ინფორმაციული უსაფრთხოება მიზნები, დაგეგმვა, დანერგვა საქართველო, თბილისი 2016 www.dea.gov.ge

რა არის ინფორმაცია? ინფორმაცია არის აქტივი, რომელსაც, სხვა აქტივების მსგავსად, გააჩნია კონკრეტული ფასეულობა და მოითხოვს შესაბამის დაცვას. ცოდნა ან მონაცემები, რომელიც კონკრეტულ ფასეულობას წარმოადგენს.

ინფორმაციის ტიპები ქაღალდზე ნაბეჭდი და ნაწერი; ელექტრონულად შენახული; ფოსტის ან ელექტრონული საშუალებებით გადაეცეს; ნაჩვენები იყოს ვიდეოში; ნაჩვენები / გამოქვეყნებული; ზეპირსიტყვიერი. რა სახითაც არ უნდა იყოს წარმოდგენილი და რა სახითაც არ უნდა ინახებოდეს ან ხდებოდეს მისი გაზიარება, ინფორმაცია ყოველთვის საჭიროებს სათანადო დაცვას.

ინფორმაციის მახასიათებლები ISO 27001 განსაზღვრავს ინფორმაციულ უსაფრთხოებას როგორც ინფორმაციის კონფიდენციალურობის, მთლიანობის და ხელმისაწვდომობის შენარჩუნება და დაცვა. კონფიდენციალურობა მახასიათებლები იმისა, რომ ინფორმაცია არ არის ხელმისაწვდომი არაავტორიზებული ინდივიდების, სუბიექტებისა ან პროცესებისათვის;

ინფორმაციის მახასიათებლები ISO 27001 განსაზღვრავს ინფორმაციულ უსაფრთხოებას როგორც ინფორმაციის კონფიდენციალურობის, მთლიანობის და ხელმისაწვდომობის შენარჩუნება და დაცვა. კონფიდენციალურობა მთლიანობა ხელმისაწვდომობა მახასიათებლები იმისა, რომ ინფორმაცია არ არის ხელმისაწვდომი არაავტორიზებული ინდივიდების, სუბიექტებისა ან პროცესებისათვის; აქტივის სიზუსტის და სრულყოფილების დაცვის მახასიათებელი თვისება; ავტორიზებული სუბიექტის მიერ მოთხოვნის შესაბამისად ხელმისაწვდომობისა და გამოყენებადობის მახასიათებლები;

უსაფრთხოების რისკები პროცესები არ აღწევენ თავიანთ მიზნებს; არასწორი ინფორმაციის საფუძველზე ოპერირება. საქმიანობის წყვეტა; ფინანსური ზარალი; დაინტერესებული მხარეების ნდობის დაკარგვა; ინტელექტუალური და მატერიალური საკუთრების დაკარგვა; რეპუტაცი ული რისკები; საკანონმდებლო შეუსაბამობა (პერსონალური მონაცემები, ინფორმაციული უსაფრთხოება); ...

საფრთხეები თანამშრომლები; გარე მხარეები; ტექნოლოგიური საფრთხეები უსაფრთხოების საკითხებში დაბალი ინფორმირებულობა; ბუნებრივი მოვლენები, მაგ. ხანძარი, წყალდიდობა, მიწისძვრა. ჰაკერების ხელსაწყოების და ვირუსების სირთულისა და ეფექტურობის ზრდა; ...

რა არის ინფორმაციული უსაფრთხოება? ინფორმაციის მახასიათებლების კონფიდენციალურობის, ხელმისაწვდომობის და მთლიანობის სათანადო დონეზე უზრუნველყოფა. უსაფრთხოება პროცესია და არა პროდუქტი.

რა არის ინფორმაციული უსაფრთხოების მართვის სისტემა? ინფორმაციის მახასიათებლების კონფიდენციალურობის, ხელმისაწვდომობის და მთლიანობის სათანადო დონეზე უზრუნველყოფა. ინფორმაციული უსაფრთხოება არის “ორგანიზაციული ამოცანა” და არა “IT პრობლემა”; უზრუნველყოფს ინფორმაციული რისკების მართვას; უზრუნველყოფს ბიზნეს-უწყვეტობას; ახდენს ფინანსური დანაკარგების მინიმიზაციას; უზრუნველყოფს ინვესტიციის/რესურსების ოპტიმიზაცია; ზრდის შესაძლებლობებს ....

