Adequate information security

Abstract 1) Goal of the thesis There is an assumption that companies are nowadays spending money on IT Security not according to the importance of the information for the company. In order to prove it or not, this thesis is about to check it. In case that this is true, the aim of this thesis will be to find out the methodology that can be used to verify, whether money are spent effective and efficiently or not. 2) Aiming of the thesis From the content point of view the focus of this work is information security methodics. From the research point of view the research was conducted on medium and small organisations in automotive, mainly due to the fact that automotive industry is an important part of our national economy (approx. 8% of GDP). 3) Outcomes of the thesis From the theory point of view the definition of "adequacy" of the information security was set. Adequacy consists of two parts -- the value of information, and the importance of information. The way how to determine both value and importance was found as well. From the reality point of view there was a finding that researched organisations do not undergo any systematic approach in the information security, what can negatively impact the frequency and importance of security incidents in the organisations. One of the main results of the research is the fact that in case there is a need to make effective and efficient information security based on the support of the management of the company. Finally, the next result is creating and verification of the "Adequate information security methodology", which can be used by managers in order to increase effectiveness and efficiency of the sources spent on information security. There is an extension of this Methodology covering the individuality of the decision maker and circumstances that influence him.Abstrakt 1) Cíl práce Protože existuje předpoklad, že soudobé vynakládání zdrojů na bezpečnost IT není prováděno v míře přiměřené důležitosti informací pro organizaci, je cílem práce "Přiměřená ochrana informací" nejprve tento předpoklad ověřit, a pokud je platný, pak stanovit metodiku, kterou může využít k ověření toho, že investuje finanční prostředky účelně (tj. do správných věcí) a účinně (tj. správné množství). 2) Zaměření práce Práce se z pohledu obsahu soustřeďuje na metodiku řízení informační bezpečnosti. Z pohledu průzkumu byla práce zaměřena na střední a velké organizace v automobilovém průmyslu a to zejména proto, že automobilový průmysl je významnou částí národního hospodářství (tvoří přibližně 8 % HDP). 3) Dosažené výsledky práce Za teoretické vlastní lze označit definici "přiměřenosti" ochrany informace, kdy tato je na základě analýzy brána jako pojem v sobě zahrnující definici hodnoty informace a významu informace, a také vytvoření metodiky stanovení postupu, jakým se právě k hodnotě a významu lze dostat. Mezi prakticky dosažené výsledky lze řadit především zjištění, že zkoumané organizace nepostupují v oblasti řízení informační bezpečnosti systematicky, neprovádí ani analýzu dopadu funkčnosti IT na procesy firmy, ani analýzu rizik, což může mít negativní vliv na míru výskytu a závažnost bezpečnostních incidentů v organizacích. Vlastním výsledkem práce je především ověření faktu, že je účelnou a účinnou ochranu informací nelze provádět bez systematické práce a přímé podpory managementu. Za vlastní výsledek lze rovněž označit vytvoření a praktické ověření Metodiky stanovení přiměřenosti ochrany informací jako postupu určeného manažerům k tomu, aby zvýšili účelnost a účinnost prostředků vkládaných do ochrany informací. Rozšířený model Metodiky charakterizuje především osobnost rozhodovatele a vlivy, které na něj působí