Město Blansko provedlo audit bezpečnosti dat a informací
V závěru loňského roku byl firmou GORDIC proveden audit bezpečnosti dat v rámci informačního systému Městského úřadu Blansko. Výsledky auditu prošly připomínkovým řízením a jeho finální podoba byla v těchto dnech odprezentována zpracovatelem zástupcům města.
Účelem auditu bylo identifikovat hrozby a rizika, která mohou ovlivnit činnost městského úřadu v případě diskreditace, zničení nebo poškození těchto dat, dále pak posoudit stav informační bezpečnosti s požadavky uvedenými v normě ČSN ISO/IEC 27001, rozklíčovat hlavní datové toky v organizaci a v neposlední řadě navrhnout i ochranná opatření, která budou eliminovat a snižovat hrozby a zvýší tak informační bezpečnost dotčených dat a informací.
V rámci auditu byla posuzována zejména dostatečnost technologických i procesních aspektů bezpečnosti, byla provedena interview se zástupci vybraných uživatelů MěÚ Blansko, uživateli a správcem informačního systému.
Účelem auditu bylo identifikovat hrozby a rizika, která mohou ovlivnit činnost IS a dále pak posoudit stav informační bezpečnosti s požadavky uvedenými v normě ČSN ISO/IEC 27001, konstatovat míru shody s touto normou, konstatovat naplnění požadavků na informační bezpečnost podle zákona č. 101/2000 Sb. (Ochrana osobních údajů) a doporučit formu zabezpečení s cílem ji kvalitativně zvýšit.
V rámci auditu byla posuzována zejména dostatečnost technologických i procesních aspektů bezpečnosti a bylo provedeno interview s náhodně vybranými uživateli informačního systému s cílem odhalit neshody jak v objektivní, tak v subjektivní rovině. Hlavním zdrojem informací pro auditora pak byla existující bezpečnostní dokumentace MěÚ Blansko (míněno ve vztahu k informační a nikoli obecné bezpečnosti) a interview s pracovníky, odpovědnými za provoz informačního systému MěÚ Blansko.
Jako základní bezpečnostní etalon auditu byla vybrána bezpečnostní norma ČSN ISO/IEC 27001. Auditor posuzoval bezpečnost informačního systému podle této normy z toho důvodu, že její časová prověřenost a struktura nejlépe odpovídá pravidlům provozu bezpečného informačního systému. MěÚ Blansko se v nejbližší době nehodlá ucházet o certifikaci informačního systému podle této normy, takže drobná pochybení oproti ní lze v současnosti přijmout jako akceptované riziko v oblasti bezpečnosti bez dalších dopadů. V dlouhodobém horizontu by se však provoz IS MěÚ měl přibližovat požadavkům normy, neboť je to právě její odnož, norma ISO/IEC 27002, která definuje soupis bezpečnostních požadavků na kritický informační systém podle zákona č. 181/2014 Sb. (O kybernetické bezpečnosti) a sním souvisejících předpisů (viz schéma rozsahu zákonných požadavků).
Stav informační bezpečnosti podle ISO 27001 se omezuje jen na vybrané články normy, a to tyto:
• A 5: Informační bezpečnostní politika
o A 5.1. Bezpečnostní politika informací
• A 6: Infrastruktura informační bezpečnosti
o A 6.1. Interní organizace
o A 6.2. Externí subjekty
• A 7: Klasifikace řízení aktiv
o A 7.1. Odpovědnost za aktiva
o A 7.2. Klasifikace informací
• A 8: Bezpečnost lidských zdrojů
o A 8.1. Před vznikem pracovního vztahu
o A 8.2. Během pracovního vztahu
o A 8.3. Ukončení nebo změna pracovního vztahu
• A 9: Fyzická bezpečnost a bezpečnost prostředí
o A 9.1. Zabezpečené oblasti
o A 9.2. Bezpečnost zařízení
• A 10: Řízení komunikací a řízení provozu
o A 10.1. Provozní postupy a odpovědnosti
o A 10.2. Řízení dodávek služeb třetích stran
o A 10.3. Plánování a přejímání (akceptace) systémů
o A 10.4. Ochrana proti škodlivým programům a mobilním kódům
o A 10.5. Zálohování
o A 10.6. Správa bezpečnosti sítě
o A 10.7. Bezpečnost při zacházení s médii
o A 10.8. Výměna informací
o A 10.9. Služby elektronického obchodu
o A 10.10. Monitorování
• A 11: Řízení přístupu
o A 11.1. Požadavky na řízení přístupu
o A 11.2. Řízení přístupu uživatelů
o A 11.3. Odpovědnosti uživatelů
o A 11.4. Řízení přístupu k síti
o A 11.5. Řízení přístupu k operačnímu systému
o A 11.6. Řízení přístupu k aplikacím
o A 11.7. Mobilní výpočetní prostředky a práce na dálku
• A 12: Akvizice, vývoj a údržba informačních systémů
o A 12.1. Bezpečnostní požadavky systémů
o A 12.2. Správné zpracování v aplikacích
o A 12.3. Kryptografická opatření
o A 12.4. Bezpečnost systémových souborů
o A 12.5. Bezpečnost procesů vývoje a podpory
o A 12.6. Řízení technických zranitelností
• A 13: Zvládání bezpečnostních incidentů
o A 13.1. Hlášení bezpečnostních událostí a slabin
o A 13.2. Vytváření a implementace plánů kontinuity
• A 14: Řízení kontinuity činností organizace
o A 14.1. Aspekty řízení kontinuity činností organizace z hlediska bezpečnosti informací
• A 15: Soulad s požadavky
o A 15.1. Soulad s právními normami
o A 15.2. Soulad s bezpečnostními politikami, normami a technická shoda
o A 15.3. Hlediska auditu informačních systémů
Zpracovaný materiál byl předložen zástupcům města s doporučeními dalšího postupu a návrhům eliminace případných rizik. Materiál bude dále sloužit jako základ pro realizaci konkrétních opatření schválených vedením města i jako podkladový materiál dalších rozsáhlejších projektů vybrané oblasti.
