Wielowarstwowa ochrona informacji

W trakcie ubiegłorocznej konferencji "Activity 2009" w Kazimierzu nad Wisłą organizowanej przez prof. Elżbietę Skrzypek z UMCS przedstawiałem referat dotyczący wielowarstwowej ochrony informacji.

Teorie wojskowości od dawien dawna wykorzystują koncepcję wielowarstwowej obrony (ang. defence in depth). Jest ona wykorzystywana do określenia strategii obrony, która tworzy elastyczny i powiązany system mający na celu znaczne opóźnienie ataku i zadanie atakującemu jak największych strat.

Teorie wzięte wprost ze strategii dowodzenia można również stosować podczas budowania systemów zarządzania bezpieczeństwem informacji. W Takich sytuacjach zaproponowałem utworzenie 4 warstw obrony. Pierwsza warstwa ochrony powinna zajmować się kontrolą dostępu do informacji wyłącznie dla upoważnionych pracowników. Administratorzy wykonywaliby takie czynności jak przyznawanie praw dostępu, monitorowanie dostępu do informacji oraz wdrażanie i aktualizowanie technicznych zabezpieczeń. Ich praca byłaby nadzorowana przez drugą linię zabezpieczeń, czyli właścicieli biznesowych kontrolujących poprawność przyznanych praw dostępu oraz specjalistów bezpieczeństwa przeprowadzających bieżącą weryfikację bezpieczeństwa, dokonujących analiz mających na celu zapewnienie, że informacje są chronione w sposób właściwy. Najwyższą linię obrony stanowiłby audyt potwierdzający skuteczność niższych warstw ochrony informacji.

Cały referat został wydany przez UMCS: Syta J., Tkaczyk S., Zastosowanie podejścia wielowarstwowej ochrony podczas zarządzania bezpieczeństwem informacji. Praca zbiorowa Skrzypek E. [red.], Zakład Ekonomiki Jakości i Zarządzania Wiedzą, Wydział Ekonomiczny, Uniwersytet Marii Skłodowskiej-Curie, Lublin 2009, str 453-461