Co to jest bezpieczeństwo?

Transkrypt

1 Co to jest bezpieczeństwo? System komputerowy jest bezpieczny, jeśli jego użytkownik może na nim polegać, a zainstalowane oprogramowanie działa zgodnie ze swoją specyfikacją. System uznajemy za bezpieczny, jeśli można od niego oczekiwać, że wprowadzone na stałe dane nie zostaną utracone, nie ulegną zniekształceniu i nie zostaną pozyskane przez nikogo nieuprawnionego. Bezpieczeństwo jest elementem szerszego kontekstu, nazywanego wiarygodnością systemu komputerowego. Elementarne pojęcia: Identyfikacja: możliwość rozróżnienia użytkowników, np. użytkownicy są identyfikowani w systemie operacyjnym za pomocą UID (user identifier) Uwierzytelnianie proces weryfikacji tożsamości użytkownika, najczęściej opiera się na tym: co wiesz - hasło, fraza itp. co masz - np. elektroniczną kartę identyfikacyjną, token, certyfikat (np. dokument tożsamości) cecha osobnicza - cechy biometryczne - odcisk palca itp. Autoryzacja: proces przydzielania praw (dostępu do zasobów) użytkownikowi Kontrola dostępu: procedura nadzorowania przestrzegania praw dostępu do zasobów Poufność ochrona informacji przed nieautoryzowanym jej ujawnieniem (podmiotom lub procesom) Nienaruszalność (Integralność) ochrona informacji przed nieautoryzowanym jej zmodyfikowaniem (ew. detekcja takiej modyfikacji) Autentyczność zapewnienie, że tożsamość podmiotu lub zasobu jest taka, jak deklarowana (autentyczność dotyczy użytkowników, procesów, systemów i informacji). Autentyczność informacji to pewność co do pochodzenia (autorstwa i treści) danych. Niezaprzeczalność ochrona przed fałszywym zaprzeczeniem przez nadawcę - faktu wysłania danych przez odbiorcę - faktu otrzymania danych. Strategia bezpieczeństwa Decydujące znaczenie ma etap projektowy, na którym popełnione błędy mogą być nienaprawialne w kolejnych etapach. Etap projektowy powinien rozpocząć się od wypracowania strategii firmy dotyczącej bezpieczeństwa (i to nie wyłącznie systemu informatycznego). Polega to w ogólnie na znalezieniu odpowiedzi na następujące pytania:

2 Co chronić? (określenie zasobów). Przed czym chronić? (identyfikacja zagrożeń). Ile czasu, wysiłku i pieniędzy można poświęcić na należną ochronę (oszacowanie ryzyka, analiza kosztów i zysku). Polityka bezpieczeństwa Pod pojęciem Polityki Bezpieczeństwa rozumiemy zbiór reguł rządzących zachowaniem użytkowników, które mają na celu zabezpieczanie integralności systemu informatycznego i przetwarzanych w nim danych. Polityka Bezpieczeństwa dotyczy całego procesu korzystania z informacji niezależnie od sposobów jej gromadzenia i przetwarzania. Akceptacja Akceptacja i zrozumienie potrzeby stworzenia i utrzymania polityki bezpieczeństwa przez kierownictwo organizacji ma fundamentalne znaczenie Polityka bezpieczeństwa informacji Celem jest zabezpieczenie jednostki organizacyjnej przez nieuprawnionym udostępnieniem informacji. Polityka bezpieczeństwa - dokument zapisany i udostępniony wszystkim zainteresowanym osobom. Polityka bezpieczeństwa musi być zrozumiana przez pracowników firmy i użytkowników sieci. W dokumencie PB określa się zalecenia dotyczące systemów informatycznych i ich zabezpieczania, ale także: obiegu dokumentów wewnątrz jednostki; klasyfikację poziomów dostępu do informacji; zasady uzyskiwania fizycznego dostępu do pomieszczeń. Wdrożenie polityki bezpieczeństwa wiąże się ze spadkiem efektywności i wygody pracy - konieczny jest więc pewien kompromis. Etapy realizacji polityki bezpieczeństwa Zaprojektowanie; Zaimplementowanie; Zarządzanie (w tym monitorowanie i okresowe audyty bezpieczeństwa). Zakres polityki bezpieczeństwa definicja celu i misji polityki bezpieczeństwa, standardy i wytyczne, których przestrzegania wymagamy kluczowe zadania do wykonania, zakresy odpowiedzialności.

