Powiatowa Biblioteka Publiczna

Spis treści:

1. Od Autora
2. 1. Wstęp
3. 1.1. Bezpieczeństwo informacji i usług a bezpieczeństwo
4. teleinformatyczne
5. 1.2. Interdyscyplinarny charakter zagadnień i szczególna
6. rola informatyki
7. 1.3. Podstawowe problemy bezpieczeństwa teleinformatycznego
8. 1.4. Dwa podejścia do zagadnień bezpieczeństwa
9. 1.5. Potrzeba tworzenia komputerowych narzędzi wspomagających
10. 2. Wprowadzenie do zarządzania bezpieczeństwem
11. informacji i usług
12. 2.1. Bezpieczeństwo i jego atrybuty
13. 2.2. Wrażliwość informacji i krytyczność usług - istota ochrony
14. 2.3. Elementy bezpieczeństwa
15. 3. Normy, standardy i zalecenia
16. 3.1. Działalność połączonego komitetu technicznego ISO/IEC
17. 3.2. Raporty techniczne ISO/IEC TR13335
18. 3.3. Rozwój i znaczenie rodziny standardów BS 7799
19. 3.4. Szczególne znaczenie standardu COBIT
20. 3.5. Kryteria oceny zabezpieczeń
21. 3.6. Standardy dotyczące rozwiązań technicznych
22. 3.7. Przygotowanie organizacji do działań audytorskich
23. 3.8. Zalecenia i inne wytyczne szczegółowe
24. 3.9. Aktualny stan rozwoju standardów i sposób
25. ich wykorzystania
26. 4. Ryzyko w sensie ogólnym i technicznym
27. 4.1. Podstawy analizy ryzyka w sensie ogólnym
28. 4.2. Bezpieczeństwo funkcjonalne w świetle 1EC 61508
29. 4.3. Metody jakościowe oceny ryzyka
30. 4.3.1. Metoda wstępnej analizy ryzyka i hazardu
31. 4.3.2. Metoda HAZOP
32. 4.3.3. Metody analizy defektów
33. 4.4. Metody wykorzystujące struktury drzewiaste
34. 4.4.1. Metoda drzewa błędów
35. 4.4.2. Metoda drzewa zdarzeń
36. 4.4.3. Analiza przyczynowo-skutkowa
37. 4.4.4. Metoda inspekcji drzewa ryzyka
38. 4.4.5. Technika przeglądu organizacji zarządzania
39. bezpieczeństwem
40. 4.5. Metody analizy dynamicznej
41. 4.5.1. Metoda GO
42. 4.5.2. Metody grafów
43. 4.5.3. Zastosowanie modeli Markowa
44. 4.5.4. Metoda DYLAM
45. 4.5.5. Metoda DETAM
46. 4.6. Podsumowanie przeglądu metod oceny ryzyka
47. 5. Analiza ryzyka i strategie zarządzania nim
48. w teleinformatyce
49. 5.1. Podstawowe strategie zarządzania ryzykiem
50. 5.2. Ogólny schemat analizy ryzyka
51. 5.3. Metody kumulowania wielkości ryzyka
52. 5.3.1. Macierz predefiniowanych wartości
53. 5.3.2. Lista rankingowa zagrożeń
54. 5.3.3. Częstość zagrożeń
55. 5.3.4. Skala uproszczona wyrażająca tolerowanie ryzyka
56. 5.4. Podstawowe metody redukcji ryzyka
57. 5.4.1. Redukcja ryzyka przez stosowanie typowych
58. zabezpieczeń - ochrona podstawowa
59. 5.4.2. Redukcja ryzyka wspierana nieformalną jego analizą
60. 5.4.3. Redukcja ryzyka wspierana jego szczegółową i formalną analizą
61. 5.4.4. Metoda mieszana (kombinowana) redukcji ryzyka
62. 6. Wybrane metody i komputerowe narzędzia
63. wspomagające
64. 6.1. Komputerowe wspomaganie analizy i zarządzania ryzykiem
65. 6.2. Metodyka zarządzania ryzykiem opracowana
66. w instytucie NIST
67. 6.2.1. Analiza ryzyka
68. 6.2.2. Ograniczanie ryzyka
69. 6.3. Metodyka szacowania zagrożeń i ryzyka (TRA)
70. opracowana w CSE
71. 6.4. Metodyka CÓRA i komputerowe narzędzia wspomagające
72. 6.4.1. Zasady budowy modelu ryzyka
73. 6.4.2. Analiza modelu i wypracowanie optymalnej strategu
