Föreläsning 4 Flashcards
Vad är mission?
Organisationens övergripande kärnuppgift; Vad vill vi göra?
● Långtgående (+10 år), abstrakt; utgår frånd dagsläget
vad är vision?
● Vad vill organisationen uppnå på sikt?
● Långtgående (~ 10 år), abstrakt; vart vill vi vara i framtiden?
vad innebär strategi?
● Hur ska organisationen uppnå sin vision; hur ska vi göra det?
● Fortsättningsvist långtgående och abstrakt
Vad innebär strategisk planering?
Strategisk planering
● Högnivå och långsiktig plan för organisationen
● Innehåller definierade krav
● Strategin “rullar nedåt” till avdelningar, funktioner och processer
● Strategin är ledningens ansvar
● Lång tidshorisont, 5-10 år, revideras med långa mellanrum
Vad innebär taktisk planering?
● Den strategiska planen omsätts (omvandlas) till en taktisk plan
● Varje strategiskt mål bryts ned till flertalet mer beskrivande mål. Vart och ett av dessa
mål ska ha ett datum då de ska vara klara (från att planen satts igång).
● Denna innehåller klara, tydliga, mätbara mål
● Kortsiktigare, 1-2 år, revideras oftare än strategiska planen
Vad innebär operativ planering?
● Den taktiska planen omvandlas till en operativ plan
● Används för att organisera det pågående dagliga utförandet av uppgifter
● En operativ plan innehåller det nödvändiga
uppgifter för alla relevanta avdelningar samt kommunikations- och rapporteringskrav,
vilket kan innehålla veckovisa möten, lägesrapporter och andra tillhörande uppgifter.
Vad är målsättningen med ett LIS? (Ledning för informationssäkerhet)
○ Stöd för strategin - Strategisk inriktning av informationssäkerhet med
affärsstrategi för att stödja organisatoriska mål
○ Riskhantering - Riskhantering genom att genomföra lämpliga åtgärder för att
hantera och mildra hot mot informationsresurser
○ Framgångs- och prestationsmått - Prestationsmätning genom mätning,
övervakning och rapportering av informationssäkerhetsstyrningsmetoder för
att säkerställa att organisatoriska mål uppnås
○ Rätt resursering av säkerhet - Resurshantering genom att använda
informationssäkerhetskunskap och infrastruktur effektivt
○ Ökat värde - Värdetilldelning genom att optimera investeringar i
informationssäkerhet till stöd för organisationsmål
Vilka är de fyra huvudsakliga aktiviteterna i ett LIS?
Behovsanalys
- Analyser av verksamhet, omvärld, hot/risker, GAP-analyser, kostnadsanalyser, osv
- Viktigt att analysen är aktuell, bör göras återkommande
Reglering
- Skapa styrdokument, framför allt policyer, riktlinjer, instruktioner
Stöd
- Metoder, vägledningar, utbildningar
Uppföljning
- Granskningar, revisioner, tester
Vad innebär styrdokument?
- Dokument som styr hur organisationen hanterar informationssäkerhet
- Kan förekomma på många olika nivåer och med olika terminologi i olika standarder
– Men i huvudsak policyn, riktlinjer och anvisningar/instruktioner - Kan vara övergripande eller specifika
- Det viktigaste styrdokumentet är organisationens informationssäkerhetspolicy
Vad innebär en informationssäkerhetspolicy?
- Övergripande, inte detaljerade anvisningar
Detaljerna finns i lägre nivåer av dokument - Stöder missionen, visionen och strategin
Strategisk nivå, dvs ledningens ansvar! - Kort, i regel 3-5 sidor
- Fördelning av roller och ansvar
- Viktigt! För att vara effektiv måste den göras tillgänglig, läsas, förstås samt omfattas av alla berörda inom organisationen
Nämn några exempel på säkerhetspolicys:
Exempel på policys
● Strong password policy
○ Alla anställda måste använda starka lösenord och lösenorden måste bytas
med tre månaders mellanrum
● Clean desk policy
○ Konfidentiella dokument och flyttbara media får inte ligga kvar på anställdas
arbetsbord efter arbetsdagens slut. Alla arbetsstationer måste låsas eller
stängas.
Vad kräver en effektiv och juridisk bindande policy?
○ Distribution (dissementation) - Policyn har gjorts lättillgänglig för alla
anställda
○ Granskning (review) - Policyn har gjorts tillgänglig i en för alla förståelig form
○ Förståelse (comprehension) - Organisationen måste kunna visa att den
anställda har förstått innehållet, t.ex. genom test
○ Samtycke (Compliance) - Den anställda måste ha visat sitt samtycke till
policyn, t.ex. genom avtal
○ Enhetlig tillämpning (Uniform enforcement) - Organisationen
Vad innebär riktlinjer inom säkerhetspolicys?
Specificerar hur en policy ska implementeras i praktiken
○ Vad krävs för att uppfylla standarden?
■ De facto - En standard som är allmänt antagen eller godkänd av en offentlig grupp snarare än en formell standardorganisation. Motsats till en de jure standard.
■ De jure - En standard som formellt har utvärderats, godkänts och ratificerats (bekräftats) av en formell standardorganisation.
● Exempel på standarder/riktlinjer:
○ Lösenordet ska innehålla minst 8 tecken, med minst en versal, minst en siffra
samt minst ett specialtecken !”#¤%&/
○ Flyttbara media måste vara krypterade enligt minst 256bit AESstandard
Vad innebär anvisningar inom säkerhetspolicys?
Detaljerade rekommendationer och exempel på hur en
policy efterlevs (T ex ramverket NIST SP 800-118 ger rekommendationer bl.a. om hur man väljer och kommer ihåg starka lösenord).
Informationssäkerhetspolicys kan särskiljas mellan tre stycken olika typer av policys enligt NIST:
○ Allmän informationssäkerhetspolicy (EISP - Enterprise information security policy)
○ Specifik informationssäkerhetspolicy
○ Systemspecifik informationssäkerhetspolicy
