Bezbednost računarskih mreža – Plan implementacije tehničkih bezbednosnih kontrola

Uvod
Ovaj dokument predstavlja plan za implementaciju tehničkih bezbednosnih kontrola i predstavlja izlazni rezultat faze WP3 Projekta Procena rizika na najvišem nivou u okviru informacionog sistema određene organizacije.

Faza WP3 Projekta se odnosi na izradu plana implementacije nedostajućih tehničkih kontrola na osnovu Izjave o primenljivosti, kao izlaznog rezultata faze WP2 Projekta.
 

Predlog plana implementacije tehničkih bezbednosnih kontrola u informacionom sistemu Organizacije
Predlog opcija za tretiranje identifikovanih bezbednosnih rizika u informacionom sistemu Organizacije je dat u Prilogu 7 ISMS dokumenata koji predstavljaju izlazni rezultat faze WP2 projekta.

Identifikovani i ocenjeni bezbednosni rizici u informacionom sistemu Organizacije podeljeni su u tri kategorije, prema veličini negativnog uticaja (ocenjenog u Prilogu 5 ISMS dokumenata) na:

•     Visok (high) – ocena evaluacije rizika od 300 do 450
•     Srednji (medium) – ocena evaluacije od 150 do 299
•     Nizak (low) – ocena evaluacije od 0 do 149

U Prilogu 7 ISMS dokumenata su predložena i rešenja za umanjenje identifikovanih rizika. Rešenja se generalno dele na predloge:

•     Implementacije odgovarajuće tehničke bezbednosne kontrole
•     Izrade odgovarajuće administrativne bezbednosne kontrole

Imajući u vidu predložene kontrole za umanjenje identifikovanih bezbednosnih rizika, kao i nivoe negativnog uticaja datih rizika, predlažemo realizaciju tehničkih bezbednosnih kontrola u sledećim fazama:

•     I faza – u roku od šest meseci nakon završetka faze WP3 Projekta
  •     Implementacija tehničkih bezbednosnih kontrola koje umanjuju identifikovane bezbednosne rizike sa visokim (high) uticajem na bezbednost informacionog sistema Organizacije
•     II faza – u roku od šest meseci nakon završetka I faze
  •     Implementacija tehničkih bezbednosnih kontrola koje umanjuju identifikovane bezbednosne rizike sa srednjim (medium) uticajem na bezbednost informacionog sistema Organizacije

Što se tiče identifikovanih bezbednosnih rizika sa niskim uticajem (Low), predlažemo da se isti prihvate, tj. da se ne implementiraju tehničke bezbednosne kontrole za njihovo umanjenje ili eliminaciju.

Izrada administrativnih bezbednosnih kontrola je predmet faze WP4.

U nastavku navodimo detaljni opis predloženih načina implementacije navedenih kontrola.