74. ograniczania ryzyka
75. 6.5. Metodyka i oprogramowanie CRAMM
76. 6.5.1. CRAMM-Expert - faza przygotowawcza
77. 6.5.2. CRAMM-Expert - etap analizy zasobów
78. 6.5.3. CRAMM-Expert - etap analizy ryzyka
79. 6.5.4. CRAMM-Expert - etap zarządzania ryzykiem
80. 6.5.5. CRAMM-Expert - implementacja ISMS
81. 6.6. Oprogramowanie COBRA
82. 6.7. Metoda IRIS
83. 6.8. Oprogramowanie RiskPAC
84. 6.9. Oprogramowanie ASSET
85. 6.10. Inne wybrane metody i narzędzia
86. 6.10.1. Pakiet MAR1ON
87. 6.10.2. Metoda VIR‘94
88. 6.10.3. Metoda MAGERIT
89. 6.10.4. Metoda MASS1A
90. 6.10.5. Metoda TISM
91. 6.10.6. Metoda SIM
92. 6.11. Przykłady analizatorów bezpieczeństwa i innych narzędzi
93. wspomagających jego utrzymywanie na bieżąco
94. 6.11.1. Pakiet SARA
95. 6.11.2. Security Analyzer firmy NetIQ
96. 6.11.3. Security Manager firmy NetIQ
97. 6.11.4. Pakiet OmniGuard ESM firmy Axent
98. 6.11.5. Symantec Enterprise Security Manager
99. 6.11.6. Inne narzędzia wspomagające utrzymywanie bezpieczeństwa
100. 7. Trójpoziomowy model odniesienia
101. 7.1. Trójpoziomowy model hierarchii celów, strategii i polityki
102. 7.2. Hierarchiczna struktura dokumentacji bezpieczeństwa
103. według modelu odniesienia
104. 7.3. Hierarchiczna struktura zarządzająca według
105. modelu odniesienia
106. 7.3.1. Zaangażowanie zarządu instytucji
107. 7.3.2. Struktura organizacyjna zespołÃ³w odpowiedzialnych
108. 7.3.3. Skład i kompetencje rady ds. bezpieczeństwa teleinformatyki
109. 7.3.4. Inspektor bezpieczeństwa teleinformatycznego
110. 7.3.5. Oddziałowy inspektor bezpieczeństwa teleinformatycznego
111. 7.3.6. Inspektor bezpieczeństwa teleinformatycznego systemu
112. lub realizowanego projektu
113. 7.4. Trójpoziomowy model odniesienia w praktyce
114. 7.5. Polityka a zarządzanie bezpieczeństwem
115. 8. System bezpieczeństwa instytucji
116. 8.1. Wprowadzenie
117. 8.2. Fazy realizacji i ogólny schemat funkcjonowania systemu
118. bezpieczeństwa instytucji
119. 8.3. Zapis sformalizowany modelu trójpoziomowego
120. 8.4. Zapis sformalizowany procesów związanych z utrzymaniem
121. bezpieczeństwa
122. 9. Bezpieczeństwo w instytucji
123. 9.1. Architektura systemu bezpieczeństwa instytucji
124. 9.2. Analiza procesów biznesowych ze względu na stopień
125. zaangażowania systemów teleinformatycznych w ich realizację
126. 9.3. Ogólne potrzeby bezpieczeństwa systemów
127. teleinformatycznych instytucji
128. 9.4. Formułowanie dokumentu polityki bezpieczeństwa instytucji
129. 9.5. Zarządzanie bezpieczeństwem na poziomie instytucji
130. 10. Ogólne zasady bezpieczeństwa teleinformatycznego
131. w instytucji
132. 10.1. Architektura systemu bezpieczeństwa teleinformatycznego
133. instytucji
134. 10.2. Cele bezpieczeństwa systemów teleinformatycznych instytucji
135. 10.3. Otoczenie prawne
136. 10.4. Wybór strategii redukcji ryzyka
137. 11. Wysokopoziomowa (ogólna) analiza ryzyka i wyznaczenie
138. obszarów wymagających ochrony
139. 11.1. Wymagania ochronne
140. 11.2. Domeny bezpieczeństwa
141. 11.3. Przebieg wysokopoziomowej analizy ryzyka
142. 12. Koncepcja hierarchii zasobów
143. 12.1. Wprowadzenie
144. 12.2. Interpretacja praktyczna modelu
