IT Governance in Banks, workshop organized by USAID Finance for Economic Development (FED) Program in Yerevan, Armenia in May, 2014

1. USAID Finance for Economic Development
(FED) Program
Workshop: “IT Governance in Banks”
May 27, 2014

2. Information Security
Management
ԿԿոոմմիիտտաասս ՍՍտտեեփփաաննյյաանն
ԵԵրրևևաանն - 2014

3. WWhheerree ddoo wwee ssttaarrtt??

4. The Foundation ooff IInnffoorrmmaattiioonn SSeeccuurriittyy

5. The Information SSeeccuurriittyy FFuunnccttiioonnss

6. MMaannaaggiinngg IInnffoorrmmaattiioonn SSeeccuurriittyy

7. ԲԲոովվաաննդդաակկոոււթթյյոոււնն
– ԻԻննչչ տտեեսսաակկիի աակկտտիիվվննեերր կկաանն ՏՏՏՏ հհաամմաակկաարրգգեերրոոււմմ??
– ՈՈրրոոննքք եենն աամմեեննաակկաարրևևոորրննեերրըը??
– ԿԿաարրիիքք կկաա աարրդդյյոոքք դդրրաաննքք պպաաշշտտպպաաննեելլոոււ
– ՏՏեեղղեեկկաատտվվաակկաանն աաննվվտտաաննգգոոււթթյյաանն(( ՏՏԱԱ)) կկաարրիիքքըը
– ԻԻննչչպպեեսս հհաասսննեելլ ՏՏԱԱ CCIIAA հհաայյեեցցաակկաարրգգիի
իիրրաակկաաննցցմմաաննըը
– ՈՈրրոոննքք եենն հհաաջջոողղոոււթթյյաանն չչաափփիիչչննեերրըը
– ՎՎտտաաննգգննեերր
– ԻԻննչչպպեեսս պպաաշշտտպպաաննվվեելլ
– ԱԱննվվտտաաննգգոոււթթյյաանն հհաայյեեցցաակկաարրգգ ևև մմոոտտեեցցոոււմմննեերր

8. Կազմակերպության ակտիվներ
• Har dwar e ( Ֆիզիկական ակտիվներ)
• Ծրագրեր
• Dat a and i nf or mat i on
• Անձնակազմ, ով մատուցում է ՏՏ ծառայություններ
• Համակարգեր
• Ինֆրակառուցվածք
NI ST SP 800- 30

9. Տեղեկատվական ակտիվներ
ՏՏեեղղեեկկաատտվվոոււթթյյոոււննըը ևևսս աակկտտիիվվ էէ,,
ոորրըը իիննչչպպեեսս մմյյոոււսս կկաարրևևոորր բբիիզզննեեսս
աակկտտիիվվննեերր ոոււննիի աարրժժեեքք
կկաազզմմաակկեերրպպոոււթթյյաանն հհաամմաարր,, ևև
հհեետտևևաաբբաարր պպեետտքք էէ հհաամմաարրժժեեքք
պպաաշշտտպպաաննվվիի
» IISSOO//IIEECC1177779999:: 22000000

10. Ինչու է տեղեկատվությունը ամենակարևոր ակտիվներից մեկը
• Բիզնեսի պահանջներ
– Հաճախորդներ / գործընկերներ / բաժնետերեր
– Մարկետինգ
– Վստահություն
– Ներքին կառավարում, որոշումներ
• Իրավական պահանջներ
• Այլ
Բիզնեսի անընդհատություն
, Օրենսդրության Իրավական ակտերի
պահանջների բավարարում

11. Ինչի համար է ՏԱ- ը
• ՏԱ- ն պաշտպանում է տեղեկատվությունը տարբեր
վտանգներից՝ ապահովելով
– Բիզնեսի անընդհատությունը
– Նվազեցնելով վնասի չափը, եթե. . .
– Ավելացնելով ROI - ն և հնարավորությունները
ՀՀոոււսսաալլիի,, կկաայյոոււնն,, աաննխխաափփաանն ծծաառռաայյոոււթթյյոոււննննեերր

12. Տեղեկատվական անվտանգության ծախսեր
Q: Ինչքան պետք է յուրաքանչյուր
կազմակերպություն ծախսի ՏԱ համար?
A: …??????… ՄԼՆ / Ամիս
Q: Ինչքան պետք է յուրաքանչյուր
կազմակերպություն ծախսի ՏԱ համար?
A: …??????… ՄԼՆ / Տարի

