Title: IB_monitor
Author: MF SR
Last saved by: jhochmann
Manager: JH

Príloha č.1

Prieskum stavu informačnej bezpečnosti v SR

Prieskum stavu informačnej bezpečnosti (ďalej len „IB“) bol vykonaný MF SR v decembri 2008.  Obsahom dotazníka bolo 46 otázok zaradených do nasledovných  6 sekcií:
1)	Popis prostredia					17
2)	Riadenie rizík					  3
3)	Riešenie incidentov					  8
4)	Riadenie zmien informačných systémov		  8
5)	Vzdelávanie v oblasti informačnej bezpečnosti	  4
6)	Súlad s legislatívou					  6
Celkovo bolo vyhodnotených 258 organizácií z verejnej správy SR. V nasledujúcej časti je uvedené sumárne vyhodnotenie otázok z jednotlivých sekcií.
1. Popis prostredia
Cieľom tejto časti bolo pochopenie významu a dôležitosti IB v rámci pracovných postupov a povinností inštitúcie, spôsob zabezpečenia IB a nepriamo aj náročnosť jej riadenia. Konkrétne praktiky riadenia IB boli sledované na charakteristikách zamestnancov zodpovedných za riadenie a vykonávanie procesov na zaistenie IB. 
Zo skúsenosti vyplýva, že vo väčšine inštitúcií, ktoré nemajú špecializované oddelenie bezpečnosti alebo riadenia rizík, je za riadenie IB zodpovedné IT oddelenie. Preto bol počet zamestnancov na oddelení IT a rozsah jeho zodpovednosti významným údajom, na ktorý sa vzťahujú aj iné ukazovatele stavu IB. Väčšina IT oddelení v inštitúciách verejnej správy sú malé oddelenia s malým počtom zamestnancov, ktorých hlavnou náplňou je správa systémov a podpora používateľov, a pri ktorých sa nepredpokladá výrazná špecializácia v oblasti riadenia IB.
1.1 Záver
Zodpovednosť za IB je väčšinou ponechaná na IT oddelenie. V menšej miere v inštitúciách, ktoré nemajú dostatočné kapacity v rámci IT oddelenia, je zodpovednosť prenesená na niektoré oddelenie infraštruktúry. V inštitúciách, kde nie je určené zodpovedné oddelenie alebo osoba, je zodpovednosť distribuovaná medzi viacerých zamestnancov, ktorí nie sú špecialisti na otázky IB,  dokonca ani na IT.
Z dôvodu rozpočtu i počtu zamestnancov a rozsahu ich povinností IT oddelenia sa nepredpokladá, že by inštitúcie mali kapacity na vytvorenie samostatnej pozície zamestnanca pre IB. Samotní zamestnanci IT nie sú špecialisti na IB a disponujú len administrátorskými znalosťami informačných systémov.
V inštitúciách verejnej správy nie je riadenie IB samostatnou položkou v rozpočte IT oddelení, ani nie je vyvinutá metodika evidencie investícií do IB. Z prieskumu sa dá usúdiť, že prideľovanie prostriedkov na zabezpečenie IB v organizáciách je zvyčajne neplánované a nesystémové. 
2. Riadenie rizík
Analýza rizík je jedným z prvých krokov v postupe budovania mechanizmov riadenia IB a výsledky tejto časti prieskumu poukazujú práve na uvedomenie si jej dôležitosti. Tiež podáva informáciu o stave poznania vlastnej inštitúcie. Poznanie aktuálneho stavu umožňuje lepšie určiť postupnosť krokov v stratégii budovania IB, pretože je známa východisková pozícia inštitúcií a tiež možnosti a schopnosti riadenia IB, dosiaľ však bez regulácií.
2.1 Záver
Stav vykonaných analýz rizík v inštitúciách verejnej správy je uspokojivý. Väčšina inštitúcií ich vykonala a sú pomerne aktuálne. Zodpovednosť za vykonanie analýzy rizík kopíruje model zodpovednosti za celé riadenie IB v inštitúciách, kde je analýza robená vo vlastnej réžii. To znamená, že riešiteľmi sú najmä zamestnanci IT oddelení. Kvalita výkonov v procesoch IB je otázkou ich špecializácie. Druhou najväčšou skupinou riešiteľov sú externí dodávatelia. Kvalita dodávaných služieb je otázkou požiadaviek a kontrolných mechanizmov.
3. Riadenie incidentov
Schopnosť efektívne riadiť incidenty predstavuje prevenciu, detekciu a nápravu, ako hlavný cieľ riadenia IB. Nutnou podmienkou riadenia incidentu je schopnosť incident rozoznať. O tejto schopnosti svedčia otázky o počte a charaktere zaznamenaných incidentov. Zvyšné otázky v tejto časti hovoria o vyspelosti postupov riadenia, a to o formálnej stránke i konkrétnej praxi, najmä rozdelenie zodpovednosti za riešenie incidentu. Dôležitou súčasťou riadenia je podpora a kontrola procesov zo strany vedenia a zodpovedných osôb, ktorá sa prejaví na vyvodzovaní dôsledkov a opatrení na základe správ o priebehu incidentu.
3.1 Záver
Vyhodnotenie súboru otázok naznačuje, že ide o nepravidelnú a malú podporu riadenia incidentov zo strany vedenia, alebo zodpovedných osôb, málo formálne definovaných procesov v oblasti riadenia incidentov, pričom riadenie incidentov je skôr náhodnou záležitosťou, ako samostatnou agendou.
4. Riadenie zmien IS
Pri zásahoch do informačných systémov hrozí riziko narušenia dôvernosti, integrity a dostupnosti údajov, ktoré sa v zmenenej aplikácii už spracúvajú. Škodlivý zásah môže byť spôsobený zo strany autora zmien, používateľa, zámerne alebo nezámerne. Preto je dôležité oddeliť proces samotného vývoja zmeny od produkčného prostredia, čím sa zníži pravdepodobnosť poškodenia údajov v prípade nepriaznivého priebehu vytvárania zmeny. V ideálnom prípade je každá zmena pred uvedením do prevádzky testovaná v testovacom prostredí na personalizovaných alebo testovacích údajoch, aby sa zabránilo chybnej implementácii. Formálne zdokumentovanie celého procesu zmeny informačných systémoch zaisťuje možnosť spätnej rekonštrukcie a odhalenie chýb v tomto procese a vyvodenia zodpovedností.
Ako ukazuje graf, najväčší vplyv z na formuláciu bezpečnostných požiadaviek majú jednoznačne zákon č. 428/2002 Z. z. o ochrane osobných údajov, výnos MDPT SR č. 1706/M-2006 o štandardoch pre ISVS a jeho novela výnos MF SR č. MF/013261/2008 – 132, ktorý je účinný od 1. novembra 2008.

