Prezentacja z konferencji kierowanych dla Banków Spółdzielczych

2. R1

3. R2

4. R3

5. R4
ZASADY WSPÓŁPRACY ZAKRESY ODPOWIEDZIALNOŚCI
OB
IT
ITS
4.1. Tryb określony + sformalizowany
OB
 …..................
 …..................
 …................
IT
 …..................
 …..................
 …................
ITS
 …..................
 …..................
 …................
* Rozwój
* Precyzyjne
* Ograniczenia IT
* Zagrożenia strategii
* Raport
PayPass *
Login
Hasło
EFEKTYWNE
BEZPIECZNE
KORZYSTANIE Z
POTENCJAŁU IT

6. OBOWIĄZKI
 …...
 …....
 …....
UPRAWNIENIA
 …...
 …....
 …....
OBOWIĄZKI
 …...
 …....
 …....
UPRAWNIENIA
 …...
 …....
 …....
R5

7. + forma pisemna
+ separacja
- tworzenia od testowania
- administrowana od projektowania
- administrowana od monitorowania działań Administratora
- audytu od reszty funkcji
R5

8. WŁAŚCICIEL SYSTEMU
 zapewnienie prawidłowego działania
 nadzór nad użytkownikami
 rozwój
5.10
 Identyfikacja procesów kluczowych pracowników
 dokumentacja
 zastępstwa
R5

9. SEPARACJA ŚRODOWISK
Cele biznesowe
Poziom wsparcia i zaawansowania IT
R7.9
10 mln
20 mln

10. CEL: DZIAŁALNOŚĆ BANKU + BEZPIECZEŃSTWO DANYCH
PRZEZ: SFORMALIZOWANE ZASADY ZARZĄDZANIA INFRASTRUKTURĄ IT
REKOMENDACJA 9
R9

11. STRUKTURA
IT
dokumentacja
komponenty
wydajność
architektura
pojemność
R9

12.  Monitoring sieci + łącze zapasowe
 Alternatywny dostawca łącza
 Zapory sieciowe na styku sieci zewn. / wewn.
 Stosowanie podsieci logicznych (VLan)
 Analiza i monitorowanie zdarzeń sieciowych
R9

13.  Odpowiednie warunki napraw gwarancyjnych
 Analiza ataków wewnętrznych i zewnętrznych
R9

14.  Analiza ryzyka
 Nadzór zasobów (ścisły!)
(procesory, RAM, HDD, SSD)
 Podsieć dedykowana administratorom
 Ograniczenie nadużywania zasobów!!!
 Szczególne zabezpieczenie maszyny fizycznej!
 Wirtualizacja (warunki)
R9

15.  Zabezpieczone drukarki i skanery sieciowe
R9

16.  Testy penetracyjne
(90% banków przeprowadza testy po każdej
zmianie infrastruktury)
 Aktualizacja oprogramowania – sformalizowane
zasady (ALO)
 Testowanie aktualizacji w środowisku testowym
 Tylko komponenty ze wsparciem
R9

17.  Skalowalność
 Nadmiarowość
 Odpowiednie zarządzanie wydajnością
 Określenie parametrów
 Monitoring
 Analiza trendów
 Raportowanie
R9

18. PO PIERWSZE - BEZPIECZEŃSTWO
PROCEDURY DOBORU USŁUGODAWCÓW ZEWN. - JASNO
SFORMALIZOWANE
REKOMENDACJA 10
PROWADZIĆ PROCESY I MECHANIZMY KONTROLNE
ZAPEWNIĆ RAPORTOWANIE INCYDENTÓW
R10

19. KONTROLA DOSTĘPU LOGICZNEGO
REKOMENDACJA 11
KONTROLA DOSTĘPU FIZYCZNEGO
 Parametry haseł
 Zasady blokowania kont
 Zarządzanie uprawnieniami
 Profile dostępu do grup pracowników
R11

20. ZAWSZE AKTUALNA DOKUMENTACJA
REKOMENDACJA 15
EFEKTYWNY SYSTEM DYSTRYBUCJI
ZASADY TECHNICZNE I MOŻLIWOŚĆ ICH ODTWORZENIA
 Poufność i odpowiednia dostępność
R15

21. ROZLEGŁA AWARIA – LOKALIZACJA ZAPASOWA
REKOMENDACJA 15.8
R15
ODPOWIEDNIO ODLEGŁA - „SZEROKOŚĆ SKRZYDEŁ”
SFORMALIZOWANY PROCES ODTWORZENIA ŚRODOWISKA
CZAS POTRZEBNY NA WZNOWIENIE PROCESÓW BIZNESOWYCH
KOPIE AWARYJNE

22. ISO 27001
REKOMENDACJA 18.3
R18

23. System zarządzania
bezpieczeństwe
m środowiska IT
REKOMENDACJA 18
R18
Identyfikacja ryzyka
Szacowanie
KontrolaPrzeciwdziałanie
Monitorowanie
Raportowanie
Poprzez:
 Systematyczne przeglądy
 Audyt ciągły (oprogramowanie + usługa)

