volitelný předmět)