Tölvumál - 01.10.2004, Qupperneq 28

HagfræÖi upplýsingaöryggis
Aðstæður geta breyst
þannig að upplýs-
ingar fari að flæða
eftir nýjum leiðum
og er því lýst nánar í fyrri grein höfundar7.
Utbreiddustu hugmyndimar um stjóm-
un upplýsingaöryggis byggja á notkun
staðla. Raundæmið staðfestir að staðlaðar
aðferðir sem aðlagaðar hafa verið stað-
háttum geta skilað árangri, amk. við vissar
aðstæður, en spurningakönnunin gefur
vegar til kynna að ekki sé fylgni milli
staðlanotkunar og árangurs af stjórnun
upplýsingaöryggis. Langflestir segjast þó
vera að beita stöðlum, en virðast ekki vera
komnir mjög langt í innleiðingu þeirra og
kröfur um upplýsingaöryggi gefa tilefni til
meiri notkunar þeirra. Ein skýring á því
gæti verið að hver beiti stöðlunum á sinn
hátt og því sé ekki alltaf hægt að tala um
formlega innleiðingu þeirra. Ástæða er til
að skoða betur hvort staðlar séu að bæta
árangurinn og þá hvernig.
Algengustu aðferðir miðast við að
tæknilegar og skipulagslegar ráðstafanir
skili saman bestum árangri. Allir sem
svöruðu til um ráðstafanir í könnuninni
tilgreindu bæði skipulagslegar og tækni-
legar ráðstafanir sem þeir væru að beita.
Raundæmið staðfestir einnig að þær virki
vel saman, þó erfitt sé að fullyrða út frá
því hvort önnur hvor tegund ráðstafana
dugi ein og sér.
Staðlar veita Ieiðbeiningar um innleið-
ingu á stjórnkerfi fyrir upplýsingaöryggi
og þar sem flestir beita stöðlum, en virðast
ekki vera langt komnir við innleiðingu
þeirra, þá er það viss staðfesting á því að
innleiðingarferlið sé flókið. I raundæminu
birtist framkvæmanlegt sívirkt ferli, sem
bendir til þess að stjórnun upplýsingaör-
yggis sé sívirk, en endanlegt ferli fer eftir
aðstæðum á hverjum stað. Hugmyndir
fræðimanna um stjómun á tímum óvissu
og umbreytingarferli sem ekki tortímir
skipulagsheildinni renna frekari stoðum
undir að ferlið sé sívirkt.
Umræða
Stærri kerfum fylgir meiri áhætta, bæði í
þróun og rekstri kerfanna. Það að taka
smærri skref minnkar áhættuna. Þetta er í
samræmi við stjórnunarkenningar síðari
ára, sem leggja áherslu á að ofskipuleggja
ekki, því ekki er hægt að sjá allt fyrir.
Stórhuga stefnumótun getur kollsteypst ef
ófyrirséðar breytingar verða í umhverfmu.
Það sama á við um þróun og smíði nýs
upplýsingakerfis. Þessa hugsun má yfir-
færa á öryggi upplýsinga. Þó búið sé að
setja ákveðinn öryggisramma utan um
upplýsingar þá geta aðstæður breyst, sbr.
kaflann um stjórnun á tímum tækni og
óvissu, þannig að upplýsingarnar fari að
flæða eftir öðrum leiðum og leka þá út á
ófyrirséðum stöðum, eða verða fyrir
skemmdum (ruglast/rangar), eða óað-
gengilegar, vegna nýrra áhrifa. Þess vegna
er mikilvægt að stjómun upplýsingaör-
yggis sé sívirk.
Rétt er að líta einnig á hlutina í aðeins
stærra samhengi. Við stjórnun upplýsinga-
öryggis togast þrír þættir á: trúnaður, rétt-
leiki og aðgengi upplýsinganna. Það fer
28
Tölvumál