Katalog aktiv a riziková analýza
2017
Náš klient
- Fakultní nemocnice Motol – největší zdravotnické zařízení v ČR
- 6 000 zaměstnanců, téměř 2 500 lůžek
- ambulantně ošetří více jak jeden milion pacientů ročně
Potřeba klienta
- Vyhovění zákonu o kybernetické bezpečnosti
- Ucelený katalog IT aktiv
- Znalost datových aktiv v závislosti na uskupení informačních systémů
- Základní riziková analýza
Jak analýza proběhla
Na první schůzce jsme představili způsob, jakým bychom chtěli doplňovat jednotlivá aktiva. Dle dohody nám klient zaslal seznamy aplikačních aktiv a bezpečnostní politiku včetně příloh, směrnice v rámci IT a základní dokumentaci aplikací. To dalo základ seznamu aktiv. Dále jsme s klientem procházeli další zdroje jako byl helpdesk klienta, dohledový systém, zálohování, virtuální stroje. Infrastrukturální prvky jsme agregovali do stejného typu tak, aby aktiv byl rozumný počet. I tak v této fázi vzniklo skoro 80 aktiv, a to v seznamu nebyly obsaženy datová aktiva.
V další fázi jsme s garanty kategorizovali aktiva a u aplikací jsme identifikovali v nich obsažená data. Po této části jsme měli dohromady více jak 130 aktiv.
Začalo hodnocení aktiv na důvěrnost, dostupnost a integritu. Škála pro hodnocení byla použita se 4 hodnotami (nízká, střední, vysoká, kritická).
V rámci rizikové analýzy jsme připravili seznam rizik. Následně jsme hodnotili na workshopu zranitelnosti jednotlivých aktiv vůči dané hrozbě. Samozřejmě jsme pro toto hodnocení potřebovali znát řadu aspektů z hlediska bezpečnosti, jako jsou např. kde je systém provozován, architektura systému, komunikační protokoly, fyzické zabezpečení, antivirová kontrola a další. Hodnocení probíhalo společně na workshopu s klientem.
Realizace celé akce probíhala asi 3 měsíce a z toho více jak polovinu zabrala identifikace aktiv.
„Velmi mě potěšil přístup konzultantů z Blue Partners, kteří jasně načrtli průběh celé akce. Hodnocení rizik jsme prováděli nejdříve odděleně abychom se neovlivňovali. Následně jsme hodnotili nahlas a pokud jsme se rozcházeli, diskutovali jsme o důvodech. Bylo zajímavé, jak se na některé věci dá nahlížet. Všechny účastníky hodnotícího workshopu to obohatilo o jiné úhly pohledu na věc. To považuji za nejvíce přínosné.“
Ing. Martin Voříšek, MBA, vedoucí IT ve Fakultní nemocnici v Motole
Náročnost pro klienta
- Deset hodin na základní identifikaci služeb
- Deset hodin na základní datový katalog
- Jednotky hodin na aplikační specialisty pro hodnocení zranitelnosti
- Deset hodin na rizikovou analýzu
Klíčové přínosy očima klienta
- Vytvoření katalogu IT aktiv jako základního stavebního kamene kybernetické bezpečnosti
- Vytvoření základního datového katalogu nemocnice
Ukazatele projektu
- Celkem 140 IT „nemocničních“ aktiv v dělení na
- datová aktiva
- aktiva ve formě služby
- infrastrukturní a technologické celky
- zdravotechniky
- zaměstnance
- 24 aktiv na kritické (nejvyšší) úrovni
Výstupy
- Seznam aktiv včetně hodnocení
- Datový katalog a přiřazení aktivům
- Potenciální hrozby včetně druhu a typu aktiva na které působí
- Základní metodika a stupnice hodnocení
- Riziková analýza