4.1 Záver
Približne 50% projektov IS má zadefinované zmeny v bezpečnostných požiadavkách, čo je vzhľadom  na možnú agendu inštitúcií verejnej správy nevyhovujúci stav. Najčastejšie požiadavky na projekty vychádzajú zo zákona č. 428/2002 Z. z. o ochrane osobných údajov v znení neskorších predpisov, výnosu MDPT SR č. 1706/M-2006 o štandardoch pre ISVS a z jeho novely - výnos č. MF/013261/2008-132. Postupy a požiadavky na testovanie sú nedostatočne rozvinuté a proces testovania je ponechaný väčšinou na dodávateľa, ktorý zmeny vykonáva. Vo väčšine prípadov má externá strana, ktorá implementuje a testuje zmenu, prístup ku kompletným produkčným údajom alebo ich kópiám, čo je nežiaduci stav. Kontrola kvality dodanej zmeny nie je dostatočná, o čom svedčia najmä počty zaznamenaných chýb.
5. Vzdelávanie v oblasti IB
Vzdelávanie je aktivita, ktorá má zabezpečiť, aby sa používatelia správali „bezpečne“. Poučenie o pravidlách používania informačných systémov naučí používateľov bezpečnému správaniu, ktoré pôsobí ako prevencia pred vznikom incidentu a správnym postupom v prípade incidentu, t.j. jeho rozpoznanie a reakciu naň. Efektívne vzdelávanie zamestnancov by malo byť adresné, to znamená, že musí zohľadňovať prostredie v akom pracuje a jeho schopnosti. Napriek očakávaniam sa po zavedení efektívnejších tréningových metód počet zaznamenaných incidentov neznižuje, ale naopak zvyšuje. To súvisí práve so zvýšením prahu rozoznateľnosti a reakcie na incident, čo je rozhodne pozitívny a žiaduci jav.
5.1 Záver
Vzhľadom na citlivú agendu verejných inštitúcií je vykonávaných málo priebežných a špecializovaných školení, pričom v niektorých inštitúciách úplne absentujú.
6. Súlad s legislatívou
Zaisťovanie súladu s legislatívnymi požiadavkami chráni inštitúcie pred postihmi vyplývajúcimi zo všeobecne záväzných právnych predpisov a tiež pred stratou dôveryhodnosti inštitúcie u partnerov, čo sú v prípade štátnej inštitúcie jednak občania SR, ďalej partnerské tretie strany a medzinárodné inštitúcie. Z výsledkov prieskumu je možné posúdiť prístup inštitúcií k niektorým zákonným požiadavkám. Súčasťou bezpečnostného projektu v zmysle zákona č. 428/2002 Z. z. o ochrane osobných údajov v znení neskorších predpisov je aj analýza rizík.

6.1 Záver
Stav a aktuálnosť smerníc pre ochranu osobných údajov sú uspokojivé, ale audit informačných systémov nie je využívaným prostriedkom zistenia stavu IB v inštitúciách.
7. Celkové zhrnutie výsledkov
Z vyhodnotenia otázok respondentov z monitoringu je možné konštatovať, že:
-	v procesoch riadenia IB je málo zaužívaná pravidelná kontrolná činnosť zo strany vedenia  organizácií a zodpovedných riadiacich pracovníkov; títo sa zapájajú do činnosti obvykle iba v prípade potreby (už vzniknutých problémov),
-	v inštitúciách je málo formalizovaných procesov IB,
-	IB nie je samostatnou agendou a nie je jej venovaná  primeraná pozornosť (výnimkou je problematika ochrany osobných údajov),
-	dodávateľské subjekty majú často pri realizácii projektov a ich prevádzke prístup k osobným a citlivým údajom, čo je výrazne nežiaduci jav (možné zneužitie týchto informácií),
-	procesy riadenia incidentov nie sú dostatočne rozvinuté, chýbajú metodiky a školenia,
-	zamestnanci zabezpečujúci IT procesy v niektorých inštitúciách nemajú dostatočné povedomie o IB (v niektorých prípadoch činnosti IT zabezpečujú odborne nekvalifikovaní zamestnanci),
-	požiadavky na informačnú bezpečnosť nie sú štandardnou súčasťou IT projektov,
-	do procesov IB sú zainteresovaní najmä zamestnanci IT oddelení a externé subjekty; kvalita priebehu procesov je otázkou metodických pokynov a požiadaviek na kvalitu dodávaných služieb.