Information security and risk management in a particular company

Cílem diplomové práce je aplikace metodiky kvalitativní analýzy rizik podle normy ISO/IEC 27005:2011 a zvýšení povědomí o existujících hrozbách, z nich plynoucích dopadů na informační aktiva a návrh možných bezpečnostních opatření pro minimalizaci identifikovaných hrozeb v konkrétní společnosti. Práce je rozdělena do pěti kapitol. Úvodní kapitola vysvětluje základní pojmy informační bezpečnosti a řízení rizik v organizaci, které jsou nezbytné pro pochopení principů a samotného významu řízení informační bezpečnosti. Druhá kapitola pojednává o mezinárodních standardech zaměřených na informační bezpečnost a stručně popisuje ISO/IEC 27001, ISO/IEC 27002 a ISO/IEC 27005. Následující dvě kapitoly tvoří plynulý přechod od teoretické k praktické části. V třetí kapitole je charakterizována zvolená společnost a popsán aktuální stav informační bezpečnosti ve společnosti. Čtvrtá kapitola tvoří metodický aparát kvalitativní analýzy rizik, sestavený podle normy ISO/IEC 27005:2011. Obsahuje seznam relevantních hrozeb, kterým je aktivum společnosti vystaveno. V poslední kapitole je provedena kvalitativní analýza rizik, spolu s návrhem opatření pro jejich minimalizaci. Z praktické části vyplývá, že implementací navržených opatření společnost sníží stávající rizika na přijatelnou úroveň a výrazně tak zlepší ochranu informačních aktiv

The aim of the thesis is to apply the methodology of qualitative risk analysis according to ISO/EC/27005:2011 and to increase awareness of existing threats and impacts on information assets and to create possible security precautions to minimize identified threats in a particular company. The thesis is divided into five chapters. Introductory chapter explains the basic concepts of information security and risk management in the organization that are necessary for understanding of the principles and the importance of information security. The second chapter deals with the international standards aimed at information security and briefly describes ISO/IEC 27001, ISO/IEC 27002 and ISO/IEC 27005. The following two chapters form a smooth transition from the theoretical to the practical part. The third chapter characterizes selected company and describes the current state of information security in the company. The fourth chapter forms the methodological apparatus of qualitative risk analysis, compiled in accordance with ISO/IEC 27005:2011. It also contains a list of relevant threats, to which an asset of the company is exposed. The last chapter is conducted to qualitative risk analysis, together with the draft of the precautions to minimize the risks. The practical section shows that by the implementing the proposed action the company will reduce existing risks to acceptable levels and will significantly improve the protection of information assets.