Sydkraft AB - Koncern IT

Transkript

1

2 Informationssäkerhet Informationssäkerhetsklassning Anpassning till ISO/IEC Rita Lenander IT- och Informations-säkerhetschef

3 Säker hantering av information Inte många skulle lämna sina oförsäkrade lokaler olåsta och obevakade. Men det är just vad många företag och organisationer gör när det gäller en av sina viktigaste tillgångar - informationen

4 Tänk om vi hade gjort så här. Vi tillhandahåller lokaler, men du som anställd får själv se till att ordna lås på din dörr. Vi bryr oss inte om ifall du använder en hasp eller sjutillhållarlås. Om någon annan måste komma in i ditt rum så får du väl hänga nyckeln på en spik utanför din dörr eller låta bli att låsa

5 Vem har tillgång till vår information och vårt nätverk? Tillgång in i våra lokaler: Passerkort Låsta utrymmen Bemannad reception Vaktbolag Inbrottslarm Tillgång in i vårt nät: Lösenordsdosa/kort Zonindelning Brandvägg Övervakning och loggning IDS-system

6 Allas vår verklighet Kriminella nätverk börjar utgöra en betydelsefull del av ekonomin, samhällets institutioner och vardagsliv Kriminella över hela världen går samman och bildar en global kriminell ekonomi som kan penetrera finansmarknader, handel, företag och politiska system i alla samhällen. Ökad sofistikerad teknik medför att en liten beslutsam grupp, som är välfinansierad och välinformerad, kan ödelägga hela städer eller slå till mot vitala punkter i samhället. Hotbilden mot energibranschen har gått om finansmarknaden

7 Statistik från bl.a. BRÅ (Brottsförebyggande Rådet) Ett av hundra dataintrång rapporteras Endast ett av tiotusen försök till dataintrång rapporteras 62 % av alla företag utsätts för databrott % av alla IT-brott begås av outsiders 83 % av dataintrången utförs av gärningsmän som inte är anställda i företaget 69 % av dataintrången sker via Internet Antalet informationsstölder ökar mest och har högsta skadekostnad per händelse

8 En definition av IT-säkerhet Försvåra för alla att göra saker Du inte vill att de ska göra med, på eller från din information, datorer eller annan i nätet förekommande utrustning såsom routrar etc

9 Vad är informationssäkerhet? Informationssäkerhet karaktäriseras som bevarandet av: Sekretess - säkerställande av att information är tillgänglig endast för dem som har behörighet för åtkomst Riktighet - skydd av information och behandlingsmetoder så att de förblir korrekta och fullständiga Tillgänglighet - säkerställande av att behöriga användare vid behov har tillgång till information och tillhörande tillgångar

10 BS SS ISO/IEC BS 7799 är en brittisk standard för informations-säkerhet som översattes till svenska och fick beteckningen SS Det är en direkt översättning med undantag av avsnitt som handlar om insamling av bevis. Detta avsnitt ansågs inte tillämpligt i Sverige och har därför utelämnats. I början av 2000 blev BS 7799 en internationell ISO-standard ISO/IEC

11 Vad ska vi med en standard till? Möjliggör säkerhetscertifiering, motsvarande ISO 9000, av oberoende instans som SWEDAC ackrediterar Garanti för att nödvändiga säkerhetsåtgärder vidtagits i företaget/organisationen Standarden riktar sig till ledningsnivån inom företag och organisationer Mätstock för säkerhetsnivån i en organisation Internationella krav på säkerheten

12 Vad ska vi skydda? Lagrad säkerhetsklassad information Papper, digitalt etc Transport av säkerhetsklassad information Brev, epost, tal, bild etc Information som måste vara tillförlitlig Finansiell information, Mätvärden etc Tillgång till externa tjänster Reuter, Internet, bokningar etc Tillgång till interna tjänster System, Applikationer, InfoNet etc Vår organisations integritet Företaget bestämmer vem som får veta vad och när

13 Att säkerhetsklassa information

14 Informationssäkerhetsklassning Skaparen av information är ansvarig för att den klassificeras korrekt. Inom Sydkraft använder vi fyra olika klasser: 1. Öppen 2. Intern 3. Företagshemlig 4. Kvalificerat Företagshemlig

15 Informationssäkerhetsklassning Öppen Information avsedd för externt bruk. Kan publiceras på vår externa webb Intern Annan information som inte är hemlig och inte är avsedd för externt bruk. Kan publiceras på koncernens InfoNet Företagshemlig Information som vid otillbörlig läsning eller förändring orsakar ekonomisk skada på företaget. Ekonomisk information som kan ge otillbörlig personlig vinst. Känslig information ur integritetssynpunkt. Kan publiceras på det enskilda bolagets InfoNet

16 Informationssäkerhetsklassning Kvalificerat företagshemlig Information som vid otillbörlig läsning eller förändring kan äventyra Sydkrafts framtida marknadsposition. Information som innehåller strategier, framtidsplanering, nya produkter, säkerhetsinformation, marknads- och konkurrentanalyser. Endast tillgänglig för en begränsad namngiven grupp. Kan vara inom bolaget, inom koncernen eller grupp från Sydkraft tillsammans med extern part

