Stjórnun upplýsingaöryggis - námskeið hjá Staðlaráði Íslands

Dagana 7. og 8. febrúar nk. verður haldið hjá Staðlaráði Íslands námskeið þar sem kynntir verða alþjóðastaðlarnir ÍST ISO/IEC 17799 Starfsvenjur fyrir stjórnun upplýsingaöryggis og ÍST ISO/IEC 27001 Stjórnkerfi upplýsingaöryggis - Kröfur.  Námskeiðið er haldið að Laugavegi 178 og er hægt að skrá sig með því að smella hér. Fyrirlesari er Marinó G. Njálsson, sérfræðingur í stjórnun upplýsingaöryggis.

Mjög mörg fyrirtæki eru að íhuga innleiðingu þessara staðla eða standa frammi fyrir kröfum aðila á borð við Persónuvernd, Fjármálaeftirlit og Póst- og fjarskiptastofnunar um innleiðingu stjórnkerfa sem auka eiga öryggi upplýsinga.  Nýlega hafa greiðslukortafyrirtækin bæst í þennan hóp, en þeir sem taka á móti greiðslukortum þurfa að uppfylla kröfur staðalsins PCI: Data Security Standard og er m.a. hægt að nota aðferðafræði ISO 27001 og ISO 17799 við það.  Þó svo að fyrirtæki og stofnanir hafi ekki kröfur framangreindaraðila til að reka á eftir sér, þá er full ástæða fyrir alla sem safna, vinna með og varðveita upplýsingar að kynna sér innihald þessara staðla. 

Tekið skal fram að upplýsingaöryggi og upplýsingatækniöryggi er ekki eitt og það sama.  Upplýsingaöryggi er mun víðfeðmara hugtak og nær til upplýsinga á hvaða formi sem er, utan upplýsingakerfa sem innan.  Námskeiðið, sem minnst er á að ofan, fjallar því nær ekkert um tækni og tæknilegar lausnir heldur fyrst og fremst um aðferðafræði og helling af heilbrigðri skynsemi.

Hér fyrir neðan er stutt kynning á stöðlunum:

ÞAÐ er oft sagt, að næst á eftir starfsfólki séu upplýsingar dýrmætasta eign hvers fyrirtækis eða stofnunar. Þau treysta mjög mikið á upplýsingar á hvaða formi sem þær eru. Skiptir þá ekki máli hvort upplýsingar eru á rafrænu formi, skráðar á pappír eða annan áþreifanlegan hátt eða búa í þekkingu fólks. Upplýsingakerfi veita, t.d., stjórnendum mikilvægar upplýsingar um reksturinn, þar sem þau varðveita bókhaldsgögn, sölutölur, rannsóknaniðurstöður, markaðsáætlanir og önnur trúnaðargögn, sem notuð eru við úrvinnslu, stefnumótun, markaðssetningu og almenna ákvörðunartöku.

Mikilvægi upplýsingakerfa fyrirtækja er það mikið, að kerfisbilanir hafa áhrif á starfsgetu fyrirtækjanna. Að missa út tölvukerfið er eitt alvarlegasta áfall sem getur hent. Rannsóknir í Bandaríkjunum sýna að æ fleiri fyrirtæki komast í þrot og hætta rekstri hafi þau orðið fyrir alvarlegu tjóni í tölvumiðstöðvum og ekki haft trygga neyðaráætlun. Á 8. áratugnum var þetta hlutskipti um 75% fyrirtækja, 10 árum síðar var þetta hlutfall komið í 82% og hefur síðan hækkað í 90 af hundraði. Því má segja að öryggi upplýsingakerfa sé orðinn einn mikilvægasti þátturinn í rekstraröryggi fyrirtækja. En öryggi upplýsinga snýst einnig um að koma í veg fyrir að mikilvæg pappírsgögn glatist í bruna og að mikilvæg sérþekking hætti að vera aðgengileg við það að starfsmaður hætti störfum eða lendi í slysi.

