Večkriterijski model učinkovitosti informacijske varnosti v organizacijahPrislan Mihelič, Kaja (Avtor) Bernik, Igor (Mentor) informacijska varnostinformacijske grožnjevarnostni managementvarnostni ukrepiučinkovitostmerjenje učinkovitostiodločitveni modelidoktorske disertacijeInformatizacija poslovnih procesov spreminja koncepte zagotavljanja organizacijske varnosti. V doktorski disertaciji pojasnimo, kako v sodobnem poslovnem svetu pristopiti k upravljanju informacijske varnosti, kakšen je njen vpliv na poslovni uspeh in kako presoditi njeno zrelost. V situaciji, ko se evolucija informacijskih groženj odvija ob boku težkih gospodarskih razmer, je namreč veliko organizacij nesposobnih obvladovanja informacijskih tveganj in hkrati slediti tehnološkim trendom. Ugotovitve doktorske disertacije predstavljajo pristop k zagotavljanju tega ravnovesja, uporabne pa so za lastnike podjetij, managerje, strokovni kader in ostalo zainteresirano javnost. Ugotavljamo, da je upravljanje informacijske varnosti omejeno predvsem zaradi slabe informacijske podpore pri načrtovanju. Tiste organizacije, ki ne ugotavljajo izhodiščne situacije in presojajo uspešnosti ter učinkovitosti varnosti, ne morejo doseči skladnosti med operativnimi ukrepi, varnostnimi potrebami ter organizacijsko strategijo. V ospredje razprave zato postavljamo presojanje kakovosti informacijske varnosti. To področje proučujemo skozi prizmo poslovne funkcije, izhodišče pa predstavljajo priporočila iz področja varovanja informacijskih tehnologij, sledijo teorije sistemov, preprečevanja groženj/kriminalitete, managementa ter organizacije. Glavni rezultat je interdisciplinarni model ocenjevanja informacijsko varnostne kompetentnosti organizacij. V procesu razvijanja celovitega pristopa k presoji stanja informacijske varnosti, smo identificirali ukrepe, ki v stroki veljajo za uspešne in učinkovite. Z raziskavo izvedeno med strokovnjaki v Sloveniji, smo analizirali veljavnost izbranih ukrepov in njihov vpliv na kakovost informacijske varnosti. Glede na priporočila je v začetnih fazah treba najprej poskrbeti za represivno-nadzorne in logične kontrole, v nadaljevanju pa za strateške, socialne, organizacijske, normativne in okoljske vidike. Rezultat raziskave je odločitveno orodje, sestavljeno iz desetih faktorjev in 100 unikatno uteženih indikatorjev merjenja. Z uporabo modela se organizacije razvrstijo v enega izmed šestih razredov učinkovitosti, kjer so podana priporočila za izboljšanje stanja. Z namenom evalvacije uporabnosti predlagane rešitve smo z dodatno raziskavo model praktično testirali. Implementirali smo ga v majhen vzorec srednje-velikih organizacij in ugotovili, da je v teh organizacijah informacijska varnost v začetnih razvojnih fazah. Z izjemo fizičnih, tehničnih in logičnih kontrol, so najvplivnejši kriteriji najmanj razviti, izmed vseh področij pa se največje težave kažejo pri izvajanju analiz informacijskih tveganj. Ob upoštevanju tehnološkega konteksta organizacij, s katerim smo normirali indeksirane rezultate, se je pokazalo, da 25 % organizacij skrbi samo za osnovne vidike, 40 % sodi v srednji nivo, 35 % pa lahko ocenimo kot dobre prakse. Glede na razvitost ukrepov je 60 % proučevanih organizacij v reaktivni drži, generalno pa večina razvija približno polovico ukrepov v modelu. S primerjavo enot smo ugotovili, kateri faktorji ločujejo učinkovite organizacije od neučinkovitih, z analizo korelacij pa razvili priporočila za nadaljnje ukrepe. Evalvacija je pokazala tudi, da je model uporaben za sprejemanje odločitev pri internih evalvacijah – študije primerov ali analize splošnega stanja na večjih vzorcih.K. Prislan]20162016-08-23 15:51:20Doktorska disertacija62163sl