Zarządzanie bezpieczeństwem informacji

103000 - Wydział Elektroniki i Technik Informacyjnych

ZBI

1

• Celem przedmiotu jest zaznajomienie słuchaczy ze współczesnymi metodami zarządzania bezpieczeństwem informacji, metodami analizy ryzyka, systemami zaufania i reputacji oraz zasadami budowy polityki bezpieczeństwa organizacji.

Celem przedmiotu jest zaznajomienie słuchaczy ze współczesnymi metodami zarządzania bezpieczeństwem informacji, metodami analizy ryzyka, systemami zaufania i reputacji oraz podstawami formalnymi i praktyką przygotowania podstawowych dokumentów dotyczących zarządzania bezpieczeństwem informacji, takich jak: sprawozdanie z audytu bezpieczeństwa, polityka bezpieczeństwa organizacji, plan ciągłości działania.

Tematy poszczególnych wykładów:

1. Wstęp. Współczesne podejście do bezpieczeństwa: Inżynieria bezpieczeństwa.
2. Twarde i miękkie metody ochrony. Bezpieczeństwo kontekstowe. Potrzeba zarządzania bezpieczeństwem informacji.
3. Modele dostępu (DAC, MAC, RBAC, ABAC) i reprezentacje uprawnień (macierze dostępu, capabilities, ACLs). Zarządzanie dostępem do zasobów.
4. Kryteria oceny systemów bezpieczeństwa (Common Criteria, TCSEC, TNI, ITSEC, SEI-CMMI, SSE-CMM). Narzędzia wspomagające ocenę.
5. Matematyczne podstawy opisu zaufania, reputacji i ryzyka.
6. Zaufanie i reputacja, modele i zastosowania.
7. Modele ryzyka. Kolokwium 1.
8. Zarządzanie ryzykiem, metody postępowania z ryzykiem: wykrywające, odstraszające, prewencyjne, korekcyjne, odtwarzające, odszkodowawcze.
9. Zarządzanie bezpieczeństwem oparte na analizie ryzyka.
10. Incydenty, dokumentowanie, zarządzanie kryzysem.
11. Audyt, certyfikacja: standardy, procedury i narzędzia wspomagające.
12. Polityka bezpieczeństwa.
13. Zarządzenie bezpieczeństwem w chmurze i sieciach mobilnych, SLA.
14. Studium przypadku: odniesienie zagadnień omawianych w ramach przedmiotu do przykładowych organizacji.
15. Podsumowanie. Czynnik ludzki w zarządzaniu bezpieczeństwem. Kolokwium 2.

Zakres projektu:

• Zadanie 1. Analiza ryzyka. Studium przypadku: nadzorowana realizacja w grupach studenckich zadań związanych z analizą ryzyka w systemach zarządzania bezpieczeństwem. Wizualizacja i dyskusja wyników dla różnych modeli ryzyka. Prezentacja wyników i dyskusja.
• Zadanie 2. Audyt. Studium przypadku: realizacja w grupach studenckich kolejnych kroków audytu bezpieczeństwa informatycznego organizacji. Porównanie procedur dla kilku wybranych organizacji.
• Zadanie 3. Plan ciągłości działania. Studium przypadku: realizacja w grupach studenckich kolejnych kroków prowadzących do przygotowania planu ciągłości działania organizacji. Porównanie procedur dla kilku wybranych organizacji.
• Zadanie 4. Polityka bezpieczeństwa. Studium przypadku: realizacja w grupach studenckich kolejnych kroków prowadzących do przygotowania polityki bezpieczeństwa informacyjnego organizacji. Porównanie procedur dla kilku wybranych organizacji.

Uwagi realizacyjne:

Projekt jest realizowany przez studentów w grupach dwuosobowych w trakcie całego semestru.

Zaliczenie następuje na podstawie:

• raportów z realizacji czterech zadań projektowych,
• publicznej prezentacji przygotowanych dokumentów (zadania 2, 3 i 4).

Literatura i oprogramowanie:

1. Slajdy do wykładu
2. Normy ISO i materiały dotyczące normalizacji
3. Ustawy i dokumenty wykonawcze
4. Książki:
   • Adam Gałach, Zarządzanie Bezpieczeństwem Informacji w Sektorze Publicznym, Wydawnictwo C.H. Beck, 2009
   • Tony Campbell, Practical Information Security Management, A Complete Guide to Planning and Implementation, Springer 2016, DOI: 10.1007/978-1-4842-1685-9
   • literatura dodatkowa do zagadnień szczegółowych przedstawiana studentom na każdym wykładzie (aktualizowana stosownie do stanu sztuki).

103600 - Instytut Telekomunikacji

103600 - Instytut Telekomunikacji