Allar upplýsingar, sem fela í sér verðmæti, þarf að vernda fyrir þeim ógnunum sem að þeim steðjar, hvort heldur þær stafa af umhverfinu (t.d. náttúruhamfarir), tækninni (t.d. rafmagnsbilun) eða mannfólkinu (t.d. starfsmönnum). Verndin felst stundum í því að losna við ógnunina, en oftast er það ekki hægt. Þá er gripið til þess að styrkja varnir upplýsingaeignanna til að draga úr áhættunni, færa áhættuna til (t.d. með því að kaupa tryggingar) eða maður einfaldlega viðurkennir að ekki borgar sig að verjast tiltekinni ógnun.

Staðlar um upplýsingaöryggi

Upplýsingavernd hefur verið umhugsunarefni fjölmargra aðila. Þannig var á 8. áratugnum unnin mikil vinna í Bandaríkjunum, en í lok þess níunda höfðu evrópsk samtök tölvunotenda frumkvæði að því að taka saman skjal með svo kölluðum bestu starfsreglum um stjórnun upplýsingaöryggis. Þetta skjal varð síðar að breska staðlinum BS 7799 og síðar að tveimur alþjóðlegum stöðlum ISO/IEC 27001 og ISO/IEC 17799 (sem mun breytast í 27002 á næstu misserum).

Staðlarnir urðu fljótlega mjög vinsæll, enda byggðir á áratuga reynslu þeirra sem hafa komið að öryggi upplýsinga og upplýsingakerfa. Er svo komið að víða er gerð krafa um að til staðar sé vottað stjórnkerfi samkvæmt þessum stöðlum til þess að tryggt sé að öryggi viðkvæmra fjármála- eða persónuupplýsinga sé eins og best verður kosið.  Hér á landi hafa Persónuvernd, Fjármálaeftirlit og Póst- og fjarskiptastofnun mælt með að þessir staðlar séu notaðir við uppbyggingu og innleiðingu ráðstafana sem uppfylla kröfur stofnananna til öryggis upplýsinga.

Staðallinn kemur í tveimur hlutum:

• ÍST ISO/IEC 17799:2005 Starfsvenjur fyrir stjórnun upplýsingaöryggis,

• ÍST ISO/IEC 27001:2005 Stjórnkerfi upplýsingaöryggis - Kröfur

ISO 17799 inniheldur leiðbeiningar um þau atriði sem gott er að skoða þegar hugað er að öryggi upplýsinga, en ISO 27001 setur fram leiðbeiningar um uppbyggingu, innleiðingu, rekstur og viðhald stjórnkerfis upplýsingaöryggis.  Sækist fyrirtæki eftir vottun samkvæmt þessum stöðlum, þá nær vottunin í raun til ISO 27001.

Hlutverk staðlanna

Staðlarnir leggja til stjórnunaraðferðir sem fyrirtæki geta notað til að meta og styrkja stöðu öryggismála. Í sumum tilfellum er nauðsynlegt að beita tæknilegum lausnum, en stjórnunarhættir eru ekki síður mikilvægir og oftast skipta þeir meira máli. Nokkur mikilvæg atriði sem leiða til góðrar stöðu öryggismála og eru dekkuð í staðlinum:

• Stjórnunaraðferðir sem leggja áherslu á öryggi
• Vel skilgreind ábyrgðarsvið varðandi öryggisþætti innan fyrirtækis
• Vel skilgreint hlutverk eftirlitsaðila (endurskoðanda) sem nær til upplýsingaöryggis í víðustu merkingu, en ekki eingöngu tæknilegra þátta
• Góður skilningur á því hve nauðsynlegt er að deildir, stjórnendur, tæknifólk, notendur, viðskiptavinir og samstarfsaðilar fái vitneskju um öryggiskröfur og að skipting ábyrgða þarf að koma fram í samningum, starfslýsingu, skriflegum leiðbeiningum og á öðrum formi, sem þörf er á
• Mikilvægi þess að skilja og viðurkenna gildi upplýsinga fyrir rekstur fyrirtækisins
• Mikilvægi öryggisvitundar, þjálfunar og stöðugrar endurskoðunar á öryggismálum sem grundvallarþáttar í starfsemi fyrirtækis

