Tölvumál - 01.09.2003, Blaðsíða 31

BS-7799-staðallinn
Formlega leiðin til að
meta áhættu er tölu-
leg nálgun byggð á
kostnaði og líkum.
burður gæti haft, verði innan ásættanlegra
marka.
Mynd 1: Stjórnkerfi uppiýsingaöryggis
Áhæftumat
Mörg fyrirtæki verja eignir sínar án þess
að hafa í raun og veru framkvæmt áhættu-
mat. Tilgangurinn með áhættumati er
einmitt sá að:
• Tryggja, að fyrirtækjum yfirsjáist ekki
ýmsar ógnir og veikleikar sem hugsan-
lega geta verið til staðar.
• Forgangsraða mikilvægum ráðstöfun-
um.
• Bera saman þann kostnað, sem hlýst af
því að koma í veg fyrir atburðinn við
þann kostnað sem fyrirtækið verður
fyrir ef tjón hlýst af.
Hægt er að draga úr áhættu eða milda
hana, t.d. með aðgerðaáætlun sem tiltekur
þau úrræði sem hægt er að grípa til, ef til-
tekinn atburður á sér stað. Einnig er hægt
að flytja áhættuna til, t.d. með því að
tryggja sig fyrir henni eða hreinlega að
sætta sig við hana.
Formlega leiðin til að meta áhættu er
töluleg nálgun byggð á kostnaði og líkum.
Hægt er að meta hana á einfaldan hátt með
viðeigandi töflum til að halda staðreynd-
um til haga, eða notast við hugbúnað, sem
getur verið mjög gagnlegt fyrir fyrirtæki
með yfirgripsmikla eignaskrá. Tilgreina
þarf eignir og verðmæti þeirra, meta
hverja ógn fyrir sig og hvaða veikleika
eignir fyrirtækisins geta haft m.t.t. hennar
og áætla líkurnar á því að slíkt tjón eigi
sér stað.
Áætlun um samfelldan rekstur.
Með gerð áætlunar um samfelldan rekstur,
leitast fyrirtækið við að sjá fyrir hvaða
áhrif meiriháttar röskun á rekstri þess get-
ur haft á aðra þætti rekstrarins, og hvemig
bregðast megi við slíkri röskun í því augn-
miði að fyrirtækið haldi velli. Það sem
réttlætir slíka áætlun er sú augljósa stað-
reynd, að ef búið er að kortleggja mögu-
lega atburði fyrirfram og þjálfa starfsfólk í
viðbrögðum við þeim, er hægt að endur-
byggja reksturinn á mun styttri tíma en ef
ákveða þarf viðbrögð eftir að áfall á sér
stað, þegar streituvaldandi aðstæður og
öngþveiti geta hamlað skýrri hugsun.
Áætlunin á að gera fyrirtækinu kleift að
endurheimta gögn og endurbyggja rekst-
urinn með sem minnstri fyrirhöfn til að ná
fullum afköstum áður en tjónið verður það
ntikið að ekki verður aftur snúið.
Eitt af lykilatriðum áætlunarinnar er að
skipuleggja reksturinn með því markmiði
að hægt sé að forgangsraða einstökum
rekstrarþáttum þannig, að þeir mikilvæg-
ustu séu endurheimtir fyrst.
Með prófun áætlunarinnar getur fyrir-
tækið fullvissað sig um að hún muni
virka, verði hennar þörf. Að útbúa áætlun-
ina er ekki létt verkefni, en með því að
prófa hana er hægt að gera sér betur grein
fyrir þeim göllum sem hún kann að búa
yftr. Líklegustu vandamálin eru ekki endi-
lega tæknilegs eðlis heldur getur verið um
einfalda hluti að ræða, s.s. hver geymir
lyklana, hvort starfsmenn vita hvem á að
hafa samband við, hvort afrit sé til af áætl-
uninni og það geymt á aðgengilegum stað,
hvort annars sé hægt að nota skrifstofurn-
ar, o.s.frv. Prófun getur verið kostnaðar-
söm en það að prófa áætlunina ekki, getur
sömuleiðis reynst dýrkeypt.
Viðmið fyrir smærri fyrirtæki:
Hér að neðan er að finna meginviðmið
upplýsingaöryggis fyrir smæni fyrirtæki:
• Vírusleit á öllum mótteknum tölvupósti
og viðhengjum með honum.
• Öguð vinnubrögð þegar kemur að afrit-
un og endurheimtingu á gögnum, þ.m.t.
geymsla á gögnum utan athafnasvæðis.
• Stýring á frábrigðum sem felur í sér
færslur, rannsóknir, úrræði og að koma
í veg fyrir að atburðurinn endurtaki sig.
• Bera kennsl á áhættur og ógnir og meta
áhrifin af þeim á reksturinn ef til þeina
kemur.
Tölvumál
31