24. REKOMENDACJA 19
R19
JAK?
 Audyt stanowiskowy wewnętrzny lub zewnętrzny
KLASYFIKACJA SYSTEMÓW – KLASYFIKACJA INFORMACJI
SZCZEGÓŁOWA LISTA STANOWISK
SZCZEGÓŁOWA LISTA PROCESÓW
SZCZEGÓŁOWA LISTA UPRAWNIEŃ

25. REKOMENDACJA 22
SYSTEMATYCZNIE
i w NIEZALEŻNY
SPOSÓB powinny być
audytowane systemy
technologii informacji oraz
bezpieczeństwa
środowiska
teleinformatycznego.
R22

26. KLIENCI
Banki należące do Spółdzielczej Grupy Bankowej:
 Bank Spółdzielczy w Tucholi
 Bank Spółdzielczy w Golubiu-Dobrzyniu
 Bank Spółdzielczy w Świeciu
 Bank Spółdzielczy we Włoszakowicach
 Bank Spółdzielczy w Lubrańcu
 Bank Spółdzielczy we Mstowie
 Bank Spółdzielczy w Osiu
 Bank Spółdzielczy w Grójcu
 Bank Spółdzielczy w Sośnicowicach
 Bank Spółdzielczy w Bieżuniu
 Bank Spółdzielczy w Radziejowie
 Bank Spółdzielczy w Siedlcu
 Bank Spółdzielczy w Pleszewie
 Bank Spółdzielczy w Szubinie
 Bank Spółdzielczy w Nowem nad Wisłą
Banki należące do Grupy Banków Polskiej Spółdzielczości:
 Bank Spółdzielczy w Bartoszycach
 Bank Spółdzielczy w Wilamowicach
 Bank Spółdzielczy w Siewierzu
 Bank Spółdzielczy w Koniecpolu
 Bank Spółdzielczy w Zatorze
 Bank Spółdzielczy w Kalwarii Zebrzydowskiej
 Bank Spółdzielczy w Łobżenicy
 Bank Spółdzielczy w Wysokiej

27. Bank Spółdzielczy we Włoszakowicach
„Z przyjemnością rekomendujemy firmę IT Auditor Sp. z o.o., która przeprowadziła dla nas kompleksowy
Audyt Bezpieczeństwa Informacji, jako godnego zaufania partnera, świadczącego swoje usługi rzetelnie
i profesjonalnie.
Wysoka jakoś świadczonych usług w pełni zaspokoiła nasze wymagania.
Polecamy firmę IT Auditor Sp. z o.o. i jej usługi jako wszystkim firmom i instytucjom, które chcą należycie
chronić informacje i odpowiednio nimi zarządzać.”
Informatyk - Karol Kielczewski
REFERENCJE

28. Bank Spółdzielczy w Lubrańcu
„Bank Spółdzielczy w Lubrańcu potwierdza, że IT Auditor Sp. z o.o. przeprowadziła dla nas kompleksowy
Audyt Legalności Oprogramowania oraz Audyt Bezpieczeństwa Informacji oraz przeszkoliła w tym zakresie
pracowników.
Wszystkie zadania zostały wykonane fachowo, profesjonalnie i terminowo, a współpraca przebiegłą w miłej
harmonijnej atmosferze. Dzięki IT Auditor Sp. z o.o. możemy zapewnić odpowiedni poziom bezpieczeństwa
informacji, co przekłada się na wyższą jakość usług świadczonych na rzecz naszych klientów.
Z całą odpowiedzialnością polecamy firmę IT Auditor Sp. z o.o. jako rzetelnego godnego zaufania
partnera.”
Zarząd
REFERENCJE

29. Homag Polska
„Z przyjemnością informujemy, że IT Auditor Sp. z o.o. wykonała dla pracowników HOMAG Polska Sp. z o.o.
szkolenie z zakresu "Ochrona danych osobowych w przedsiębiorstwie".
Audytor, prowadzący Pan Marcin Polit, przygotował oraz poprowadził szkolenie wykazując się przy tym
wzorową starannością oraz profesjonalizmem. Praktyczne i trafne przykłady w łatwy sposób pomagały
zrozumieć uczestnikom problematykę związaną z tematem przewodnim.
Szkolenie oceniam bardzo pozytywnie pod względem formy jak i wartości merytorycznej.
W związku z powyższym mogę z pełną odpowiedzialnością zarekomendować firmę IT Auditor Sp. z o.o. jako
godną polecenia firmę.”
Członek Zarządu - Michał Piłat
REFERENCJE

30. OFERTA
Audyt zgodności z Rekomendacją D
Audyt bezpieczeństwa informacji oparty na wytycznych normy ISO 27001
Audyt danych osobowych (plus szkolenia)
Pentesty sieci LAN/WiFi
Usługi wykonywane są w oparciu o metodykę PRINCE2® Foundation, dedykowaną dla
prowadzenia projektów informatycznych.
Pentesty aplikacji internetowych
Audyt konfiguracji urządzeń sieciowych
Audyt legalności oprogramowania

31. Dziękuję za uwagę
Marcin Polit
533 641 700
marcin.polit@itauditor.pl
www.itauditor.pl