Hagur af stöðlunum

Staðlarnir samanstanda af viðamiklu safni öryggisreglna sem miða að því að auka kröfur til öryggis. Þó svo að ekki sé stefnt að formlegri vottun, er margs konar hagur af því að uppfylla grunnreglur staðlanna og fara eftir leiðsögn í ISO 17799:

• Dregið er úr líkum á tjóni vegna ógnana, svo sem hakkara, þjófnaðar, náttúruhamfara og tæknilegra bilana
• Rekstrarumhverfi verður almennt öruggara
• Staðfesting á að notast er við viðurkenndar öryggisreglur
• Bætt öryggisvitund í öllu fyrirtækinu
• Skilvirkari stjórnun og starfsreglur
• Betri skilningur á því hvar úrbætur á öryggi eru nauðsynlegar
• Betri nýting á fjármunum sem varið er til að bæta öryggi upplýsinga

 

Hagkerfið í niðursveiflu og Seðlabankinn bíður átektar

Það verður bara að viðurkennast að peningamálastjórnun Seðlabankans er ekki að virka.  Meðal þess sem ég lærði í hagfræði í háskóla var að aðhaldsaðgerðir eiga að hefjast áður en uppsveiflan er orðin of mikil og þennsluvekjandi aðgerðir áður en kreppir of mikið að.  Þetta er sú hagfræði sem seðlabankar í Bandaríkjunum og Evrópu fylgja.  Seðlabankinn Íslands er ekki að fylgja þessari hagfræði, svo mikið er víst (nema að hann telji að núverandi ástand sé ekki alvarlegt).  Við höfum undanfarna mánuði verið að ganga í gegnum tímabil með skörpum samdrætti.  Tímabil þar sem háir stýrivextir veikja hagkerfið í staðinn fyrir að örva það.  Seðlabanki Bandaríkjanna brást við húsnæðislánakreppunni með því að lækka stýrivextina fyrirvaralaust.  Hér á landi gerist ekkert og raunar hækkuðu vextir óvænt eftir að bankakreppan svokallaða skall á.  Það á ekki að vera markmið Seðlabankans að dauðrota hagkerfið, þó hann vilji kæla það.  Samkvæmt hagfræðikenningunni sem ég bent á að ofan, þá hefðu stýrivextir átt að byrja að lækka í september nákvæmlega eins og þeir hefðu átt að hækka strax og áhættustuðull vegna fasteignalána var lækkaður hér um árið.  (Lækkun þessa áhættustuðuls, sem kennd er við Basel-II, tvöfaldaði útlánagetu banka til fasteignalána á einni nóttu.)

Segir stýrivaxtalækkun nauðsynlega

Svikapóstur - fjársvik

Ég fékk póst áðan frá hinum mjög svo "nafntogaða" hr. George Garang sem segist vera sonur hr. John heitins Garand, fyrrverandi varaforseta í Súdan.  Eru mér boðið gull og grænir skógar, ef ég aðstoða hann við að nálgast USD 32.000.000 sem eru bundnir inni á einhverjum reikningi.  til að leyfa fólki að glöggva sig betur á þessu læt ég póstinn fljóta með:

 

I am Mr. George Garang the son of Late Mr. John Garang, the former Vice President to the Sudanese government. My late father died of the terrible helicopter crash on 1st August 2005 on his way coming back from Uganda for a peace talk between the two neighboring countries.