3 Procedury postępowania z informacją Jednym z elementów polityki bezpieczeństwa informacji są procedury, które zabezpieczają organizację przed utratą informacji w czasie jej przenoszenia. Istnieje kilka metod wprowadzenia takich zabezpieczeń, na przykład: oznakowanie i sklasyfikowanie każdego nośnika zawierającego informacje; rejestrowanie faktu wyniesienia z miejsca przechowywania każdej informacji o większym stopniu poufności; przechowywanie nośników zgodnie z zaleceniami producentów; opisanie wszystkich kopii informacji istotnych dla organizacji. Administrator Bezpieczeństwa Informacji Odpowiedzialny bezpośrednio przed kierownictwem organizacji nie będący administratorem systemu/sieci. Zadania ABI: nadzór nad procesem tworzenia systemu zabezpieczeń, opracowywanie procedur; definiowanie zdarzeń podlegających audytowi; kontrola dzienników systemowych. Zarządzanie bezpieczeństwem systemów informatycznych IT security management to zespół procesów zmierzających do osiągnięcia i utrzymywania ustalonego poziomu bezpieczeństwa. określenie celów (co należy chronić); strategii (w jaki sposób); reguł polityki bezpieczeństwa systemów informatycznych w instytucji (jakie konkretne przedsięwzięcia należy podjąć); identyfikowanie i analizowanie zagrożeń dla zasobów; identyfikowanie i analizowanie ryzyka; określenie adekwatnych zabezpieczeń; monitorowanie wdrożenia, eksploatacji (skuteczności) zabezpieczeń; opracowanie i wdrożenie programu szkoleniowo uświadamiającego; wykrywanie incydentów i reakcja na nie. Zarządzanie bezpieczeństwem Zarządzanie bezpieczeństwem systemów informatycznych obejmuje zbiór procesów związanych z bezpieczeństwem. Kluczowym jest tu proces zarządzania ryzykiem z analizą ryzyka. Istotnymi z punktu widzenia bezpieczeństwa są również procesy zarządzania konfiguracją oraz zarządzania zmianami. Zarządzanie konfiguracją jest procesem śledzenia zmian w konfiguracji systemu pod kątem oddziaływania na już osiągnięty poziom bezpieczeństwa.

