VŠE PRAHA – Fakulta Informatiky a Statistiky
Ak.r. 2005/2006
Diplomová práce: Petr Vepřek
AUDIT OCHRANY A ZABEZPEČENÍ DATOVÉ ZÁKLADNY
Oponent: Ing. Novotný Petr, MBA, jednatel a ředitel DESIGN CIS, s.r.o.
Fialova 12, 787 01 Šumperk /novotny@design.cz; +420 602 503 543/
Poradenská a implementační společnosti DESIGN CIS, s.r.o. se zabývá dodávkou služeb, produktů a řešení v oblasti komunikačních a informačních technologií, a dále poskytováním poradenských a vzdělávacích služeb pro sektor MSP. Společnost je obchodním a servisním partnerem telekomunikační společnosti GTS Novera, dále renomovaných distributorů a ICT společností Abel Computers, AT Computers, Gestetner, IBM, Microsoft, Oracle a Xerox. Při své činnosti se opírá o spolupráci a partnerství s řadou významných českých i zahraničních společností a institucí.
Dle zadání a obsahu si diplomant v rámci své práce klade níže uvedené cíle:
definovat současné přístupy k zabezpečení dat a informací
specifikovat nástroje a procesy eliminace bezpečnostní strategie firmy navrhnout metodiku pro tvorbu bezpečnostní strategie firmy
aplikovat navrženou strategii do reálného ekonomického subjektu
Koncepčně je diplomová práce logicky uspořádána do šesti klíčových kapitol. Sled kapitol a dílčí závěry odpovídají analyzované problematice a svým rozsahem svědčí o velmi solidní schopnosti sběru, zpracování a třídění informací k dané problematice. Za zvlášť
hodnotné lze označit dílčí závěry autora u jednotlivých poznatků kde kromě získaných a zpracovaných informací nabízí často vlastní pohled a názor na zkoumanou problematiku.
Pro lepší orientaci čitatele bych doporučoval předřadit úvodní kapitolu „Manažerské shrnutí“, jejíž úkolem je rámcově popsat celkovou koncepci práce a jednotlivé kapitoly tak, aby hned úvodem vyplynul logický sled a návaznost kapitol.
Níže je stručné hodnocení jednotlivých kapitol:
2/ Význam a bezpečnost dat a informací
V této kapitole jde o stručný úvod do problematiky, kde datová a informační základna je chápána jako existenční záležitost firemního prostředí. V podkapitole 2.1. je v logicky správném směru osvětlena a analyzována problematika dat, informací a znalostí, jež jsou klíčové pro veškeré řídící a rozhodovací procesy a rozvíjí tzv. knowledge management firmy.
Podkapitola 2.2. definuje a vymezuje datovou základnu podniku jako klíčový informační a znalostní zdroj. Autor správně zdůrazňuje význam kvalitní datové základny, umožňující
efektivně a spolehlivě naplňovat firemní poslání a cíle. Následující podkapitola 2.3. se zabývá nutností a nezbytností ochrany firemní datové základny a zdůrazňuje statisticky nikterak příznivou současnou úroveň zabezpečení firemní datové základny v českých podnicích a dále klíčové překážky ke zlepšení situace. V závěru první kapitoly shrnuje autor klíčové aspekty vedoucí k rozvoji povědomí o nezbytnosti ochrany a zabezpečení firemní datové základny. Lze se ztotožnit s tvrzením, že hlavním aspektem je chápání významu dat,
informací a znalostí jako plnohodnotné aktivum pro naplňování podnikatelských vizí a poslání napříč celou firmou.
VŠE PRAHA – Fakulta Informatiky a Statistiky
Ak.r. 2005/2006
3/ Analýza hrozeb a rizik firemní datové základny
V této části jsou podrobně zkoumány a analyzovány hrozby a rizika možné ztráty, zneužití nebo znehodnocení firemní datové základny. V úvodních podkapitolách jsou vymezeny základní informace a pojmy vymezující analýzu rizik v celém komplexu bezpečnostní politiky a strategie firmy a autor správně zdůrazňuje význam jednoznačné definice cílů a vytvoření následného podrobného plánu naplnění zmiňované bezpečnostní strategie datové základny firmy. V podkapitole 3.4 je schématicky definována analýza rizik jako proces s jasně definovanými postupnými realizačními kroky a výstupy. Za velmi
hodnotné lze považovat následné strukturované informace, identifikující jednotlivé hrozby a možné příčiny zranitelnosti. V následující podkapitole 3.5 jsou popsány a strukturovaně
hodnoceny možné strategie analýzy rizik ve firemní praxi, kde autor doporučuje s odvoláním
se na názory expertů spolupráci s profesionálními externími subjekty při analýzách rizik a bezpečnostních strategií firem. S tímto názorem se lze jednoznačně ztotožnit.