145. 12.3. Przekroje modelu
146. 12.4. Zbiór dostępnych typów zasobów
147. 12.5. Zbiór eksploatowanych zasobów
148. 12.6. Specjalne znaczenie klasy zasobów reprezentującej personel
149. 12.7. Znaczenie przekrojów modelu zasobów dla zarządzania
150. bezpieczeństwem
151. 13. Przebieg szczegółowej analizy ryzyka w systemach
152. teleinformatycznych
153. 13.1. Wprowadzenie
154. 13.2. Granice obszarów zajmowanych przez zasoby instytucji
155. 13.3. Analiza zasobów - identyfikacja i wycena
156. 13.3.1. Przygotowanie zbioru dostępnych zasobów
157. 13.3.2. Przygotowanie zbioru eksploatowanych zasobów
158. 13.3.3. Atrybuty przekroju zarządzania zasobami
159. 13.3.4. Wycena zasobów
160. 13.4. Ocena podatności
161. 13.5. Środowisko zagrożeń
162. 13.6. Identyfikacja istniejących lub planowanych zabezpieczeń
163. 13.7. Podsumowanie wyników analizy ryzyka
164. 14. Wzorce wymagań dotyczących zabezpieczeń
165. 14.1. Wzorcowa lista wymagań
166. według PN-ISO/IEC 17799 (PN-I-07799-2)
167. 14.2. Tworzenie list wymagań na podstawie katalogu
168. zabezpieczeń zapewniających ochronę podstawową
169. 14.3. Rekomendacje bankowe, normy branżowe, akty prawne
170. 15. Wypracowanie strategii wyboru zabezpieczeń
171. 15.1. Ustalanie listy wymagań, przyjmując cele bezpieczeństwa
172. jako podstawowe ich źródło
173. 15.2. Ustalanie listy wymagań na podstawie listy wzorcowej
174. 15.3. Ustalanie listy wymagań na podstawie wyników analizy ryzyka
175. 16. Ogólne zasady tworzenia architektury
176. bezpieczeństwa na poziomie II i III
177. 16.1. Podstawy tworzenia odrębnych wersji polityki bezpieczeństwa
178. dla oddziałÃ³w instytucji (poziom Ha)
179. 16.1.1. Architektura systemu bezpieczeństwa teleinformatycznego
180. na poziomie oddziałÃ³w instytucji
181. 16.1.2. Zarządzanie bezpieczeństwem na poziomie oddziałÃ³w
182. instytucji
183. 16.2. Wpływ jednorodności wymagań na architekturę
184. bezpieczeństwa
185. 16.3. Architektura systemu bezpieczeństwa na poziomie
186. systemów teleinformatycznych
187. 17. Dobór zabezpieczeń na podstawie zdefiniowanych
188. wymagań
189. 17.1. Wprowadzenie
190. 17.2. Identyfikacja ograniczeń
191. 17.3. Ogólna koncepcja ochrony podstawowej
192. 17.4. Dobór zabezpieczeń podstawowych według rodzaju systemu
193. 17.5. Dobór zabezpieczeń podstawowych według potrzeb
194. bezpieczeństwa i zagrożeń
195. 17.6. Przykład metodyki ochrony podstawowej - IT Grundschutz
196. 17.6.1. Identyfikacja składników systemów teleinformatycznych
197. 17.6.2. Identyfikacja aplikacji oraz przetwarzanych informacji
198. 17.6.3. Określenie wymagań ochronnych dla elementów systemu
199. 17.6.4. Dobór zabezpieczeń zapewniających ochronę podstawową
200. 17.7. Dobór zabezpieczeń wynikających z analizy ryzyka
201. 17.7.1. System zarządzania bezpieczeństwem informacji iSMS
202. i zawarte w nim podejście do redukcji ryzyka
203. 17.8. Uwzględnienie architektury systemów w architekturze
204. bezpieczeństwa na poziomie systemów teleinformatycznych
205. 17.9. Akceptacja ryzyka
206. 18. Polityka bezpieczeństwa teleinformatycznego - ogółu
207. systemów teleinformatycznych w instytucji (poziom II)
208. 18.1. Zasady konstruowania
