Co to jest ITSEC?

Bezpieczeństwo informatyczne odgrywa coraz większą rolę w funkcjonowaniu firm, instytucji oraz całych społeczeństw. Kryteria ITSEC to jeden ze sposobów na ocenę poziomu bezpieczeństwa systemów teleinformatycznych. W artykule opowiemy, co to jest ITSEC, na czym polega ocena ITSEC oraz jakie dobre praktyki cybersecurity powinieneś wprowadzić w swojej organizacji!

Co oznacza skrót ITSEC?

ITSEC to anglojęzyczny akronim „Information Technology Security Evaluation Criteria”, oznaczający wprowadzony jeszcze w latach 90. ubiegłego stulecia systemy oceny bezpieczeństwa infrastruktury IT. Zaletą ITSEC jest elastyczność i neutralność technologiczna, a także niezależność od postępu technicznego. Oznacza to, że kryteria nie podają sztywnych ram czy rozwiązań (np. długości hasła), pozostawiając określenie taktyk i polityk wdrożeniowych specjalistom IT w organizacji.

Na czym polega ocena ITSEC?

Ocena bezpieczeństwa systemów teleinformatycznych zgodna z wytycznymi ITSEC bierze pod uwagę wszystkie aspekty ochrony – techniczne oraz nietechniczne. ITSEC stawia kryteria wymagań dla poniższych obszarów.

1. Samego produktu.

2. Procesu projektowania produktu.

3. Środowiska wytwarzania.

4. Dokumentacji produktowej.

5. Rekomendacji dotyczących środowiska eksploatacji produktu.

Warto wspomnieć, że już na etapie projektowania powinieneś przeprowadzić analizę kosztów zabezpieczeń i zestawić ją z analizą ryzyka. W ten sposób zyskasz możliwość wdrożenia optymalnego kosztowo rozwiązania cybersecurity, adekwatnego do posiadanych zasobów oraz priorytetu ochrony poszczególnych komponentów systemu IT.

Ocena mechanizmów bezpieczeństwa teleinformatycznego wg ITSEC jest dokonywana pod kątem dwóch kluczowych aspektów – skuteczności oraz poprawności. Na czym polegają oba elementy?

• Skuteczność – określa zdolność infrastruktury w organizacji do przeciwstawiania się zagrożeniom cybernetycznym i jest oceniana w trzystopniowej skali: niska, średnia, wysoka.

• Poprawność – parametr oceniający dokładność oraz jakość kontroli mechanizmów bezpieczeństwa informatycznego. Ocena jest dokonywana w siedmiostopniowej skali E0-E6.

Dodajmy, że istnieje specjalny podział klas funkcjonalności ITSEC: F-C1, F-C2, F-B1, F-B2, a także F-B3, F-IN, F-AV, F-DI, F- DC oraz F-DX 3.

Wprowadź dobre praktyki cybersecurity w firmie!

Niezależnie od newralgiczności Twojej infrastruktury i aktualnej oceny ITSEC powinieneś pamiętać o dobrych praktykach cybersecurity. Jakie praktyki bezpieczeństwa IT powinieneś uwzględnić?

• Identyfikuj luki w zabezpieczeniach i aktualizuj systemy oraz firmware sprzętu.

• Zadbaj o regularne podnoszenie poziomu świadomości użytkowników na temat istniejących zagrożeń.

• Dobierz metody zabezpieczenia infrastruktury IT tak, by zachować zdrową relację pomiędzy skutecznością a uciążliwością w pracy codziennej.

• Stwórz kompleksowy system tworzenia kopii zapasowych i efektywne polityki szybkiego przywracania pracy infrastruktury po ataku lub awarii (rozważ skorzystanie z usług Disaster Recovery as a Service).

• Rozsądnie przydzielaj dostępy i poziomy uprawnień poszczególnym użytkownikom.

• Zadbaj o zabezpieczenie sprzętu pracowników zdalnych.

• Zbuduj ujednoliconą platformę bezpieczeństwa i reagowania na incydenty (SOC).

Nie zapominaj również o przeprowadzaniu regularnych audytów bezpieczeństwa oraz monitorowaniu stopnia ochrony, zgodnie z klasyfikacją ITSEC oraz wewnętrznymi procedurami. Zadbaj o bieżące zarządzanie ryzykiem i wdrażanie udoskonaleń.

Zadbaj o bezpieczeństwo informatyczne z ITCenter!

Bez wątpienia dobrze skonstruowana polityka bezpieczeństwa wymaga również odpowiednich procedur w zakresie okresowej oceny stopnia ochrony infrastruktury IT. Pomoże Ci w tym omówiony w artykule zbiór kryteriów ITSEC. Nie posiadasz wiedzy i zasobów do samodzielnego wprowadzenia dobrych praktyk cybersecurity?

Skontaktuj się z przedstawicielem ITCenter i wspólnie zadbajmy o bezpieczeństwo informatyczne w Twojej firmie! Stale podnosimy jakość naszych rozwiązań cybersec, wykorzystując m.in. kryteria oceny ITSEC oraz Common Criteria. Oferujemy szeroki wachlarz usług outsourcingu IT w zakresie bezpieczeństwa IT.