Rámec pro řízení bezpečnostních rizik on-line služeb

Jan Mészáros

Doctoral thesis

Framework for on-line service security risk management

Abstract:

Doktorská disertační práce řeší téma řízení bezpečnosti on-line služeb z hlediska poskytovatelů i uživatelů. Hlavním cílem této disertační práce je navrhnout rámec pro řízení bezpečnostních rizik on-line služeb, vytvořit prototyp podpůrného softwarového nástroje a ověřit je v prostředí vybrané organizace pomocí případové studie. Klíčovými komponentami rámce jsou modely hrozeb a rizik, které byly autorem této disertační práce navrženy na základě specifik on-line služeb a prostředí, ve kterém se nacházejí. Součástí rámce je proces řízení rizik přizpůsobený pro časté a opakované hodnocení rizik. Proces obsahuje osm dílčích kroků, ke kterým jsou definovány související role a zodpovědnosti. Výsledkem provedení procesu je identifikace a provedení vhodných úloh, které přispějí k řešení identifikovaných bezpečnostních rizik a nedostatků. Na základě pravidelného provádění procesu je možné dokumentovat a reportovat stav zabezpečení on-line služeb v čase. Navržený rámec byl ověřen na základě případové studie provedené v prostředí velké organizace.

Abstract:

This dissertation thesis is dedicated to on-line services security management from service provider's and service consumer's viewpoints. The main goal is to propose a framework for on-line services security risk management, to develop a supporting software tool prototype and to validate them through a case study performed in a real-world environment. The key components of the proposed framework are a threat model and a risk model. These models are designed to fit specific features of on-line services and the surrounding environment. A risk management process is an integral part of the framework. The process is suitable for frequent and recurrent risk assessments. The process comprises of eight steps, related roles and responsibilities are defined for each step. The process execution results in identification and execution of proper tasks which contribute to treatment of identified security risks and deficiencies. Documentation and reporting of an overall level of on-line services security over time is possible if the process is executed on a regular basis. The proposed framework was validated through a case study performed in a large enterprise environment.

Keywords

analýza hrozeb, analýza rizik, opatření, zranitelnosti, bezpečnost, řízení rizik, hrozby, bezpečnostní rizika, kybernetická bezpečnost, on-line služba

Keywords

vulnerabilities, threats, on-line service, risk analysis, measures, security, risk management, security risks, threat analysis, cyber security

Language used: Czech

Date on which the thesis was submitted / produced: 22. 2. 2010

Thesis defence

• Date of defence: 30. 5. 2016
• Supervisor: Alena Buchalcevová
• Reader: Igor Čermák, Petr Doucek, Václav Jirovský

Vysoká škola ekonomická v Praze

Doctoral programme / field:
Aplikovaná informatika / Aplikovaná informatika