4 Ochrona IT jest procesem ciągłym Rozpoczynamy najczęściej od oceny ryzyka, będącego wynikiem m.in. nieprawidłowego funkcjonowania systemów IT, czynnika ludzkiego i nieadekwatnych mechanizmów kontroli wewnętrznej. Należy określić cel, przyczynę zagrożeń i zakres ochrony zasobów, odpowiedzialność, technologię itp. Zarządzanie zmianami jest procesem wykorzystywanym do identyfikacji nowych wymagań bezpieczeństwa wówczas, gdy w systemie informatycznym występują zmiany. Do takich zmian należy zaliczyć: zmiany sprzętowe; aktualizacje oprogramowania; nowe procedury; nowe funkcje; nowych użytkowników, w tym grupy użytkowników zewnętrznych i anonimowych; dodatkowe połączenia sieciowe i międzysieciowe. Dla każdej zmiany należy określić jej wpływ na bezpieczeństwo. Wyniki takich ocen powinny być udokumentowane. System Zarządzania Bezpieczeństwem Informacji (SZBI) wg standardów normy oraz stanowi kompleksowe podejście do ochrony informacji przetwarzanych w każdym rodzaju organizacji, wymagając odpowiedniego poziomu ich bezpieczeństwa w czasie poprzez nakaz stosowania adekwatnych zabezpieczeń. System SZBI tworzy ochronę dóbr informacyjnych w każdym punkcie ich przetwarzania i dostępu. Obejmuje ochronę fizyczną, zabezpieczenia dostępu do informacji a także bezpieczeństwo ich przetwarzania tak w formie tradycyjnej jak i informatycznej niezależnie od miejsca ich przetwarzania. Zajmuje się też zgodnością postępowania z informacjami chronionymi wg obowiązującego prawa. Obejmuje swym zakresem wymagalności, ludzi, procesy, infrastrukturę oraz systemy informatyczne. Zajmuje się problematyką odbudowy zasobów w przypadku zaistnienia nieprzewidzianych zdarzeń mających wpływ na ciągłość działania biznesowego kompleksowo traktując ryzyko biznesowe tj. zagrożenia i podatności na te zagrożenia. Zagrożenia i podatności Zgodnie z definicjami podanymi w polskiej normie terminologicznej PN-I-02000:1998: ZAGROŻENIE to potencjalne naruszenie zabezpieczenia systemu informatycznego; PODATNOŚĆ to wada lub luka w strukturze fizycznej, organizacji, procedurach, personelu, zarządzaniu, administrowaniu, sprzęcie lub oprogramowaniu, które może być wykorzystana do spowodowania szkód w systemie informatycznym. Samo istnienie podatności nie powoduje szkód. Podatność jest jedynie warunkiem lub zestawem warunków, które umożliwiają uszkodzenie systemu lub zakłócenie działalności użytkownika przez atak.

5 Zagrożenia bezpieczeństwa Natura zagrożeń: przypadkowe (nieświadomość lub naiwność użytkownika), efekt celowego działania (chęć zysku, poklasku lub odwetu): pochodzące z zewnątrz organizacji, pochodzące od środka organizacji. Przestępstwa komputerowe: włamanie do systemu komputerowego; nieuprawnione pozyskanie informacji; destrukcja danych i programów; sabotaż (sparaliżowanie pracy) systemu; piractwo komputerowe, kradzież oprogramowania; oszustwo komputerowe i fałszerstwo komputerowe; szpiegostwo komputerowe. Klasyfikacja zagrożeń Rodzaje zagrożeń: Utrata funkcjonalności (Denial of Service); Utrata (zniszczenie) danych; Modyfikacja danych; Wyciek danych. Źródła zagrożeń: klęski żywiołowe, kradzież, sabotaż; awarie sprzętu; błędy oprogramowania; błędy personelu; infekcje wirusami; włamywacze komputerowi; inne niesklasyfikowane. Źródła zagrożeń Analiza ryzyka Podział zagrożeń i środków im przeciwdziałających; Prawdopodobieństwo wystąpienia; Plan działania: Co może się stać i jak temu zapobiec? Na ile realne jest zagrożenie? Co robić w razie wystąpienia szkody lub nieudanej próby? Jaki poziom ochrony można uznać za zadowalający? Taki, który do sforsowania wymaga wykonania operacji żmudnych lub czasochłonnych, co uczyni atak nieatrakcyjnym lub nieekonomicznym.