You can read more on these websites for clearer understanding:
 
http://www.washingtonpost.com/wp-dyn/content/article/2005/07/31/AR2005073101036.html
 
http://www.english.aljazeera.net/NR/exeres/9120880E-0287-443C-9355-C0076B47F915.htm

At Present I am here in Lome, Republic of Togo due to the political crisis in my country. This situation has led our family in a very bad/difficult situation here now, Which made me to contact you for an assistance in helping me to transfer out some huge amount of money which my father have in his private save in his account in Europe. The amount is (US$32,000,000.). The Government is not aware of this money in our custody now.
 
I would have invited you to Sudan to see things yourself, but the situation here will not be suitable for you to come. Now I needed your assistance to transfer the whole of this money into your Private or company account for investment. I would have operated with this money myself but due to the situation and my father's involvement in the country's political crisis in sudan, I cannot be allowed to use this fund here. Because we are under close monitor here.

Where your assistance could be possible, I will offer you 40% of the total sum (US$32,000,000.) and all your expenses will be taken care of immediately after the transaction. Please, your prompt reply will be highly appreciated to enable us conclude our internal arrangements here.

Thanks as you offer to assist our family.

BEST REGARDS,

Mr. George Garang

Hér er að sjálfsögðu á ferðinni enn ein tilraun til fjársvika.  Þetta er örugglega 10 pósturinn á síðustu 12 mánuðum sem ég fæ.  (Ég hef greinilega komist inn á einhvernlista yfir einstaklinga sem láta glepjast.)  Í þetta sinn er farin ný leið til að gera póstinn trúverðugan. Bætt er inn tenglum á fréttir þar sem minnst er á lát hr. Johns Garangs. 

Þessi póstur er það sem kallað hefur verið 419-svik (eða Nígeríu-svik) eftir þeirri grein í nígerískum hegningarlögum sem notuð er til að lögsækja gerendurna.  Oftast er væntanlegum fórnarlömbum boðnir happdrættisvinningar eða háar fjárhæðir sem sitja á bankareikningi eða í bankahólfi.  Sá sem sendir póstinn segist gjarnan vera fjöldskyldumeðlimur látins ráðamanns (eins og í póstinum að ofan), ríkisbubba eða opinbers starfsmanns í Afríku.  Vissulega eru líka til svikamillur tengdar öðrum löndum, þó þær séu ekki eins algengar.

Þessar svikamyllur eru ekki nýjar og hafa Íslendingar fallið í þær reglulega í gegnum árin.  Fyrir tíma tölvupóstsins var notað fax eða almennur póstur.

Eftir að fyrstu tengslum hefur verið komið á og fórnarlambið fallist á að taka þátt, er næsta skref að oftast það að greiða þarf einhverjum aðila mútur.  Talan er kannski ekki há miðað við "vinninginn", en í því fellast svikin.  Greiðsluna á síðan að framkvæma í gegnum Western Union eða MoneyGram, en ekki er hægt að rekja hver móttakandinn er eftir að greiðslan hefur verið móttekin. 

Stundum er notuð sú aðferð sem viðgengist hefur gagnvart ferðaþjónustuaðilum, að greiða upphæð með tékka sem er hærri en upphæðin sem á að greiða og biðja um að mismunurinn sé greiddur inn á tiltekinn reikning.  Eða að greiða með stolnu eða fölsuðu greiðslukorti, afpanta þjónustuna síðan og biðja um endurgreiðslu inn á einhvern allt annan reikning.

Það er alveg á hreinu að enginn heilvita maður greiðir ókunnugum einstaklingi USD 12,8 milljónir eða einhverja aðra háa upphæð til að geta nálgast fé læst inni á bankareikningi eða í formi happdrættisvinnings.  Ef peningarnir eru raunverulegir, þá er mun betra að fá sérfræðinga í verkið og borga þeim minna.

Hægt er að fá nánari upplýsingar um Nígeríu-svik á fjölmörgum vefsíðum það sem fjallað er um 419 scam eða Nigeria scam.  Vilji einhver fá ráðgjöf um þetta efni, má hafa samband við mig á [e-mail].