13. Ինչի համար կազմակերպությունը ունի ՏԱ կարիք
Business-impact վվեերրլլոոււծծոոււթթյյոոււնն
Ինչքան է արժենում մեկ ժամը, երբ աշխատակիցը չի
կարողանում օգտվել անհրաժեշտ տեղեկատվությունից ?
Օրինակ - > Մոտ 10 մլն/ օր
- > Մեկ օրվա աշխատանքային ժամը 8
- > 1. 25 մլն/ ժամ
- > 10% եկամուտ = 125, 000 / ժամ

14. …. Այլ օրինակ…
• Ինչքան է մոտավար արժեքը, երբ հակերային
հարձակում/ վիրուսային վարակում է տեղի ունենում?
– Ինչ ծավալի տեղեկատվություն է վնասվում, կորչում, որը հետո պետք
է վերականգնել – մարդ/ ժամ
– Ինչքան մարդ/ ժամ է ծախսվում վիրուսը մաքրելու համար
– Ինչքան ժամանակ ծառայությունները չեն աշխատում
– Հաճախորդների բավարարվածությունը
– Կազմակերպության հեղինակությունը
Այսպիսով կազմակերպությունը ծախսում է XYZ գումար,
հարձակմանը, կամ վիրուսային վարակման համար

15. Տեղեկատվական անվտանգության մոտեցումները
ՏԱ- ը երեք հիմնական հաշտանիշների միաժամանակյա
ապահովումն է.
• Conf i dent i al i t y - Գաղտնիություն
– Ապահովում է տեղեկատվության օգտագործումը միայն իրավասու
օգտագործողներին
• Int egri t y - Ամբողջականություն
– Ապահովում է տեղեկատվության ճշտությունը և լրիվությունը
• Avai l abi l i t y - Հասանելիություն
– Ապահովում է տեղեկատվության հասանելիությունը իրավասու
օգտագործողներին՝ հենց դրա կարիքը լինի

16. Հաջողության գրավականը
• Գործընթացներ/ Քաղաքականություն/ կանոնակարգեր
– Հստակ
– Ամբողջական
– Համապատասխան– իրավական, ստանդարտ, լավագույն փորձ
և այլն
• Մարդիկ/ անձնակազմ
– Տեղեկացվածություն ( ՏԱ նվազագույն պահանջների
իմացություն)
– Կարգ ու կանոն ( Di s c i p l i ne )
• Տեխնոլոգիաներ
– Մեխանիզմներ, գործիքներ, լուծումներ
– Կառավարչական լուծումներ

17. Ինչ է վտանգը?
Կարղ է տեղի ունենա մի բան, որը վատ հետևանք
կունենա, օրինակ կխափանի ցանի աշխատանքը
ՕՕգգտտաագգոորրծծոողղ
ՀՀաաքքեերր//չչաարրաամմիիտտ
գգոորրծծոողղոոււթթյյոոււննննեերր
ՎՎիիրրոոււսս
ՍՍպպաամմ
ԱԱյյլլ

18. Հիմնական գործոնները որոնք մեծացնում են
վտանգների թիվը
• Ինտերնետի արագություն/ հասանելիությունը բբոոլլոորրիինն
• RReeaall -- tt ii mmee իիննտտեերրննեետտ լլոոււծծոոււմմննեերր
• OOnnll ii nnee գգոորրծծաառռոոււյյթթննեերր

20. Այսօրվա վտանգները
– ՍՍոոցց ցցաաննցցեերր
– SSooccii aall EEnnggii nneeeerr ii nngg
– ՀՀաամմաակկաարրգգաայյիինն սսխխաալլննեերր
– ՑՑաաննցցաայյիինն սսխխաալլննեերր
– WWeebb վվտտաաննգգննեերր
– ՄՄաարրդդկկաայյիինն գգոորրծծոոնն
ԱԱյյսս բբոոլլոորրըը իիննձձ չչիի վվեերրաաբբեերրվվոոււմմ.. .. ..