6 Bezpieczeństwo informacji przy określaniu obowiązków i w zarządzaniu zasobami ludzkimi Uwzględnianie zasad bezpieczeństwa informacji w zakresach obowiązków służbowych Należy tak precyzować politykę bezpieczeństwa informacji, aby jasno z niej wynikało, do jakich danych powinien mieć dostęp dany pracownik danego działu. Sprawdzanie podczas naboru Dzięki sprawnej procedurze naboru nowych pracowników można uniknąć niebezpieczeństwa zagrożenia chronionej informacji. Można wtedy zweryfikować m.in. obraz psychologiczny kandydata ubiegającego się o pracę. Bezpieczeństwo fizyczne i środowiskowe Bardzo ważną kwestią jest bezpieczeństwo fizyczne i środowiskowe. Trzeba uwzględnić zabezpieczenie budynków, biur, szaf, sejfów itd. Jest to jeden z najważniejszych elementów systemu bezpieczeństwa informacji. Pozostawianie sprzętu użytkownika bez opieki. Pracownik jest sam w pokoju i wychodzi na chwilę, powinien zamykać pomieszczenie, gdyż nawet podczas chwilowej nieobecności może dojść do kradzieży danych. Działania socjotechniczne - polegają one na podaniu się za inną osobę i na podejmowaniu prób uzyskania od pracowników firmy chronionych informacji za pomocą rożnego rodzaju metod i technik podstępnych. Ochrona fizyczna Należy ustalić najważniejsze lokalizacje, w których znajdują się ważne dane lub urządzenia do ich przechowywania i przetwarzania. Po ustaleniu takich miejsc, należy ustanowić wokół nich odpowiednie bariery bezpieczeństwa, które będą chroniły informacje przed dostępem osób niepowołanych. Warto tu wymienić następujące technologie: karty magnetyczne wszelkiego rodzaju zabezpieczenia biometryczne wszelkiego rodzaju alarmy bramki z wykrywaczami metali recepcja ze strażnikiem weryfikacja osób wchodzących do budynku obowiązek korzystania z identyfikatorów odpowiednio wzmocnione ściany ekranowanie elektromagnetyczne Praca w obszarach bezpiecznych Obszary bezpieczne ustanawia się w miejscach zdefiniowanych jako bardziej newralgiczne, w których znajdują się ważniejsze i bardziej poufne informacje. Miejsca te muszą zostać lepiej zabezpieczone od innych. Szafy stalowe na dokumenty niejawne o nadanej klauzuli "POUFNE" Wymagania stawiane szafom do przechowywania dokumentów niejawnych zawarte są w Rozporządzeniu Rady Ministrów z dnia ( Dz. U. 208, poz. 1741) oraz Zarządzenia Ministra Obrony Narodowej z dnia r. w sprawie organizacji i funkcjonowania kancelarii tajnych. Polecane na akta osobowe.

7 Niszczarki, Magnetyczne niszczenie dysków, Wymazywanie danych Stosowanie mechanizmów bezpieczeństwa Zasada naturalnego styku z użytkownikiem Zabezpieczenie nie możne być postrzegane przez użytkowników jako nienaturalny element systemu, utrudniający pracę. Zasada minimalnego przywileju Użytkownikom należy udzielać uprawnień tylko i wyłącznie takich, które są niezbędne do zrealizowania ich pracy. Zasada domyślnej odmowy dostępu Jeśli na podstawie zdefiniowanych reguł postępowania mechanizmy obrony nie potrafią jawnie rozstrzygnąć, jaką decyzję podjąć wobec analizowanych operacji (np. nadchodzącego pakietu protokołu komunikacyjnego), to decyzją ostateczną powinna być odmowa dostępu (odrzucenie pakietu). Informacje chronione Akty prawne określają poziomy ważności informacji i wyróżniają kilka typów tajemnicy. Są to: tajemnica państwowa, będąca własnością Państwa tajemnica służbowa, będąca tajemnicą przedsiębiorstwa bądź instytucji tajemnica danych osobowych tajemnica skarbowa, statystyczna, bankowa, lekarska i inne. Na wewnętrzne potrzeby organizacji możemy informacje podzielić na: Niesklasyfikowane (publikowane) Niesklasyfikowane (niepublikowane) Zastrzeżone. Szacowanie wartości posiadanych informacji jest w każdym przypadku ryzykowne. Klasyfikacja informacji Należy sporządzić dokładny spis informacji znajdujących się w firmie i określić poziomy dostępu uzyskiwanego przez rożne osoby. Kto odpowiada za ochronę danych osobowych? Administrator danych osobowych Podmiot, któremu administrator powierzył przetwarzanie danych Administrator bezpieczeństwa informacji Osoba upoważniona do przetwarzania danych osobowych. Administrator danych - organ, jednostka organizacyjna, podmiot lub osoba decydujące o celach i środkach przetwarzania danych osobowych. Kategorie obowiązków administratora danych obowiązki informacyjne (w stosunku do podmiotu danych art.24 i art.25 oraz względem innych administratorów danych (art.35ust.3); obowiązki szczególnej staranności (art.26); udostępnienie danych osobowych (art.29);

