Departman za

poslediplomske studije

INŽENJERSKI MENADŽMENT

MASTER STUDIJSKI PROGRAM

Master rad

ZAHTEVI STANDARDA ISO 27001 ZA BEZBEDNOST INFORMACIJA I

UPRAVLJANJA RIZIKOM PRIMENOM STANDARDA ISO 27000

Mentor:

Student:

Vuk Tati

Prof.dr. Dragan Cvetkovi

Br. indeksa: 411195/2012

Beograd, avgust 2013.godina

Master rad

Zahtevi standarda ISO 27001 za bezbednost informacija

i upravljanja rizikom primenom standarda ISO 27000

SADRŽAJ

Uvod ..…………..…………..……………………………………………….……

1. Metodologija nau

nog istraživanja ..…………..…………..…………

1.1 Cilj istraživanja ..………………………………..…………..……………

1.2 Predmet istraživanja ...........…………..………………………...…………

1.3 Hipoteti

ki okvir ...........…………..………………………...………………

1.4 Metode i tok istraživa

kog procesa ..…………..…………..…………

1.5 Struktura rada ..…………..………………………………..……………….

2. Uopšteno o standardu ISO 27001 i njegov zna

aj ...........................

2.1 Istorijat ..…………..…………..………….…………..…………..…………

2.2 Definicije i termini ..…………..…………………………………..…………

2.3 Struktura serije standarda ISO 27001 ..…………..…………..………… 10
2.4 Zna

aj standarda ..................................…………..…………..………… 12

Procesni pristup ..……………………………..…………..………… 14

3.1 PDCA model ..............……………………………..…………..………… 14

4. Sistem menadžmenta bezbednoš

u informacija ........................... 15

4.1 Opšti zahtevi   ......................................................................................            15
4.1.2 Plan (Uspostavljanje ISMS-a)   .........................................................            15
4.1.3 Do (Implementacija i primena ISMS)  ...............................................            17
4.1.4 Check (Pra

enje i preispitivanje ISMS-a) ......................................... 18

4.1.5 Act (Održavanje i poboljšavanje ISMS-a)  ........................................            19

5.   Interne provere ISMS ........................................................................             19

6.   Preispitivanje ISMS od strane rukovodstva ....................................            20

7.   Poboljšavanje ISMS-a  .......................................................................            21

8.   Iskustva u primeni i prakti

ni aspekti ............................................. 21

Uopšteno o standardu ISO 27002 ..…………..…………..………… 28

9.1 Istorijat …………..…………..…………..………………………………. 28
9.2 O Standardu ISO 27002 .…………..…………..………………………

9.3 Definicije i termini …………..…………..…………..…………..………

9.4 Struktura standarda …………..…………..…………..…..………………

10. Upravljanje rizicima …………..…………..……………..………………

10.1 Opšte …………..…………………………..…..…………..……………….

10.2 Priprema za procesa upravljanja rizikom ……………………………….

10.3 Identifikovanje opasnosti …………..…………..…………..…………….

10.4 Odre

ivanje verovatno

e nastanka rizi

nog doga

aja ……………….

10.5 Odre

ivanje posledica nastanka opasnosti

Master rad

Zahtevi standarda ISO 27001 za bezbednost informacija

i upravljanja rizikom primenom standarda ISO 27000

19. Nabavka, razvoj i održavanje informacionih sistema ……….…….

19.1 Zahtevi za sigurnost informacionih sistema ……………………………

19.2 Ispravna u obrada u aplikacijama ………………………………….…….

19.3 Kriptografske kontrole …………………………………………………….

19.4 Sigurnost sistemskih datoteka ………………………………….……….

19.5 Sigurnost u procesima razvoja i podrške ……………………………….

19.6 Upravljanje tehni

kim ranjivostima ……………………………..……….

20. Upravljanje incidentima narušavanja

igurnosti informacija …………………………………………………….

20.1 Izveštavanje o doga

ajima u vezi sa sigurnoš

Informacija i o slabostima ……………………………………….……….

20.2 Upravljanje incidentima narušavanja sigurnosti
informacija i poboljšanja ………………………………………………….

21. Upravljanje kontinuitetom poslovanja ………………………….…….

21.1 Aspekti sigurnosti informacija kod upravljanja

kontinuitetom poslovanja …………………………………..…………….

22.

Uskla

enost ……………………………………………………………. 56

22.1 Uskla

enost za zakonskim odredbama ………………………………..

22.2 Uskla

enost sa politikama i standardima sigurnosti

i tehni

ka uskla

enost …………………………………………………….

22.3 Razmatranje provere informacionih sistema ………………………..….

23. Zaklju

ak ……………………………………………………………..…….

Literatura .......……………………………………………………………..……. 59

Master rad

Zahtevi standarda ISO 27001 za bezbednost informacija

i upravljanja rizikom primenom standarda ISO 27000

UVOD

Znanje, kao najzna

ajniji resurs svakog

oveka, pa i društva u celini, može se

definisati kao „Obim informacija, opažanja ili razumevanja koja poseduje neka osoba“

Krajem dvadesetog veka, industrijski period razvoja tehnologija i mašina, zamenjen
je razvojem informati

kih tehnologija koje u centar interesovanja stavljaju informacije

kao izvor znanja. Nagli razvoj informacionih tehnologija izaziva velike promene u
poslovanju svih

inioca društva, pa se ve

etkom 21. veka savremena

informati

ka rešenja koriste u svim društvenim procesima.