4/ Nástroje a procesy na analýzu úrovně zabezpečení dat a informací
V části 4.1. této kapitoly jsou podrobně rozebírány nástroje a metody získávání dat a informací. Volba správné metody sběru dat a získávání informací je klíčová pro jejich následnou analýzu a vyhodnocení. Je pozitivní, že autor diplomové práce nejen příslušné metody popsal, ale také vyhodnotil jejich výhody a nevýhody. Čitatel si tak může učinit úsudek o vhodnosti uplatnění příslušné metody sběru a získávání dat v daných podmínkách.
V podkapitole 4.2. jsou rámcově popsány možné druhy prováděných bezpečnostních analýz a situace jejich použití. V závěru kapitoly je podrobněji popsána automatizovaná podpora analýzy rizik s využitím podpůrných SW nástrojů. Autor se zaměřuje na jeden z velmi často používaných SW – CRAMM. Podpůrné SW nástroje k provedení analýzy rizik lze považovat s ohledem na složitost a rozsah problematiky za nezbytné a jsou dle mého názoru logickým závěrem – vyústěním této kapitoly.
5/ Nástroje a systémy eliminace ztrát, poškození a zneužití informací
Kapitola se zabývá implementací nástrojů pro eliminaci ztrát, poškození a zneužití informací a autor správně uvádí, že klíčovým cílem je vytvořit takový systém bezpečnosti datové základny, který podniku garantuje požadovanou (nikoliv maximální) úroveň ochrany a zabezpečení datové základny. Úvodní podkapitoly specifikují ochranná opatření na různých úrovních bezpečnosti a okamžiku jejich uplatnění. Lze se jednoznačně ztotožnit se závěrem, že příslušná ochranná a bezpečnostní opatření musí být stanovena s ohledem na velikost organizace, jejich dostupných zdrojích, charakteristice prostředí a významu datové základny.
V následující podkapitole je podrobněji rozebrána koncepce výběru ochranných opatření vztažených k zabezpečení firemní základny. Jsou zde uvedeny některé přístupy a zásady jejich výběru. Opět se lze ztotožnit se závěrem autora o významu ekonomického aspektu při návrhu bezpečnostní strategie – implementaci ochranných opatření je nezbytné navrhovat s ohledem na velikost možné škody způsobené ztrátou, zneužitím či zcizením dat.
VŠE PRAHA – Fakulta Informatiky a Statistiky
Ak.r. 2005/2006
6/ Nástroje a procesy zálohování, archivace a obnovy datové základny
V této z hlediska rozsahu a obsahu významné kapitole jsou detailněji rozebrány nástroje a procesy ukládání, zálohování a archivace dat. S ohledem na nejednoznačnost pojmů v odborné sféře je správné jejich jednoznačné vymezení v úvodní části. V podkapitole 6.2. jsou uvedeny alternativy ukládání dat s důrazem na současné trendy, dostupnost jednotlivých architektur, jejich paměťové vytíženosti a dále zařízení pro ukládání dat. Přehled a výčet těchto zařízení lze považovat za solidní. V podkapitole 6.3. je hovořeno o systémech a strategiích zálohovacího procesu. Autor správně upřednostňuje maximální úroveň automatizace zálohování ve firemní praxi, neboť statistiky jednoznačně ukazují na selhání lidského faktoru jako výrazně největšího aspektu rizika chybného zálohování. V závěru této podkapitoly je opět zhodnocena situace v českých firmách z hlediska způsobů zálohování.
