Informační technologie se v současné době staly nezbytným nástrojem pro účinné vedení obchodních činností a správu veřejných záležitostí. Význam informačních technologií pak podtrhla e-Business řešení s možností komunikace prakticky s celým okolním světem. Ve své práci jste se stěží setkali s manažerem, který by otevřeně zpochybňoval potřebu zajistit bezpečnost informačních a komunikačních technologií, pokud se ale o bezpečnosti hovoří ve všeobecné rovině. Směřuje-li ale jednání k reálným krokům řešení bezpečnosti, to znamená k systémovému řešení bezpečnosti ve vlastní organizaci, je již situace poněkud jiná. Objevují se argumenty typu: "náš systém je bezpečný", "v našem systému nejsou žádné cenné údaje", "řešení bezpečnosti je pro nás zbytečně nákladné" a podobně.

Tomuto přístupu a podceňování rizik mnohdy odpovídá i konkrétní stav řešení bezpečnosti, což lze dokumentovat na závěrech "Průzkumu stavu informační bezpečnosti v ČR", zpracovaném v roce 1999 a 2001 Národním bezpečnostním úřadem, PriceWaterhouseCoopers a Data Security Management. V roce 1999 35 % a v roce 2001 43 % dotázaných uvedlo, že má zpracovanou bezpečnostní politiku (otázkou ovšem zůstává zda skutečně komplexně pokrývá jednotlivé oblasti bezpečnosti) a téměř polovina organizací se nesetkala s analýzou rizik.

Je pravdou, že téměř každý provozovaný informační systém obsahuje některá bezpečnostní opatření, mezi nejčastěji aplikovaná patří využití bezpečnostních funkcí operačních systémů k identifikaci a autentizaci uživatelů, FireWall a využití bezpečnostních funkcí routerů. Toto "typické" řešení ovšem zdaleka nepokrývá všechny existující hrozby a stěží postačí jako argument o bezpečnosti informačního systému.

Vlastní řešení bezpečnosti informačních technologií je ze systémového pohledu nedílnou součástí celkového řešení bezpečnosti organizace a zahrnuje kromě vlastních informačních a komunikačních technologií i další oblasti:

. fyzická a objektová bezpečnost,
. personální bezpečnost,
. administrativní bezpečnost,
. kontrola.

Systémový přístup k řešení bezpečnosti v informačních technologiích pak znamená naplnit jednotlivé etapy životního cyklu řešením bezpečnosti, jako jsou:

. bezpečnostní politika,
. analýza rizik,
. zvládání rizik (bezpečnostní projekt),
. implementace a testování,
. bezpečnostní dokumentace,
. provoz,
. monitorování účinnosti implementovaných bezpečnostních opatření,
. změnové řízení.

Tento článek má ve svém názvu "Význam bezpečnostní politiky a analýzy rizik pro systémové řešení bezpečnosti v informačních technologiích". Proč je tedy význam těchto dvou úvodních etap životního cyklu řešení bezpečnosti stěžejní pro systémové řešení bezpečnosti? Z následujících důvodů:

1. Bezpečnostní politika jako soubor norem, požadavků a pravidel, které vymezují přístup organizace k zajištění důvěrnosti, integrity a dostupnosti informací je klíčovým dokumentem, ve kterém vedení organizace deklaruje své cíle v této oblasti. Schválením tohoto dokumentu management organizace zároveň deklaruje svoje odhodlání řešit problematiku bezpečnosti svého informačního systému.

2. Zapojení managementu organizace do řešení bezpečnosti pouze na úrovni schválení bezpečnostní politiky je však nepostačující pro dosažení cílů, uvedených v bezpečnostní politice. Je úlohou především specialistů IT nebo útvaru bezpečnosti management přesvědčit o nutnosti řešení bezpečnosti a jeho přímém podílu na prosazení bezpečnostní politiky v rámci organizace.

