Najčešće korišteni okviri upravljanja

cyber rizicima i cyber sigurnosti

Karolina Marčelja Mikelenić
Cyber sigurnost

 Cyber sigurnost se odnosi na tehnologije, procese i prakse kojima je svrha

očuvanje intelektualnog vlasništva organizacije, podataka o klijentima,
podataka o poslovanju te očuvanje svih ostalih osjetljivih informacije od
neautoriziranog pristupa
 Vrlo važna za svaku organizaciju
Cyber rizik

 Svaki oblik cyber napada

 Financijski gubitak, gubitak podataka, šteta ugledu organizacije
 Krađa identiteta
 Ransomware
 Malware
Najveći rizici za organizacije u 2019:

 Povreda tajnosti podataka

 Nesigurno korisničko sučelje
 Zloporaba podataka u oblaku
 Malware
 Gubitak podataka
 Hakiranje
 Unutarnja prijetnja
Najčešće korišteni okviri

 Okvir (eng. Framework) je skup dokumentiranih i definiranih standarda,

smjernica te najboljih praksi za upravljanje informacijama u organizaciji
 TOP 4 u 2019
 NIST Framework
 PCI DSS
 CIS
 ISO/IEC 27001/27002
Payment Card Industry Data Security
Standard
 Skup tehničkih i operativnih zahtjeva
 Osigurava sigurnost kartičnog poslovanja
 Sastoji se od šest ciljeva koji su definirani određenim zahtjevima
Ciljevi PCI DSS-a

 Izgradnja i održavanje sigurne mrežne infrastrukture

 Izgraditi i održavati vatrozid podešen tako da zaštiti kartične podatke.
 Ne koristiti lozinke i druge sigurnosne parametre dobivene od dobavljača sklopovlja
ili programa.
 Zaštita kartičnih (korisničkih) podataka
 Zaštiti spremljene kartične podatke.
 Enkriptirati kartične podatke za vrijeme prijenosa po otvorenim, javnim mrežama
 Održavanje programa za upravljanje ranjivostima
 Zaštiti se od zlonamjernih program te redovito ažurirati anti-virusne programe.
 Razvijati i održavati sigurne sustave i aplikacije.
Ciljevi PCI DSS-a

 Implementacija jakih kontrola pristupa

 Ograničiti pristup kartičnim podacima modeliranjem poslovnog procesa
 Dodijeliti jedinstveni ID svakoj osobi koja pristupa računalu
 Ograničiti fizički pristup kartičnim podacima.
 Redoviti nadzor i ispitivanje mrežne infrastrukture
 Pratiti i provjeravati svaki pristup mrežnim resursima i kartičnim podacima.
 Redovito provjeravati sigurnost sustava i procesa.
 Održavanje sigurnosne politike
 Održavati pravilnik koji se odnosi na informacijsku sigurnost.
National Institute of Standards and
Technoloy Framwork
 NIST okvir je kreiran za upravljanje
kibernetičkim rizicima kritične infrastrukture
 Tri komponente:
 Implementation Tiers
 Framework Core
 Profiles
Funkcije okvira:

 Identify
 Razviti razumjevanije za upravljanje rizikom, definirati i procijeniti cijeli sustav
 Protect
 Sposobnost ograničavanja negativnog događaja
 Detect
 Funkcije pomoću kojih se može prepoznati pojava cyber rizika
 Respond
 Što se sve može napraviti nakon otkrivanja prijetnje
 Recover
 Pravodobno vraćanje u uobičajeno sranje
Critical Security Controls

 Skup aktivnosti za cyber obranu

 Fokusiran na manji broj akcija
 Tri kategorije kontrola
 Basic
 Foundametnal
 Organizational
General Data Protection Regulatory

 Zakon o zaštiti podataka i obradi podataka

 Primjenjiv za svih koji posluju na području EU
 Načela obrade podataka:
 Zakonitost, poštenost, transparentnost
 Ograničavanje svrhe
 Smanjenje količine podataka
 Točnost
 Ograničavanje pohrane
 Cjelovitost i povjerljivost
 Pouzdanost
Prava ispitanika

 Transparentnost
 Pristup podacima
 Pravo na ispravak
 Pravo na prenosivost
 Pravo na zaborav
 Pravo na prigovor
ISO 27001

 Opisuje upravljanje rizikom

 Neovisan o veličini organizacije
 Temelj standarda je procjena rizika
 Faze implementacije
 Preliminarni pregled
 Procjena rizika
 Planiranje i izgradnja ISMS-a
 Implementacija
 Nadzor i provjera
 Održavanje i poboljšavanje
 Certifikacija
Poglavlja ISO 27001

 Uvod
 Opseg
 Upućivanje na druge norme
 Pojmovi i definicije
 Kontekst organizacije
 Rukovođenje
 Planiranje
 Podrška
 Djelovanje
 Ocjena učinaka
 Poboljšanje
 Aneks A
Prednosti implementacije ISO

 Marketinška prednost
 Niži troškovi
 Bolja organiziranost
 Savjest zaposlenika o zaštiti informacija
ISO 27002

 Koristi se zajedno sa ISO 27001

 Dopunski standard
 što i kako učiniti da bi se implementirao ISO 27001
Zaključak

 Cyber sigurnost je sve važnija za organizacije

 Svaka organizacija bi trebala implementirati neki od okvira za upravljanje
cyber sigurnosti
 Svi zaposlenici u organizaciji moraju biti upoznati sa politikom sigurnosti