როგორი ? რამდენად ძლიერი ? ინფორმაციული უსაფრთხოება გვჭირდება ? კითხვა როგორი ? რამდენად ძლიერი ? ინფორმაციული უსაფრთხოება გვჭირდება ?

კითხვა ვინ ? განსაზღვრავს რამდენად ძლიერი ინფორმაციული უსაფრთხოება გვჭირდება ?

მფლობელი (Owner) მოიცავს ყველა ტიპის ორგანიზაციას (მაგ. კომერციულ ორგანიზაციებს, სამთავრობო უწყებებს, არასამთავრობო ორგანიზაციებს). სტანდარტი განსაზღვრავს იუმს-ის ჩამოყალიბების, დანერგვის, ფუნქციონიონირების, მონიტორინგის, განხილვის, მხარდაჭერის და გაუმჯობესების დოკუმენტირებულ მოთხოვნებს ორგანიზაციაში არსებული ზოგადი ბიზნეს-რისკების გათვალისწინებით. იუმს-ის დანუშნულებაა ინფორმაციული აქტივების დამცავი, ადეკვატური და პროპორციული უსაფრთხოების კონტროლის მექანიზმების დანერგვა. რომლებიც განისაზღვრება შესაბამისი მფლობელების მიერ. პირი ან სტრუქტურული ერთეული, რომელსაც გააჩნია ინფორმაციის, პროცესის მართვის დადასტურებული უფლება.

არის ინსტრუმენტი და არა მიზანი ინფორმაციული უსაფრთხოების მართვის სისტემა ისევე როგორც სხვა მართვის სისტემები არის ინსტრუმენტი და არა მიზანი

მართვის სისტემები ISO 9001 ხარისის მართვის სისტემა;

ყველა მართვის სისტემა მათ შორის ISO 27001 მოიცავს ყველა ტიპის ორგანიზაციას (მაგ. კომერციულ ორგანიზაციებს, სამთავრობო უწყებებს, არასამთავრობო ორგანიზაციებს). სტანდარტი განსაზღვრავს იუმს-ის ჩამოყალიბების, დანერგვის, ფუნქციონიონირების, მონიტორინგის, განხილვის, მხარდაჭერის და გაუმჯობესების დოკუმენტირებულ მოთხოვნებს ორგანიზაციაში არსებული ზოგადი ბიზნეს-რისკების გათვალისწინებით.

ISO 27001 მოიცავს ყველა ტიპის ორგანიზაციას (მაგ. კომერციულ ორგანიზაციებს, სამთავრობო უწყებებს, არასამთავრობო ორგანიზაციებს). სტანდარტი განსაზღვრავს იუმს-ის ჩამოყალიბების, დანერგვის, ფუნქციონიონირების, მონიტორინგის, განხილვის, მხარდაჭერის და გაუმჯობესების დოკუმენტირებულ მოთხოვნებს ორგანიზაციაში არსებული ზოგადი ბიზნეს-რისკების გათვალისწინებით. იუმს-ის დანუშნულებაა ინფორმაციული აქტივების დამცავი, ადეკვატური და პროპორციული უსაფრთხოების კონტროლის მექანიზმების დანერგვა. რომლებიც განისაზღვრება შესაბამისი მფლობელების მიერ. პირი ან სტრუქტურული ერთეული, რომელსაც გააჩნია აქტივის მართვის დადასტურებული უფლება.

ISO 27001 Plan, Do, Check, Act (PDCA) პროცესისადმი მიდგომა და მოდელი; პროცესზე ორიენტირებული მიდგომა; პროცესების მუდმივი გაუმჯობესება; მოიცავს ინფორმაციულ უსაფრთხოებას და არა მხოლოდ IT უსაფრთხოებას; ითვალისწინებს ადამიანებს, პროცესებს, ტექნოლოგიებს;

PDCA მიდგომა

კონტექსტი - გარემოს შესწავლა და დაინტერესებული მხარეები დაინტერესებული მხარეების მოლოდინი და მოთხოვნები საკანონმდებლო გარემო ორგანიზაციული კულტურა გადაწყვეტილების მიღება კომუნიკაციის კულტურა სერვისები, პროდუქტები შესაძლებლობები თანამშრომელთა კომპეტენცია სხვა დამატებითი ფაქტორები (პოლიტიკური მდგომარეობა, ფინანსური, სოციალური ფაქტორები, და ა.შ.)

