Řízení rizik v bezpečnosti IT služeb

Risk management in IT service security

Dissertation

Disertační práce se zabývá efektivním řízením rizik informační bezpečnosti v poskytování služeb IT. Práce vychází z rozšířených praktik managementu služeb IT a informační bez-pečnosti, tzv. \textit{best practices}, zakotvených v mezinárodních standardech ISO/IEC 20000 a ISO/IEC 27000. Řešení vychází z řízení úrovně služeb, nad kterým staví řízení bezpečnosti tak, aby byly efektivně eliminovány bezpečnostní incidenty poskytované IT služby. Toho je dosaženo řízením rizik informační bezpečnosti, kde se obě strany kontraktu (případně více stran) podílejí na eliminaci zranitelností, a to na základě svých preferencí, potřeb byznysu a smluvně uzavřených dohod o bezpečnosti. Práce propojuje obě výše zmíněné oblasti řízení IT s cílem uspokojení všech stran kontaktu. Praktické výsledky a přínosy práce jsou ukázány na případových studiích, které simulují praktické prostředí a umožňují čtenáři, nejčastěji byznys vlastníkům IT služby, procesním inženýrům a rizikovým analytikům, přenést poznatky do praxe.

In the thesis, we develop a novel approach for optimized risk management in IT service information security. A new method is based on widely used internation standards, best practices, for IT service management (in ISO/IEC 20000) and Information security management system (in ISO/IEC 27000). Firstly, IT service information serurity approach is developed based on Service level management extension. Secondly, a new risk management approach, where multidomain environment between parties is considered, is developed with a goal of all parties satisfaction. Optimalization in risk management is achieved by eva-luation of risk treatment controls from relevancy and maturity aspects on both sides of contract. Finally, results are presented on real case studies to enable risk analysts, IT service business owners and process engineers to transfer new methods into real business.

Řízení služeb IT, Informační bezpečnost, Řízení rizik, Optimalizace řízení rizik, Poskytovatel služby IT, Konzument služby IT.

IT service management, Information security, Risk management, Optimized risk management, IT service provider, IT service consumer.

SVOJANOVSKÝ, P.

22.12.2010

Ústav informačních systémů FIT VUT v Brně

Brno

112

https://www.fit.vut.cz/research/publication/9440/

http://hdl.handle.net/

svojanovsky_disertace