Cele 3 caracteristici - curs introductiv

CID = Confidentialitate, integritate, disponibilitate

Confidentialitate - informatiile sunt accesibile numai celor care au acces autorizat la acestea
Integritate - informatiile sunt corect si complete si nu sunt modificate fara autorizatie
Disponibilitate - atunci cand este nevoie de ele, informatiile sunt accesibile utilizatorilor
autorizati

Ciclul PDCA
Ciclul PDCA este un ciclu de management care poarta si denumirea de roata lui Deming sau
ciclul lui Shewhart.
Plan - planifica procesele
Do - executa activitatile din cadrul proceselor
Check - masoara in interiorul si la iesirea din proces si analizeaza rezultatele
Act - actioneaza in sensul eliminarii cauzelor de eroare in vederea imbunatatrii
continue a proceselor

Implementare SMSI:
1. Cumparati o copie a standardelor ISO/IEC
2. Obtineti sprijin din partea conducerii organizatiei -> angajamentul
managementului
3. Stabiliti domeniul de aplicare al SMSI -> manual de securitate
4. Identificati legislatia aplicabila -> document separat sau anexa atasata
manualului de securitate
5. Definiti o metoda de evaluare a riscului -> document
6. Creati un inventar al resurselor de informatie -> lista care trebuie sa fie parte
a documentului despre metodologia de evaluare a riscului
7. Identificati riscurile -> amenintari si vulnerabilitati, niveluri CID asociate
resurselor de informatie
8. Evaluati riscurile -> raportul de evaluare a riscurilor
9. Identificati masurile de control aplicabile -> planul de tratare a riscului;
declaratia de aplicabilitate: un tabel in care pentru fiecare masura de control
din anexa A a standardului ISO/IEC 27001 se spefica daca: masura de
control a fost adoptata sau nu, explicatii cu privire la asta
10. Stabiliti politicile si procedurile pentru controlul riscului -> documente de
politici si proceduri suplimentare
11. Alocati resursele si instruiti angajatii -> programul adecvat de instruire SMSI,
inregistrari privind instruirile
12. Monitorizati implementarea SMSI -> imbunatatiri SMSI, modificarea
procedurilor; resurse necesare
13. Pregatiti auditul de certificare -> documentatie SMSI pe care o puteti trimite la
un auditor pt analiza, precum si inregistrari care demonstreaza cat de eficace
si complet ati terminat SMSI in cadrul organizatiei.
14. Cereti ajutor

O amenintare este un pericol potential. O vulnerabilitate reprezinta un element cu

caracteristici de slabiciune care este usor atacabil. Un risc este o combinatie intre
probabilitatea de materializare a unei amenintari care exploateaza o vulnerabilitate existenta
si severitatea impactului acesteia asupra organizatiei.

Diagram of risk management process

Stabilire context defineste mediul extern relevant pt companie, mediul intern si parametrii de
baza pt managementul riscului

Intrebare pt fiecare din 4 faze (ciclul PDCA, cred) care sunt subactivitatile/ce
reprezinta??
Planificare/Stabilire (Plan)
● Obtinerea acordului si a angajamentului directorului general
● Stabilirea structurii de conducere a SMSI (comitet de securitate)
● Evaluarea initiala a sistemului de securitate a informatiei a organizatiei; definirea
domeniului de aplicare
● Elaborarea declaratiei de politica in domeniul SMSI
● Completarea inventarului activelor informationale
● Abordarea privind analiza si managementul riscului
● Declaratia de aplicabilitate
Implementare si operare (Do)
● Realizarea planului de tratare a riscului
● Elaborarea documentelor necesare SMSI
● Modificarea fiselor de post ale angajatilor din domeniul SMSI
● Instruierea angajatilor
 ● Aplicarea efectiva a procedurilor necesare SMSI
Monitorizare si examinare (Check)
● Revizuirea si actualizarea periodica a documentelor SMSI
● Auditul intern
● Analiza efectuata de management (AEM) - propunere masuri de imbunatarie a SMSI
Intretinere si imbunatatire (Act)
● Implementarea rezultatelor AEM

Diagrama de la sfarsit

Care dintre urmatoarele reprezinta asseturi pt politica pt sec informatiei?

oameni - raspuns corect, modif neautorizata, o slaba pregatire

Care dintre urmatoarele activitati sunt cosiderate ca bune practici pt asigurarea unei
bune…?
Risk transfer - raspuns corect

Procesul de management al riscului contine?

definitia unei politici, crearea unui plan de tr - raspuns corect, intelegere org

ISO/IEC (standarde) din seria 27000:

 1. Cod de buna practica pentru managementul securitatii informatiei ISO/IEC 270002 -
punct de plecare pt dezvoltarea unui SMSI; ofera indrumare pt planificarea si
punerea in aplicare
2. Standardul sistem de management al securitatii informatiei: ISO/IEC 27001 - caietul
de sarcini pt un SMSI
Asset value: on a scale from 0 to 4
Threat value: on a scale from 0 to 2
Vulnerability value: on a scale from 0 to 1