V závěrečných podkapitolách jsou rozebrány systémy archivace dat, základní požadavky na systémy archivace dat a obnova datové základny podniku. Autor správně chápe význam této
problematiky, neboť konečným cílem není mít zabezpečen systém zálohování a archivace dat, ale de-facto 100% systém zabezpečení obnovy a dostupnosti zálohovaných
dat v případě řešení havárií, kolizí či ztrátě primárních dat. Logický závěr tudíž je, že kromě kvalitních nástrojů a architektur těchto procesů je nezbytné mít propracovaný a ověřený proces případné obnovy datové základny tak, aby následné ztráty byly co nejmenší a doba odstávky ICT systému co nejkratší. Závěrečné kapitoly pojednávající o strategii a plánech obnovy funkčnosti datové základny jsou proto namístě.
7/ Audit ochrany a zabezpečení datové základny
Závěrečná kapitola je vyústěním a praktickým závěrem diplomové práce, neboť specifikuje problematiku, rozsah a jednotlivé kroky vedoucí k realizaci bezpečnostního auditu firmy či instituce. V úvodní podkapitole je vymezen pojem auditu s ohledem na legislativu, je specifikován účel a význam a dále klíčové požadavky, kladené na audit. V závěru je uveden strukturovaný přehled možných druhů ICT auditů z různorodých hodnotících hledisek.
V podkapitole 7.2. je rámcově rozebraná metodika a postup zpracování auditu ochrany a zabezpečení datové základny podniku. Správně je vymezen účel a organizace auditu, klíčové výstupy a přínosy pro klienta a strukturovaný proces zpracování komplexního auditu ochrany a zabezpečení datové základny. Zde bych uvítal detailnější rozbor jednotlivých fází a činností, na druhé straně je pochopitelné, že s ohledem na rozsah problematiky, lze tento požadavek chápat již za hranicí rozsahu této diplomové práce. V poslední podkapitole 7.3. je stručně zmíněn proces realizace bezpečnostního auditu u nejmenované společnosti. Lze se ztotožnit s tvrzením autora, že jde o choulostivá data, která nelze bez svolení příslušné instituce detailněji zpřístupnit. K rozsahu této závěrečné kapitoly přikládám stejnou poznámku o detailnějším rozboru jako u předchozí kapitoly.
VŠE PRAHA – Fakulta Informatiky a Statistiky
Ak.r. 2005/2006
Celkové hodnocení práce:
Téma diplomové práce je velmi obsáhlé a náročné na teoretické znalosti a praktické zkušenosti a dle mého názoru je diplomová práce pana Petra Vepřka velmi solidně zpracovaná co do rozsahu problematiky, kvality informací a následné využitelnosti v praxi.
Dá se tudíž předpokládat, že diplomant velmi dobře zvládl problematiku po teoretické stránce a dokáže získané znalosti s využitím odpovídajících technik a zkušeností aplikovat do praxe.
Co se týče praktického využití práce, obsahuje tato na jedné straně rozsáhlé informace o dané problematice, na druhé straně velmi solidně a strukturovaně členěné tak, aby čitatel získal povědomí o daném tématu.
Diplomová práce naplnila stanovené cíle a očekávání. V teoretické rovině podchytila veškeré klíčové aspekty problematiky a může být dobrým návodem respektive pomůckou pro profesní pracovníky zabývající se bezpečnostní strategií firem a institucí. Závěrečná kapitola by si dle mého názoru zasloužila detailnější rozpracování. Na druhé straně, naplnění tohoto požadavku, by bylo tématem a rozsahem na srovnatelnou práci.
Z výše uvedeného lze ocenit závěrečnou poznámku o snaze diplomanta zabývat se dále problematikou v profesním životě. Detailnější rozpracování kapitoly zabývající se vlastní
metodologií a metodikou bezpečnostního auditu má z praktického hlediska velký význam a uplatnitelnost u mnoha firem a institucí, neboť bezpečnost dat a informací dynamicky
narůstá na významu a nástroje pro analýzu a implementaci bezpečnostních strategií u většiny firem chybí.
V rámci obhajoby práce bych doporučil, aby diplomant podrobněji ozřejmil postup a zobecnil dosažené výsledky a navrhovaná doporučení plynoucí z konkrétně provedeného auditu u zmiňované instituce v podkapitole 7.3.
Stupeň hodnocení: 1 – výborně
V Šumperku 15.05. 2006
Novotný Petr
