Information Security
PaSS the word for Security !
Informatie wordt bij veel organisaties gezien als een belangrijke asset en dient daarom goed beschermd te worden. Informatiebeveiliging staat daarom steeds vaker op de agenda van het management en is een groeiend onderdeel van het kwaliteitssysteem.
Niet in de laatste plaats door communicatie via de media, maar ook vanuit wet- en regelgeving weet u als geen ander dat al uw informatie mogelijk aan risico’s onderhevig is.
Bij het realiseren van uw bedrijfsdoelstellingen wilt u deze risico`s onder controle houden en ze niet boven een door u gedefinieerd acceptabel niveau laten uitkomen. Daarom voert u Informatiebeveiliging door in uw organisatie. Maar niet als doel op zich, want een kwaliteitssysteem bestaat uit verschillende onderdelen. De richtlijnen en procedures van Informatiebeveiliging gebaseerd op internationale standaarden zoals ISO2700X, zijn hier een belangrijk onderdeel van. In deze kwaliteitssystemen is informatiebeveiliging één van de belangrijke kwaliteitsattributen. Dit kwaliteitsattribuut maakt het mogelijk de beveiliging daadwerkelijk te meten.
Een van de belangrijkste aspecten bij informatiebeveiliging is een proactieve aanpak. U wilt immers voorkomen dat uw informatie op welke wijze dan ook gecompromitteerd wordt. Als een van de weinige leveranciers is Sogeti in staat een totaalaanbod neer te zetten op het gebied van informatiebeveiliging. Zowel organisatorische als technische aspecten worden vanuit één organisatie verzorgd. Informatiebeveiliging is immers een samenspel tussen allerlei instanties, personen en hard en software in een organisatie. Door dit proactief vanuit één organisatie aan te pakken kan men alle aspecten samenbrengen en afstemmen op elkaar.
Onder de noemer “Proactive Security Strategy ”(PaSS) wordt invulling gegeven aan alle gewenste in te voeren en te onderhouden informatiebeveiligingsmaatregelen. PaSS neemt uiteraard de standaarden op dit gebied in acht. Dit zijn standaarden zoals ISO2700x, NEN7510, SAS70, PCI-DSS en SOX.
Proactief zijn betekent ook dat Sogeti uw opdracht/wensen in een groter perspectief zet door - waar mogelijk - u te wijzen op risico’s in benoemde informatiebeveiligingsdeelgebieden
Onze diensten op het gebied van informatiebeveiliging omvatten drie samenhangende aandachtsgebieden: Infrastructuur, Organisatie en Software.
PaSS-Infrastructuur:
Uw IT voorziening is pas veilig als voor alle onderdelen de juiste, proactieve, aanpak wordt gehanteerd, niet alleen in veranderprocessen maar zeker ook in de dagelijkse operatie. Infrastructuur vormt daarbij de ‘onderlaag’ waarop de IT functies geboden worden die de bedrijfsprocessen faciliteren of zelfs mogelijk maken. Veiligheid is voor infrastructuur dan ook een essentieel aandachtsgebied. De toegang tot netwerken, systemen en applicaties wordt hier immers geregeld, waarbij het spanningsveld tussen toegankelijkheid en afscherming nadrukkelijk aanwezig is. Ook de beschikbaarheid van infrastructuur houdt verband met informatiebeveiliging, met name om verlies van data te voorkomen en de continuïteit van bedrijfsprocesondersteunende middelen te waarborgen. In het infrastructuur werkgebied is echter een duidelijk onderscheid te maken tussen maatregelen en technologie om de beschikbaarheid te waarborgen en maatregelen en technologie om toegang te regelen. PaSS-Infrastructuur richt zich specifiek op de toegang.
PaSS-Organisatie:
Risico’s in kaart
Waar mogelijk start Sogeti haar werkzaamheden met onderzoek naar de eisen die aan de procesondersteunende informatie wordt gesteld op het gebied van Beschikbaarheid / Continuïteit, Integriteit / Juistheid / Volledigheid en Vertrouwelijkheid / Exclusiviteit (BIV-rating). Kortom, er worden risicoanalyses uitgevoerd. Hierbij maakt Sogeti gebruik van een eigen methode voor risico-analyse als basis (Q-drant methode).
Deze eisen worden vervolgens ook van toepassing verklaard op de onderliggende informatiesystemen. Daarna wordt bepaald welke risico’s de informatiesystemen lopen om niet aan de gestelde eisen te kunnen voldoen. Hier wordt dan aandacht besteed aan zowel de risico’s voor applicaties, het operating systeem, de hardware, het netwerk alsook de fysieke omgeving en de interne organisatie. Maatregelen worden, indien nodig, op al die deelgebieden gedefinieerd en via een integraal informatiebeveiligingsplan uitgewerkt en geïmplementeerd.
Opdracht scoping
Uiteraard kan het voorkomen dat een opdracht op verzoek van de opdrachtgever slechts ingaat op één van de genoemde deelgebieden. In dat geval zal hierop focus plaats vinden, maar – passend binnen onze PaSS filosofie - zal Sogeti zeker de overige deelgebieden bij de opdrachtgever onder de aandacht brengen. Dit ter voorkoming van het “te eng” implementeren van beveiligingsmaatregelen, of het risico van een onjuiste prioritering.
PaSS-Software:
Applicatiebeveiliging
De veiligheid van applicaties is, sinds het veelvuldig gebruik van internet, van enorm belang geworden. Onze data moet altijd beschikbaar en correct zijn. Niet alleen om de juiste keuzes te kunnen maken, maar ook omdat we willen weten of anderen er geen onrechtmatig gebruik van maken. Met de PaSS-Software dienstverlening van Sogeti krijgt u grip en inzicht in de status van applicatiebeveiliging in uw organisatie.
Welke applicaties zijn er? Welke businessprocessen worden door welke applicatie ondersteund? Welke informatie wordt door welk proces verwerkt? Hoe veilig zijn deze en hoe belangrijk zijn de processen en gegevens voor de business? Is er een fall-back scenario? Hoe is de back-up geregeld en is er incident management? Informatie en ondersteunende applicaties onder controle houden, wordt steeds complexer. PaSS-Software biedt de oplossing voor het vertalen van de compliancy maatregelen van de business naar de software applicaties! Van risicoanalyse en threatmodeling, tot documentatie, implementatie en validatie! Door in elke fase van de software ontwikkeling de risico’s te bestrijden en de juiste maatregelen te treffen blijven deze beheersbaar en onder controle.