Ledning och styrning av IT-tjänster och informationssäkerhet sixten.bjorklund@sipit.se 2013-05-21 Sip It AB, Sixten Björklund 1
Några standarder för ledning och styrning 2013-05-21 Sip It AB, Sixten Björklund 2
Grundläggande egenskaper Principer Fokus på Use of IT Fokus på produkter Processer Fokus på informationstillgångar Informationssäkerhetsåtgärder Organisation Fokus på tjänster Processer 2013-05-21 Sip It AB, Sixten Björklund 5
Scenarios för omfattning (scope) A B A B A B A B 2013-05-21 Sip It AB, Sixten Björklund 6
Organisatoriska gränser D A B Tjänsteleverantör Kund C 2013-05-21 Sip It AB, Sixten Björklund 7
Integrerat ledningssystem Andra ledningssystem, tex kvalitet Beroenden inom och mellan ledningssystemen Vilka delar som kan slås ihop Delar som ska vara separat Påverkan på kunder, underleverantörer, mfl Påverkan på system och stödsystem Påverkan på respektive område Utbildning och införande Planering införande, etapper Upprätthåll spårbarhet till krav i respektive standard 2013-05-21 Sip It AB, Sixten Björklund 8
Analys vid integration Organisation Verktygslådan Separata delar Gemensamma delar Separata delar Likadana delar 2013-05-21 Sip It AB, Sixten Björklund 9
Informationssäkerhet ett område för samordning ISO 27001 Scopet för ISO 27001 behöver inte omfatta tjänsterna. ISO 20000-1 I ISO 20000-1 ska informationssäkerhet hanteras för tjänsterna Görs med fördel med ISO 27001 A B A B A B? 2013-05-21 Sip It AB, Sixten Björklund 10
Informationssäkerhet viss skillnad i definition ISO 27001 Bevarande av konfidentialitet, riktighet och tillgänglighet hos information Med tillgänglighet i ISO 27001 avses såväl åtkomst som användbarhet vid begäran ISO 20000-1 Bevarande (skydd) av konfidentialitet, riktighet och åtkomst till information Tillgänglighet används i ISO 20000-1 avseende förmåga hos en tjänst eller tjänstekomponent att fungera som avsett 2013-05-21 Sip It AB, Sixten Björklund 11
Tillgång något som har värde för organisationen ISO 27001 Tillgångar kopplat till informationssäkerhet ISO 20000-1 Tillgångar kopplat till tjänster, tex licenser CI - element som ska kontrolleras CMDB databas för CI Informationstillgångar CI 2013-05-21 Sip It AB, Sixten Björklund 12
Risk hanteras med fördel samordnat osäkerhetens effekt ISO 27001 Riskbaserad Kombinationen av sannolikhet och konsekvens Risk information Risk tjänster ISO 20000-1 Risk för tjänster Osäkerhetens effekt på mål Hantera risk i bla: Skapa och hantera SMS Planering av tjänster Förändringar och Releaser Kontinuitetshantering Hantering av CI 2013-05-21 Sip It AB, Sixten Björklund 13
Incident skillnad att observera ISO 27001 Informationssäkerhetsincident en enskild eller en serie av oönskade eller oväntade informationssäkerhetshändelser som har en signifikant sannolikhet att äventyra verksamheten och hota informationssäkerheten ISO 20000-1 Incident oplanerat avbrott i en tjänst, en minskning i kvaliteten hos en tjänst eller en händelse som ännu inte har påverkat leveransen av en tjänst till kunden Informationssäkerhetsincident Allvarlig incident Känt fel Problem 2013-05-21 Sip It AB, Sixten Björklund 14
Governance övergripande styrning Hur engagera högsta ledningen? Vad ska de göra? Vad är IT? Vilken information ska de ha? Hur får de mer information? Vilket ansvar ska de ha? Vilket ansvar vill de ha? 2013-05-21 Sip It AB, Sixten Björklund 16
Övergripande styrning Ägare Högsta ledningen Governing body Företagsledningen Management 2013-05-21 Sip It AB, Sixten Björklund 17
ISO/IEC 38500 Högsta ledningen Rätt Styra Strategier Policyer Utvärdera Förslag, planer Följa upp Prestanda Följsamhet frågor ansvar mandat beslut på rätt nivå i organisationen Företagsledningen Ledningssystem för användning av IT 2013-05-21 Sip It AB, Sixten Björklund 18
Tre huvuduppgifter Utvärdera den nuvarande och framtida användningen av IT Högsta ledningen Styra strategier, planer och policys för att säkerställa att IT stöder verksamhetens mål Styra Strategier Policyer Utvärdera Förslag, planer Följa upp Prestanda Följsamhet Följa upp regelefterlevnad och prestation i förhållande till planerna Företagsledningen Ledningssystem för användning av IT 2009-10-05 19
Sex principer Ansvar Strategi Högsta ledningen Anskaffning Utvärdera Prestanda Regelefterlevnad Mänskligt beteende Styra Strategier Policyer Förslag, planer Följa upp Prestanda Följsamhet Företagsledningen Ledningssystem för användning av IT 2009-10-05 20
Huvudsakliga fokus IT ska leverera värde Risker ska vara hanterade Detta kräver att högsta ledningen: Skapar en övergripande kontroll Deltar i beslutsfattande Beslut ska utgår från strategier, prioriteringar och behov 2013-05-21 Sip It AB, Sixten Björklund 21
Högsta ledningen Ansvarar för en effektiv, ändamålsenligt och acceptabel användning av IT inom organisationen Styr genom formulering av strategier och policys samt genom att mäta och följa upp företagsledningens prestation, användningen av IT Tydliggöra ansvar, ansvar kan delegeras till företagsledningen avseende delar av den övergripande styrningen Säkerställa att risker hanteras 2013-05-21 Sip It AB, Sixten Björklund 23
Företagsledningen Ansvarar för att nå organisationens mål inom ramen för de strategier och policyer som är framtagna, dvs inom ramen för modellen för övergripande styrning Upprätthålla ett ledningssystem för användning av IT Effektiv styrning kräver ett effektivt system för uppföljning och intern kontroll i företaget, något som behöver implementeras 2013-05-21 Sip It AB, Sixten Björklund 24
Modell för värdering ISO 38500 Principer Utvärdera Styra Följa upp Ansvar Strategi Anskaffning Prestanda Regelefterlevnad Vad ska uppnås? Vad ska förbättras? Hur skapar vi värde? Mänskligt beteende 2013-05-21 Sip It AB, Sixten Björklund 25
Frågor sixten.bjorklund@sipit.se 2013-05-21 Sip It AB, Sixten Björklund 26