Informacije postaju dobro koje, kao i druga društvena dobra, imaju vrednost koju
treba adekvatno zaštititi.

Imaju

i u vidu da je

uvanje znanja, resursa od suštinskog zna

aja za društvo, jasno

je koliko je bezbednost informacija važna. U današnjim uslovima globalizacije tržišta,
informacije posebno veliki zna

aj imaju u poslovnom svetu,

esto od raspoloživosti i

nosti informacija zavisi opstanak na tržištu.

Britanski Institut za standardizaciju (BSI) je po

etkom devedesetih godina postavio

osnovu za razvoj standarda za bezbednost informacija.

Prva verzija teksta ovog standarda BS 7799 se usvaja 1995. godine, a 1998. godine
dobija svoju prvu zvani

nu reviziju. BSI nedugo po objavljivanju prvog, prate

i brz

razvoj interneta, objavljuje i drugi deo standarda BS 7799.

Zbog sve izraženijih potreba organizacija u svetu, razvoj ovog standarda podignut je
na me

unarodni nivo u okviru ISO (International Organization for Standardization).

unarodna organizacija za standardizaciju ISO prihvata BS standarde i u junu

2005. godine objavljuju drugu verziju standarda koja se zvala ISO 17799
Informacione tehnologije - bezbednost tehnike - Na

ela upravljanja bezbednoš

informacija.

Standard ISO 27001 se objavljuje u oktobru 2005. godine pod nazivom Informacione
tehnologije - Sistemi upravljanja bezbednoš

u informacija - Zahtevi.

Standard 27001 je posve

en bezbednosti informacija i specificira zahteve i daje okvir

na koji na

in organizacija treba da pristupe zaštiti informacija.

Standard ISO 27001 je zna

ajan za sve organizacije koje imaju potrebu za

menadžment informacijama, bez obzira

ime se bave, tj. da li posluju u oblasti

informacionih tehnologija ili se bave proizvodnjom ili pružanjem usluga.

unarodna organizacija za standardizaciju ISO i Me

unarodna elektrotehni

komisija IEC

ine specijalizovani sistem svetske standardizacije. Radi delovanja u

pojedinim oblastima tehni

ke aktivnosti, nacionalna tela koja su

lanovi ISO-a ili IEC-

a, u

estvuju u razvoju me

unarodnih standarda preko tehni

kih komiteta koje je

osnovala odgovaraju

a organizacija.

Kotrola se može definisati kao sredstvo za upravljanje rizikom, uklju

uju

i smernice,

prakse, procedure ili organizacionu strukturu koja može biti tehni

ke, rukovodne,

administrativne ili zakonske prirode.

Master rad

Zahtevi standarda ISO 27001 za bezbednost informacija

i upravljanja rizikom primenom standarda ISO 27000

2. UOPŠTENO O STANDARDU ISO 27001 I NJEGOV ZNA

Standard ISO 27001 ima za cilj obezbe

enje poverljivosti, integriteta i dostupnosti

informacija zainteresovanim i ovlaš

enim stranama kroz postavljanje mehanizama -

kontrola zaštite informacija.

U današnjoj eri informacionih tehnologija, informacija je postala lako dostupna, ali  u
isto vreme i veoma ugrožena. Informacija je dobro koje, kao i druga vredna poslovna
dobra ima vrednost za organizaciju i potrebu da bude odgovaraju

e zašti

ena.

Danas, kada se gotovo kompletno poslovanje obavlja preko ra

unarskih poslovnih

sistema, bezbednost informacija postaje veoma važna. Zbog pretnji iz raznih izvora,
zaštita informacija je neophodna.

U  uslovima  visoke  konkurentnosti,  pravovremena  i  prava  informacija  je  novac,
opstanak  i  prestiž  na  tržištu.  Podatak  koji  je  ažuran,  pravovremeno  dostavljen  do
korisnika postaje informacija.

Sa  aspekta  bezbednosti  informacije  uo

avamo tri dimenzije: bezbednost podataka,

bezbednost kanala distribucije podataka i bezbednost koriš

enja informacije.

Bezbednost informacija

ine slede

a tri elementa:

Poverljivost: informacija nije dostupna neovlaš

enim osobama, organizacijama

i procesima, što se u velikom broju slu

ajeva stavlja u prvi plan;

Integritet: zaštita ta

nosti i kompletnosti informacije;

Pristupa

nost: omogu

avanje pravovremene dostupnosti informacijama

osobama sa ovlaš

enjem i u vremenu kada je to potrebno na mestu gde je

predvi

eno.

Pretnje po bezbednost informacija dolaze i iznutra i spolja. Možemo ih podeliti u
namerne i slu

ajne. Namerne su osmišljene akcije fokusirane na informacije, a

slu

ajne su neplanirani upadi u sistem spolja i neadekvatno rukovanje informacijama

od strane zaposlenih. Upravljanjem rizicima upravljamo bezbednoš

u informacija.

U  pravcu  ostvarenja  bezbednosti  informacija  usvojen  je  standard  ISO  27001.  U
standardu  su  specificirani  zahtevi  koje  organizacija  treba  da  ispuni  da  bi  zaštitila
informacije. Ovaj standard je primenjiv za sve tipove organizacija.

2.1 Istorijat

Krajem  dvadesetog  veka  na  poslovnu  scenu  veliki  trag  je  ostavio  nagli  razvoj
informacionih tehnologija.