209. 18.2. Zawartość i przykłady
210. 18.3. Zarządzanie bezpieczeństwem na poziomie systemów
211. teleinformatycznych instytucji
212. 19. Polityka dotycząca bezpieczeństwa poszczególnych
213. systemów (poziomu III) i plany zabezpieczeń
214. 19.1. Zasady konstruowania
215. 19.2. Zawartość dokumentu
216. 19.3. Plany zabezpieczeń poszczególnych systemów
217. 19.4. Zarządzanie bezpieczeństwem na poziomie systemów
218. 20. Procesy wdrożeniowe
219. 20.1. Wdrożenie zabezpieczeń
220. 20.1.1. Opracowanie dokumentacji wdrażanych zabezpieczeń
221. 20.1.2. Realizacja planu zabezpieczeń i weryfikacja jego skuteczności
222. 20.2. Działania uświadamiające i ich nadzorowanie
223. 20.3. Szkolenia
224. 20.4. Akredytacja systemów
225. 21. Czynności powdrożeniowe
226. 21.1. Wykrywanie zmian i zarządzanie zmianami
227. 21.2. Monitorowanie elementów systemu bezpieczeństwa
228. 21.3. Zarządzanie zabezpieczeniami i utrzymywanie
229. ich skuteczności
230. 21.4. Kontrola zgodności
231. 21.5. Zarządzanie incydentami i doskonalenie
232. systemu bezpieczeństwa
233. 22. Wnioski i uwagi końcowe
234. Wykaz niektórych skrótów angielskich i polskich
235. oraz oznaczeń
236. Literatura
237. Dodatki
238. I. Przykład polityki dotyczącej bezpieczeństwa
239. instytucji (poziom I)
240. I.1. Deklaracja o ustanowieniu Polityki Bezpieczeństwa
241. Firmy e-GADGET sp. z o.o
242. I.2. Cel opracowania i zawartość dokumentu
243. I.3. Podstawy normatywne
244. I.4. Podstawy prawne
245. I.5. Zakres oddziaływania polityki
246. I.6. Bezpieczeństwo w Firmie e-GADGET
247. I.7. Role i odpowiedzialność
248. I.8. Rozpowszechnianie i zarządzanie dokumentem polityki
249. I.9. Załączniki
250. I.9.1. Regulaminy, instrukcje, procedury
251. I.9.2. Role dotyczące bezpieczeństwa teleinformatycznego
252. I.10. Odwołanie do Polityki Bezpieczeństwa
253. Teleinformatycznego Firmy e-GADGET sp. z o.o
254. II. Przykład polityki dotyczącej bezpieczeństwa
255. teleinformatycznego instytucji (poziom II)
256. II.1. Umocowanie prawne
257. II.2. Cel opracowania i zawartość dokumentu
258. II.3. Podstawy normatywne i terminologia
259. II.4. Podstawy prawne
260. II.5. Zakres oddziaływania
261. II.6. Bezpieczeństwo informacji i usług elektronicznych
262. w Firmie e-GADGET
263. II.6.1. Procesy biznesowe wspierane przez technologie
264. teleinformatyczne
265. II.6.2. Postanowienia ogólne
266. II.6.3. Postępowanie wobec ryzyka
267. II.6.4. Otoczenie prawne i identyfikacja zasobów
268. II.6.5. Ogólne potrzeby bezpieczeństwa wynikające z procesów
269. biznesowych, wspomaganych w realizacji technologiami
270. teleinformatycznymi
271. II.6.6. Wnioski ogólne z analizy ryzyka
272. II.6.7. Metoda postępowania przy tworzeniu systemu
273. bezpieczeństwa
274. II.6.8. Cele zabezpieczeń i ogólne strategie
275. II.6.9. Szczegółowe zasady i wymagania dotyczące zabezpieczeń
276. II.6.9.1. Wymagania dotyczące dokumentu polityki
277. bezpieczeństwa
278. II.6.9.2. Wymagania dotyczące organizacji systemu
279. bezpieczeństwa
280. II.6.9.3. Klasyfikacja i nadzór nad zasobami
281. II.6.9.4. Bezpieczeństwo osobowe
282. II.6.9.5. Bezpieczeństwo fizyczne i środowiskowe