გავრცელების სფერო ფიზიკური ადგილმდებარეობა; ორგანიზაციული / სტრუქტურული ერთეულები; პროცესები; პროდუქტები; და ა.შ.

მიმართულებები ინფორმაციული უსაფრთხოების პოლიტიკა შესაბამისობა ინფორმაციული უსაფრთხოების ორგანიზება ბიზნეს უწყვეტობის მართვა აქტივების მართვა კონფიდენციალურობა მთლიანობა ინციდენტების მართვა ადამიანური რესურსების უსაფრთხოება ინფორმაცია ხელმისაწვდომობა დამუშავება და მხარდაჭერა ფიზიკური უსაფრთხოება წვდომის კონტროლი კომუნიკაციები და საოპერაციო მართვა

ინფორმაციული უსაფრთხოება არის “ორგანიზაციული ამოცანა” და არა “IT პრობლემა”;

დანერგვის შედეგები მართვადი რისკები ინფორმაციული უსაფრთხოების კუთხით. ბიზნეს-უწყვეტობას უზრუნველყოფა; ფინანსური დანაკარგების შემცირება; ინვესტიციის/რესურსების ოპტიმიზაცია; ....

საკანომდებლო მოთხოვნები

კრიტიკული ინფორმაციული სისტემის სუბიექტი? სახელმწიფო ორგანო ან იურიდიული პირი, რომლის ინფორმაციული სისტემის უწყვეტი ფუნქციონირება მნიშვნელოვანია ქვეყნის თავდაცვისათვის ან/და ეკონომიკური უსაფრთხოებისათვის, სახელმწიფო ხელისუფლების ან/და საზოგადოებრივი ცხოვრების შენარჩუნებისათვის საქართველოს კანონი ინფორმაციული უსაფრთხოების შესახებ

საკანონმდებლო მოთხოვნებთან შესაბამისობა საქართველოს კანონი ინფორმაციული უსაფრთხოების შესახებ 2012 წლის 5 ივნისი. №6391- Iს კრიტიკული ინფორმაციული სისტემის სუბიექტების ნუსხის დამტკიცების შესახებ საქართველოს პრეზიდენტის ბრძანებულება №157 11/03/2013 ინფორმაციული უსაფრთხოების მინიმალური მოთხოვნების შესახებ მონაცემთა გაცვლის სააგენტოს თავმჯდომარის ბრძანება №2 04/02/2013 ინფორმაციული აქტივების მართვის წესების შესახებ მონაცემთა გაცვლის სააგენტოს თავმჯდომარის ბრძანება №7 07/02/2013 მონაცემთა გაცვლის სააგენტოს კომპიუტერულ ინციდენტებზე დახმარების ჯგუფის შესახებ მონაცემთა გაცვლის სააგენტოს თავმჯდომარის ბრძანება №5 07/02/2013 კრიტიკული ინფორმაციული სისტემის სუბიექტის ინფორმაციული უსაფრთხოების მენეჯერისათვის მინიმალური სტანდარტების დამტკიცების შესახებ მონაცემთა გაცვლის სააგენტოს თავმჯდომარის ბრძანება №4 07/02/2013 ქსელური სენსორის კონფიგურაციის წესების შესახებ მონაცემთა გაცვლის სააგენტოს თავმჯდომარის ბრძანება №3 07/02/2013 ინფორმაციული უსაფრთხოების აუდიტის ჩატარების უფლებამოსილების მქონე პირთა და ორგანიზაციათა მიერ ავტორიზაციის გავლის წესის, ავტორიზაციის პროცედურებისა და ავტორიზაციის საფასურის შესახებ მონაცემთა გაცვლის სააგენტოს თავმჯდომარის ბრძანება №6 07/02/2013 ინფორმაციული უსაფრთხოების აუდიტის ჩატარების წესის შესახებ მონაცემთა გაცვლის სააგენტოს თავმჯდომარის ბრძანება №1 07/02/2013

