Proč RESILIA?

Ukazuje se, že zajištění požadované úrovně dostupnosti, důvěrnosti a integrity informací (klasická bezpečnost informací) není v reálných podmínkách možné zaváděním statických bezpečnostních opatření.

Nové podmínky vyžadují zejména:
  • pečlivé vyvažování rizik a příležitostí (přínosů) využívání kybernetického prostoru,
  • nespoléhání se na „zajištěnou“ bezpečnost, vedle preventivních opatření se soustřeďovat na detekování incidentů a nápravu jejich následků,
  • systémový přístup se zohledněním lidského faktoru, procesů a technologií. 

Základní vlastnosti RESILIA™

Kybernetická odolnost dle RESILIA

Kybernetická odolnost (Cyber Resilience) je schopnost organizace odolávat útokům, které mají vliv na informace nezbytné pro činnost organizace, reagovat na ně a zajistit zotavení po útoku.

Hlavní témata RESILA

  • jak zajistit kybernetickou odolnost konkrétní organizace (Cyber resilience best practice),
  • co musí vědět a činit každý, na kom zajištění kybernetické odolnosti závisí (Cyber resilience courses).

Vztah RESILIA k ITIL

Pravidla „Cyber Resilience best practice“ se týkají efektivního životního cyklu kybernetické bezpečnosti v organizaci.

  • Životní cyklus je komplementární k ITIL, používá stejnou strukturu Strategy – Design – Transition – Operation – Continuous Improvement.
  • „Cyber Resilience best practice“ dále říká, které činnosti, opatření (controls) a manažerské procesy by měly mít místo v každé části tohoto životního cyklu.
  • Organizace, která již zavedla ITIL, může zcela přirozeně integrovat pravidla kybernetické odolnosti do systému ITSM.

ISO 27001 versus RESILIA™

„Bezpečnost informací“ vs. „Kybernetická odolnost“

ISMS

Information Security Management System

 

RESILIA

Cyber Resilience

Information Security Management System (ISMS) je reprezentován standardem ISO/IEC 27001.  

ISMS je tradičně zaměřen na schopnost organizace zajistit dostupnost, důvěrnost a integritu informací a aktiv informačních systémů vůči nejrůznějším hrozbám (chyby, závady, útoky, přírodní vlivy).

Řešení hledá v zavedení série opatření dle uznávaných standardů; efektivnost a konzistentnost těchto opatření je pravidelně testována.

 

 

 

Kybernetická odolnost (Cyber Resilience, reprezentováno RESILIA) reaguje na vývoj v oblasti informační bezpečnosti, kdy prudce rostou inovativní požadavky na využití propojených informačních systémů a zařízení, například:

  • on-line operace, rostoucí závislost činností organizací na nich,
  • outsourcing klíčových prvků operací (data v cloudu, SaaS atd.),
  • internet věcí (internet of things),
  • BYOD (bring your own device), atd.

To vše v podmínkách dynamicky se měnících a prudce se zvyšujících hrozeb kybernetického prostoru.

Srovnávací tabulka

ISO/IEC 27000 vs. RESILIA, Cyber Security Best Practice

Hledisko
Bezpečnost informací 
dle ISO/IEC 27001
Kybernetická odolnost 
dle RESILIA™
Cíl

Vytvoření a správa Systému managementu bezpečnosti informací (ISMS) s možností jeho certifikace



Vytvoření a správa životního cyklu Systému kybernetické odolnosti v organizaci, v souladu s jejími potřebami

  • odolávat útokům,
  • reagovat na ně,
  • zajistit zotavení po útoku
 Hlavní nástroje

Opatření (controls) dle knihovny „best practice“, viz též ISO 27002

 Zaměření na procesy v souladu s knihovnou „best practice“ ITIL 
(jak udělat), nikoli na jednotlivá opatření (co udělat)
 Motivace k zavedení Prezentace navenek (ISMS)   Vnitřní potřeba ochrany organizace
 Životní cyklus  PDCA  PDCA, KPI, benchmarking, 
7-step improvement process, 
ITIL process maturity model
Řízení rizik Pro zdůvodnění výběru opatření a sestavení Prohlášení o možné aplikovatelnosti (často formální přístup)




Klíčový prvek řízení procesů kybernetické odolnosti, vybalancování rizik a příležitostí v oblastech

  • prevence, detekce a nápravy,
  • vlivu lidí, procesů a technologií
Počátky v letech 1995 (BS 7799) – 2005 (ISO 27001)

2012 (ISO 27032) – 2015 (RESILIA)

Možnosti certifikace Certifikace organizace – Systému managementu bezpečnosti informací (ISMS)

Certifikace osob – manažerů, architektů a specialistů na kybernetickou bezpečnost

Kurzy  
  • RESILIA Intro – 1/2 dne
  • RESILIA Foundation – 3 dny
  • RESILIA Practitioner – nadstavbový 2 dny
Životní cyklus systému
Strategie Zabývá se jen okrajově Popsané procesy, cíle a příklady opatření: Cyber Resilience STRATEGY
Návrh Jednotlivá opatření – System acquisition, development and maintenance Popsané procesy, cíle a příklady opatření – Cyber resilience design
Zavádění Jednotlivá opatření – System acquisition, development and maintenance;  Supplier relationships Popsané procesy, cíle a příklady opatření – Cyber resilience transition
Provoz Hlavní část knihovny opatření „best practice“ Popsané procesy, cíle a příklady opatření – Cyber resilience operation
Stálé zlepšování Popsaný cyklus PDCA Popsané procesy, cíle a příklady opatření – Cyber resilience cont. improvement