283. II.6.9.6. Zarządzanie systemem
284. II.6.9.7. Kontrola dostępu
285. II.6.9.8. Rozwój i utrzymanie systemów
286. II.6.9.9. Ciągłość procesów biznesowych
287. II.6.9.10. Zgodność
288. II.7. Role i odpowiedzialność
289. II.7.1. Ogólna organizacja służb odpowiedzialnych i ich role
290. II.7.2. Komitet Bezpieczeństwa Teleinformatycznego (KBTI)
291. II.7.3. Zespół Bezpieczeństwa Teleinformatycznego (ZBTI)
292. II.7.4. Pion Eksploatacji (PE)
293. II.7.5. Użytkownicy i inni pracownicy
294. II.7.6. Postanowienia dodatkowe
295. II.7.7. Odpowiedzialność za naruszenia polityki
296. II.8. Rozpowszechnianie i zarządzanie dokumentem polityki
297. II.9. Załączniki
298. II.9.1. Normy i zalecenia wykorzystywane do tworzenia polityki
299. II.9.2. Definicje wykorzystywanych pojęć
300. II.9.3. Tajemnice prawnie chronione, występujące w Firmie e-GADGET
301. jako element otoczenia prawnego, oznaczane
302. jako EG-POUFNE
303. II.9.4. Tajemnice przedsiębiorstwa chronione na zasadach
304. wzajemności, na podstawie wielostronnych umów zawartych
305. przez Firmę e-GADGET, oznaczane EG-POUFNE
306. II.9.5. Tajemnice przedsiębiorstwa określone na podstawie zarządzeń
307. wewnętrznych w Firmie e-GADGET, oznaczane EG-POUFNE
308. II.9.6. Działania zgodne z prawem, występujące w Firmie e-GADGET
309. jako element otoczenia prawnego
310. II.9.7. Regulaminy, instrukcje, procedury, wzorce dokumentów
311. II.9.8. Role członków zarządu
312. II.9.9. Role w Pionie Bezpieczeństwa
313. II.9.10. Role dotyczące właścicieli zasobów
314. II.9.11. Role w Pionie Eksploatacji
315. II.9.12. Uregulowania specjalne dotyczące ról
316. II.9.13. Dokumentacja projektowa i plany
317. II.10. Odwołanie do polityki dotyczącej bezpieczeństwa poszczególnych
318. systemów teleinformatycznych w Firmie e-GADGET sp. z o.o.
319. III. Przykład polityki dotyczącej bezpieczeństwa systemów
320. informacyjnych instytucji w układzie ISMS
321. III.1. Wprowadzenie
322. III.2. Cel opracowania
323. III.3. Zakres oddziaływania
324. III.4. Zasady polityki
325. III.5. Zasady odpowiedzialności za bezpieczeństwo
326. III.5.1. Zasady ogólne
327. III.5.2. Odpowiedzialność kierownictwa firmy
328. III.5.3. Odpowiedzialność Inspektora Bezpieczeństwa Informacji
329. III.5.4. Odpowiedzialność Inspektora Bezpieczeństwa Technologii
330. Informatycznych
331. III.5.5. Odpowiedzialność ogólna
332. III.6. Wskazania ogólne
333. III.7. Przegląd dokumentu polityki
334. III.8. Dokumenty związane
335. IV. Specyfikacja zagadnień bezpieczeństwa zawartych
336. w normie PN-ISO/IEC 17799
337. V. Specyfikacja zagadnień bezpieczeństwa organizacyjnego
338. i fizycznego zawartych w raporcie ISO/IEC TR 13335-4.
339. Dobór zabezpieczeń podstawowych
340. według specyficznych cech systemu
341. VI. Specyfikacja zagadnień bezpieczeństwa
342. teleinformatycznego zawartych w raporcie ISO/IEC TR 13335-4. Dobór zabezpieczeń podstawowych według specyficznych cech systemu
343. VII. Specyfikacja zagadnień bezpieczeństwa w układzie według
344. zagrożeń zawartych w raporcie ISO/IEC TR 13335-4.
345. Dobór zabezpieczeń podstawowych według zagrożeń
346. Skorowidz *

Zobacz spis treści

---

---

---