მინიმალური მოთხოვნები წელი 1: ინფორმაციული უსაფრთხოების დაგეგმვა; აქტივების აღწერა, რისკების შეფასება, რისკების მოპყრობა; წელი 2: ინფორმაციული უსაფრთხოების დანერგვა: კონტროლის მექანიზმების დანერგვა, ბიუჯეტირება, ადამიანური რესურსების გამოყოფა; წელი 3: მონიტორინგი და გაუმჯობესება: შიდა აუდიტი, კონტროლების შეფასება; ხელმძღვანელობის მიერ გადახედვა

საკანონმდებლო მოთხოვნების მიმოხილვა მინიმალური მოთხოვნები პოლიტიკა + მინიმალური მოთხოვნები; ინფორმაციული უსაფრთხოების შინასამსახურებრივი გამოყენების წესები; ინფორმაციული აქტივების მართვა; ინფორმაციული უსაფრთხოების მენეჯერი; ინფორმაციული უსაფრთხოების აუდიტი ორგანიზაციული როლები კომპიუტერული უსაფრთხოების სპეციალისტი ; კომპიუტერული ინციდენტის მართვა;

მონაცემთა გაცვლის სააგენტო

მონაცემთა გაცვლის სააგენტო დაარსდა 2010 წელს იუსტიციის სამინისტრო ინფორმაციული უსაფრთხოების პოლიტიკის განვითარება, დანერგვა, მონიტორინგი CERT.GOV.GE (Computer Emergency Response Team) Public Sector + Subject of Critical Infrastructure Systems State Secret Military

ინფორმაციული უსაფრთხოების ძირითადი მიმართულებები ინფორმაციული უსაფრთხოების რჩევები ინფორმაციული უსაფრთხოების დოკუმენტაციის მიმოხილვა: პოლიტიკა, გეგმები, აუდიტის შედეგები, გავრცელების სფერო 39 ინფორმაციული უსაფრთხოების მართვის სისტემის დანერგვა პროექტები: სერვისების განვითარების სააგენტო, საჯარო რეესტრის სააგენტო 2 სერტიფიცირებული ტრენინგები მართვის სისტემებში ინფორმაციული უსაფრთხოების მართვის სისტემის შესავალი, დანერგვა და შიდა აუდიტი, სასერთიფიკაციო გამოცდა >250 NATO SPS Project Trained Professionals from Afghanistan, Macedonia, Moldova, Montenegro, Azerbaijan x2, Ukraine, Mongolia >150 ინფორმაციული სისტემები აუდიტი ინფორმაციული სისტემების აუდიტის სერვისი 1

ინფორმაციული უსაფრთხოების და პოლიტიკის სამართველო ინფორმაციული უსაფრთხოების ჯგუფი All Team Members are BSI Certified Professionals: BSI/ISO 27001 (Information Security) LI/LA 5 Member of Team BSI/ISO 22301 (Business Continuity) LI/LA 4 Member of Team BSI/ISO 9001 (Quality Management) LA ISO 31000 (Risk Management) CISM (Certified Information Security Manager) 4 Member of Team CISA (Certified Information System Auditor) 2 Member of Team CRISC (Certified in Risk and Information Systems Control) 1 Member of Team CGEIT (Certified in the Governance of Enterprise IT) 3 Member of Team

ინფორმაციული უსაფრთხოების და პოლიტიკის სამართველო CERT.GOV.GE All Team Members are SANS Certified Professionals: SANS GIAC Certified Professionals 2 Member of Team Systems and Network Auditor (GSNA) 2 Member of Team Trained by Terena (TI) 2 Member of Team

მონაცემთა გაცვლის სააგენტო ინფორმაციული უსაფრთხოების დაგეგმვა და კონსალტინგი; დანერგვის წინა და შემდგომი მიმოხილვა; ინფორმაციული უსაფრთხოების სტანდარტთან და ინფორმაციული უსაფრთხოების შესახებ კანონთან შესაბამისობის მიმოხილვა (აუდიტი). მონაცემთა გაცვლის სააგენტო - თქვენი მეგზური ინფორმაციული უსაფრთხოების დარგში

გმადლობთ ყურადღებისთვის