Security Management

IT-organisationen har brug for at sikre sig mod hackere, indbrudstyve, brand og andre sikkerhedshændelser. I en IT-serviceorganisationen er sikring af informationers sikkerhed Sikkerhedsafdelingens fornemmeste opgave.

Af Kristoffer Bohmann

Formål

• Forebygge uautoriseret adgang til informationer (grundlæggende sikkerhed).
• Kontrollere at IT-sikkerhedspolitikken efterleves på alle service-områder.

Definitioner

De mest centrale begreber indenfor Security Management:

• Sikkerhed: Forsvare informationens værdi mod kendte risici og undgå ukendte risici når muligt. Værdien afhænger af Confidentiality, Integrity og Availability.
• Confidentiality: Beskytte information mod uautoriserede personer og systemer. Konfidentialitet brydes når en uautoriseret person får adgang til informationer, fx kan tyveri af en mobiltelefon føre til at uautoriserede personer får adgang til den administrerende direktørs e-mails.
• Integrity: Data kan ikke ændres uden godkendelse. Dataintegritet er brudt når en medarbejder ser kollegaers lønoplysninger i økonomisystemets database, og når forretningskritiske data slettes ved en fejl i ERP-systemet.
• Availability: Sikre at informationer er tilgængelige på de aftalte tidspunkter. Tilgængeligheds-kriteriet er brudt, når strømmen til serverrummet svigter og SLA-aftalen har lovet at serverne kører.

Processer

Vigtige processer og aktiviteter indenfor Security Management:

• Formulere IT-sikkerhedspolitik.
• Implementere IT-sikkerhedspolitik.
• Kontrollere overholdelse af IT-sikkerhedspolitikken.
• Analysere rapporterede sikkerhedshændelser (sikkerheds-incidents).
• ... I arbejdet med IT-sikkerhed kan der være god hjælp at hente i de to IT-sikkerhedsstandarder, ISO-17799 og DS-484.

Udfordringer

• Sikre at nødvendige informationer er tilgængelige for autoriserede personer og services.
• Sikre at sikkerheds-incidents ikke er tilgængelige i det normale service/supportsystem (hvis relevant).
• Sikkerhedskrav skrives ind i SLA-aftaler.
• Definere sikkerhedsansvar for hostede kundedata (hvis eksterne kunder).

KPIer

Eksempler på Key Performance Indicators for Security Management:

• Antal sikkerheds-incidents i denne måned.
• Antal afsluttede/udestående sikkerheds-kontroller.
• Antal identificerede risici.
• Antal software-releases

Roller

Vigtige roller for Security Management-processen:

• Sikkerhedsleder
• SLA Manager
• Service Desk
• Kunde

ITIL® is a registered trade mark of the Cabinet Office

Næste: Næste side: CMDB »