3. Analýza rizik dává odpověď na: CO je třeba chránit, proti ČEMU je třeba chránit a jakou SILOU je třeba chránit. Etapa analýza rizik tedy zahrnuje komplexní posouzení všech bezpečnostních hledisek.

4. Nezbytnou součástí analýzy rizik musí být i odhad ztrát při uplatnění hrozeb. Tento odhad ztrát pak je jedním z nejpádnějších argumentů k přesvědčení managementu organizace řešit bezpečnost informačního systému organizace.

5. Další nezbytnou součástí analýzy rizik pak je určení zbytkového rizika (to znamená že pravděpodobnost uplatnění hrozby je velmi nízká, zranitelnost aktiv informačního systému hrozbou je malá, ztráty při dopadu hrozby jsou akceptovatelné nebo bezpečnostní opatření k eliminaci hrozby by bylo neúměrně nákladné).

6. "Změření" zranitelnosti aktiv v analýze rizik je podkladem pro výběr bezpečnostních opatření s potřebnou silou bezpečnostního mechanizmu.

7. Závěry analýzy rizik pomáhají naplnit jedno z "nepsaných pravidel" řešení bezpečnosti, že bezpečnost musí být na "rozumné úrovni za rozumnou cenu".

8. Analýza rizik, jejíž závěry jsou schváleny managementem organizace, v praxi eliminuje intuitivní přístup k implementaci konkrétních bezpečnostních opatření na eliminaci pouze některých hrozeb.

9. Zpracování bezpečnostní politiky a provedení analýzy rizik není časově příliš náročné (závisí především na rozsahu informačního systému), to platí i pro finanční náročnost (i při řešení externím dodavatelem).

10. Zpracování bezpečnostní politiky a provedení analýzy rizik je přímo vyžadováno legislativou České republiky pro informační systémy zpracovávající utajované skutečnosti (zákon č. 148/1998 Sb. o ochraně utajovaných skutečností a vyhláška Národního bezpečnostního úřadu č. 56/1999 Sb. o zajištění bezpečnosti informačních systémů nakládajících s utajovanými skutečnostmi).

11. Mezinárodně uznávané metodiky a standardy pro řešení bezpečnosti informačních systémů (zobecnění zkušenosti z řešení bezpečnosti informačních systémů ve světě) vyžadují zpracování bezpečnostní politiky a provedení analýzy rizik jako úvodních etap životního cyklu řešení bezpečnosti.

12. Naplnění úvodních etap životního cyklu řešení bezpečnosti, to je zpracování bezpečnostní politiky a provedení analýzy rizik je podmínkou nezbytnou pro úspěšný audit bezpečnosti informačního systému.

Pokud je zpracována a schválena bezpečnostní politika organizace (jsou vytčeny konkrétní a měřitelné cíle v oblasti bezpečnosti) a zpracována analýza rizik (vím co je třeba chránit a proti čemu), je možno zpracovat bezpečnostní projekt, který představuje výběr konkrétních bezpečnostních opatření k eliminaci hrozeb, plán jejich implementace a zdroje (finanční, časové, lidské, materiálové, ...) nutné k realizaci bezpečnostního projektu.

Realizace bezpečnostního projektu, zpracovaného na základě schválené bezpečnostní politiky a analýzy rizik pak sice může být v reálu v čase rozložena (především v závislosti na dostupných finančních zdrojích), tato realizace však neustále směřuje k naplnění definovaných cílů v oblasti bezpečnosti. Tento postup pak znamená i ochranu zdrojů organizace nutných pro realizaci bezpečnostního projektu.

Závěr
Cílem tohoto krátkého pojednání bylo poukázat na význam bezpečnostní politiky a analýzy rizik pro systémové řešení bezpečnosti informačních systémů a snad inspirovat k zamyšlení nad postupem řešení bezpečnosti ve vlastní organizaci.

Pozn.: Autor článku pracuje ve firmě Unisys s.r.o.