Řízení a kontrola bezpečnosti serverů a koncových zařízení v kontextu informační bezpečnosti (DEVSEC)

Vladimír Jech

Doctoral thesis

Management and Control of Servers and User Devices in the Context of Information Security

Abstract:

Zabezpečení uživatelských zařízení a serverů vyžaduje komplexní přístup, který zahrnuje nejen konfiguraci samotného zařízení, ale i mnoho dalších faktorů. Cílem této disertační práce je připravit a ověřit nový přístup zaměřený na zabezpečení, správu a kontrolu serverů a uživatelských koncových zařízení v rámci informační bezpečnosti. V první části práce je provedena analýza stávajících standardů, norem, metodik, zákonů, rámců a souhrnů pravidel nejlepší praxe využívaných v oblasti řízení informatiky a informační a IT bezpečnosti. Dále je proveden s ohledem na tuto problematiku průzkum mezi odborníky z praxe. Na základě provedených analýz, ve třetí části této práce navazuje návrh nového konceptu pro řízení a kontrolu bezpečnosti serverů a uživatelských zařízení nazvaný DEVSEC. Koncept je popsán s důrazem na požadavky na bezpečnost, bezpečnostní opatření, procesy, zdroje a zabezpečení systému jako celku. V poslední části je popsáno ověření konceptu v prostředí finanční firmy a průzkum k jeho ověření mezi odborníky z praxe. V práci jsou prezentovány výsledky průzkumů provedených autorem v souvislosti se zpracovávaným tématem, například průzkumu provedeného za účelem ověření vybraných částí teoreticky navrženého konceptu. Přínosem práce je z pohledu teorie managementu informatiky zejména vymezení komplexního přístupu pro řízení a kontrolu bezpečnosti v oblasti serverů a uživatelských koncových zařízení. Z pohledu praxe je přínosem zejména vytvoření metodického postupu pro řízení a kontrolu bezpečnosti v oblasti serverů a uživatelských koncových zařízení a jeho aplikace v praxi.

Abstract:

Securing user devices and servers requires a complex approach which includes not only the configuration of the device itself but also many other factors. The goal of this thesis is to present principles of a new guideline aimed at security and management of user devices and servers in the context of information security. The first part of this paper is devoted to the analysis of existing industry standards, frameworks, guidelines, and other collections of best practice commonly used in the management of informatics and information and IT security. The analysis is complemented with a field research conducted among forefront specialists. Based on the analysis and research, a new methodic concept for the management and control of user devices and servers security called DEVSEC is described in the next part. The concept is constructed with emphasis on security requirements, security measures, processes, resources and the overall security assurance process. The last part of the paper provides results of the final research aimed at testing the concept in the envitonment of one financial firm and also results of another field research among security specialists. The DEVSEC contributes to the theory of management of informatics as well as to its practice. The concept represents a complex approach to the management and control of security of servers and user devices as well as a new guideline ready for practical utilization.

Keywords

DEVSEC, informační bezpečnost, COBIT

Keywords

information security, DEVSEC, COBIT

Language used: Czech

Date on which the thesis was submitted / produced: 23. 5. 2011

Thesis defence

• Date of defence: 18. 2. 2014
• Supervisor: Ota Novotný
• Reader: Petr Doucek, Jan Čapek

Vysoká škola ekonomická v Praze

Doctoral programme / field:
Aplikovaná informatika / Informatika