17 Informationssäkerhetsklassning Exempel på märkning av dokument: Datum Sekretessklass Internt Informationsklassning Dok. ansvarig Rita Lenander

18 Informationssäkerhetsklassning Exempel på märkning av dokument: Känsliga uppgifter Kknf kdrn zuoadf koifaffn xjyrak klsjkd dkldlkjkldfl akflfkfd Kvalificerat företagshemligt Jdfirna cjadlj dijfaj ajjurjf qjfhfiwlkdsj jadjf hfd fjda ero jfd Jeufbs fdkidsfn ihf k lehfka hajdsfdkl fjshf sjkdsd cdn Lkjhnrimv kid ir9jw498fmf kdig ds sjs itng, kh8i.lgignd Jueifnfmsld mkddif dsfj Idfklkdfk kdk dskur ipsö klfir öa+kf,kflfj sytsujf kklrtöed Olfgi sjgugn eu eufhga kfukem,fdmdfkfd fdkjfdkj åtrke,d kgi eldnyjd lm fkd mdrik vdkj vn jfnb,m r oikjfsk ij lk dlaj lkad oiw roioirjhe oiqurj oiquer oqieur oqiwje oirj oqierh oqier oqiery oiqr oqierhoiqe oqeir oqeir oqi roiq roiq roqi oihurhtgjnkhnöaohh vr hjij uuh oj ohyhj iugh oujp opj oihpq ip ip pju oyh ie juoouwp iuo oeu o uoi

19 Informationssäkerhetsklassning - Frågor Hur skapas dokumentet? Var sparas det? Vad är original och vad är kopior? Hur förvaras originalet/kopiorna? Vem kan läsa originalet? Vem kan kopiera det? Hur skickar jag det? Hur förstör jag det?

20 Informationssäkerhetsklassning - Svar Hur skapas dokumentet? Var sparas det? Vad är original och vad är kopior? Hur förvaras originalet/kopiorna? Word Acrobat Applikation Vem kan läsa originalet? Vem kan kopiera det? Hur skickar jag det? Hur förstör jag det?

21 Informationssäkerhetsklassning - Svar Hur skapas dokumentet? Var sparas det? Vad är original och vad är kopior? Hur förvaras originalet/kopiorna? Vem kan läsa originalet? Filserver Hårddisk på pc Databas Vem kan kopiera det? Hur skickar jag det? Hur förstör jag det?

22 Informationssäkerhetsklassning - Svar Hur skapas dokumentet? Var sparas det? Vad är original och vad är kopior? Hur förvaras originalet/kopiorna? Vem kan läsa originalet? Vem kan kopiera det? Originalet är där du sparade det Kopior är utskrivna pappersdokument Hur skickar jag det? Hur förstör jag det?

23 Informationssäkerhetsklassning - Svar Hur skapas dokumentet? Var sparas det? Vad är original och vad är kopior? Hur förvaras originalet/kopiorna? Vem kan läsa originalet? Vem kan kopiera det? Hur skickar jag det? Hur förstör jag det? Originalet är där du sparade det. Företagshemligt och Kvalificerat Företagshemligt dokument skall förvaras krypterat och med åtkomstbegränsning. Papperskopior som är klassade som Företagshemligt och Kvalificerat Företagshemligt förvaras i kassaskåp

24 Informationssäkerhetsklassning - Svar Hur skapas dokumentet? Var sparas det? Vad är original och vad är kopior? Hur förvaras originalet/kopiorna? Vem kan läsa originalet? Vem kan kopiera det? Hur skickar jag det? Hur förstör jag det? Alla som har tillgång till dokumentet där det är lagrat/sparat. Detta betyder att även ITdriftspersonal och administratörer har tillgång. Särskilda lagrings-platser för Företags-hemligt och Kvalificerat Företagshemlig information som är krypterade

25 Informationssäkerhetsklassning - Svar Hur skapas dokumentet? Var sparas det? Vad är original och vad är kopior? Hur förvaras originalet/kopiorna? Vem kan läsa originalet? Vem kan kopiera det? Hur skickar jag det? Hur förstör jag det? Alla som har tillgång till dokumentet där det är lagrat/sparat. Detta betyder att även ITdriftspersonal och administratörer har tillgång. Särskilda lagrings-platser för Företagshemligt och Kvalificerat Företagshemlig information som är krypterade

26 Informationssäkerhetsklassning - Svar Hur skapas dokumentet? Var sparas det? Vad är original och vad är kopior? Hur förvaras originalet/kopiorna? Vem kan läsa originalet? Vem kan kopiera det? Hur skickar jag det? Hur förstör jag det? Via epost: Företagshemlig information får endast skickas krypterat. Kvalificerat Företagshemlig information får ej skickas via epost. Via brev: Företagshemlig information skickas rekommenderat. Kvalificerat Företagshemlig information skickas via kurir

27 Informationssäkerhetsklassning - Svar Hur skapas dokumentet? Var sparas det? Vad är original och vad är kopior? Hur förvaras originalet/kopiorna? Vem kan läsa originalet? Vem kan kopiera det? Hur skickar jag det? Hur förstör jag det? På datamedia: Kvalificerat Företagshemlig information skall förstöras så att informationen inte är återskapningsbar. På papper: Företagshemlig och Kvalificerat Företagshemlig information skall förstöras i pappersstrimlare

28