21. Ինչպես պաշտպանվել
• ԱԱննհհրրաաժժեեշշտտ էէ հհսսկկոողղոոււթթյյոոսսււնն,, ոորրըը ննշշաաննաակկոոււմմ էէ
– PPoolliiccyy && PPrroocceessss sseeccuurriittyy ccoonnttrrooll ttoo pprroovviiddee gguuiiddeelliinnee
aanndd ffrraammeewwoorrkk
– PPeeooppllee ttoo ccoonnttrrooll uusseerr bbeehhaavviioorr
– TTeecchhnnoollooggyy wwiillll bbee aa ttooooll iinn oorrddeerr ttoo eennffoorrcceedd PPoolliiccyy
tthhrroouugghhoouutt tthhee oorrggaanniizzaattiioonn eeffffeeccttiivveellyy..

22. Pol i cy & Pr ocess Cont r ol
• Pol i cy Compl i ance
– I SO 17799/ / 27001
• Compl i ance Checki ng
– Cobi T Audi t Tool s
• NI ST secur i t y st andar d gui del i ne
– NI ST – 800 ser i es
• Or gani zat i on Cont r ol
– Busi ness Cont i nui t y Pl an

23. Անձնակազմի հսկողություն
• Անվտանգության իմացության դասընթացներ
• Ուսուցման անընդհատություն
– Տեղեկացում, ուսուցում
• Պատասխանատվությունների հսկողություն
– Ես գիտեմ որ. . . պատասխանատու եմ. . .
ՉՉըըըըըըըըըըըըըը.. .. գգիիտտեեիի,, կկննեերրեեքք .. .. ..

24. Տեխնոլոգիակն հսկողություն
• Comput er Securi t y i s t he pr ocess of
pr event i ng and det ect i ng unaut hor i zed use
of your comput er
• Prevent i on - hel ps you t o st op
unaut hor i zed user s ( i nt r uder s) f r om
accessi ng any par t of you comput er net wor k
• Det ec t i on - hel ps you t o det er mi ne whet her
or not someone at t empt ed t o br eak i nt o
your syst em, i f t hey wer e successf ul , and
what t hey may have done.
• Network and Hos t Based Securi t y
– Secur i t y Devi ces ( Har dwar e) or Secur i t y Sof t war e

25. Anti-Spam
Source: Symantec/
Brightmail

26. ԵԵԶԶՐՐԱԱԿԿԱԱՑՑՈՈՒՒԹԹՅՅՈՈՒՒՆՆ
PPT Policy - People ––Technology
Համակարգեր՝ առանց որակի/ արտադրողականության կորստի
ԻԻննչչիի՞՞ հհաամմաարր եենն
մմեեքքեեննաայյիի աարրգգեելլաակկննեերրըը
ՄՄեեքքեեննաայյիի աարրգգեելլաակկննեերրըը ննրրաա հհաամմաարր չչեենն,, ոորր
մմեեքքեեննաանն դդաաննդդաաղղ ըըննթթաաննաա՝՝
հհաակկաառռաակկըը –– ննրրաա հհաամմաարր եենն,, ոորր մմեեքքեեննաանն աարրաագգ ևև
աաննվվտտաաննգգ ըըննթթաաննաա.. .. ..

27. ԵԵԶԶՐՐԱԱԿԿԱԱՑՑՈՈՒՒԹԹՅՅՈՈՒՒՆՆ
ՏՏԱԱ-- նն ննրրաա հհաամմաարր չչէէ,, ոորր դդաաննդդաաղղաացցննիի,,
խխաաննգգաարրիի կկաազզմմաակկեերրպպոոււթթյյաաննըը՝՝ հհաակկաառռաակկըը ննրրաա
հհաամմաարր էէ,, ոորր օօգգննիի կկաազզմմաակկեերրպպոոււթթյյաանն
աաննվվտտաաննգգ,, աապպաահհոովվ զզաարրգգաացցմմաաննըը աառռաաննցց
ռռիիսսկկեերրիի.. .. ..

28. ՀՀիիշշեեքք
TTrreeaatt yyoouurr ppaasssswwoorrdd lliikkee yyoouu
ttrreeaatt yyoouurr ttooootthhbbrruusshh.. NNeevveerr
ggiivvee iitt ttoo aannyyoonnee eellssee ttoo uussee,,
aanndd cchhaannggee iitt eevveerryy ffeeww
mmoonntthhss..