8 wymogi powierzenia przetwarzania danych osobowych (art.31); obowiązki realizacji żądań osoby, której dane dotyczą (art.32-35); obowiązek zabezpieczenia technicznego i organizacyjnego zbiorów danych(art.36); zgłoszenie zbioru danych do rejestracji GIODO/aktualizacja zgłoszenia(art.40-46).

9 Hasła Hasła nadal stanowią podstawową metodę uwierzytelnienia użytkownika metody biometryczne (odcisk palca, rozpoznawanie twarzy itd..) są kłopotliwe i niepewne. Systemy narzucają wymagania co do mocy hasła, równocześnie często ograniczając jego długość Istnieją programy łamiące powyżej 2 mld haseł na sekundę z użyciem pojedynczego komputera domowego, odpowiednio więcej z użyciem wielu komputerów lub sprzętu specjalizowanego. Realna szybkość łamania haseł online o kilka rzędów niższa. Moc haseł Przeciętny słownik ~ wyrazów (105), Kombinacje słowo+cyfra (niebieski 7) ~1 mln (106), Kombinacje 6-znakowe [a-z] ~300 mln (3 108), Kombinacje dwóch słów 10 mld (1010), Kombinacje 8-znakowe [a-z] ~200 mld (2 1011), Kombinacje 8-znakowe [A-Za-z0-9] , Kombinacje trzech słów 1015, Kombinacje czterech słów 1020, MySpace, 2006: 92% użytkowników ma hasła złożone wyłącznie z małych liter. Czas łamania haseł Hasła Hasło można: odgadnąć, np. metodą przeszukiwania wyczerpującego lub słownikową; podsłuchać w trakcie niezabezpieczonej transmisji; wykraść z systemowej bazy haseł użytkowników; pozyskać inną metodą (np. kupić); hasła się starzeją czas, przez który możemy z dużą pewnością polegać na tajności naszego hasła skraca się nieustannie. Czego nie używać w hasłach Danych kojarzących się z daną osobą: Danych osobowych (imię, nazwisko, przezwisko, data/miejsce urodzenia, telefon, numer rejestracyjny) własnych lub członków rodziny. Słów związanych z hobby, imion zwierząt domowych. Kombinacji łatwych do wpisania, np , , qwerty, zxcvbnm, 1qaz2wsx Hasła Nie wolno: wybierać hasła o długości krótszej niż 6 znaków; zmieniać hasła tak, by nowe było zależne od starego (np. z Kowalski1 na Kowalski2); zapisywać hasła w widocznych lub łatwo dostępnych miejscach (jak np. fragment biurka zakryty klawiaturą, wnętrze szuflady); informować nikogo o swoim haśle. Hasła

10 Należy wybierać długie i mało znane słowo lub frazę (kombinacja rożnych znaków); wybrać hasło w sposób na tyle losowy na ile tylko możliwe; zmieniać hasło możliwie często, lecz w nieprzewidywalny sposób; zmienić hasło natychmiast, jak tylko rodzi się podejrzenie, że ktoś mógł je poznać. Warto opracować własny algorytm generowania haseł wybór pierwszych liter słów ulubionej fraszki, ostatnich znaków z wersów wiersza lub wybranej strony książki; zlecić systemowi wygenerowanie trudnego hasła. Uwierzytelnianie jednokrotne (SSO single sign-on) Procedury uwierzytelniania jednokrotnego są częściowym rozwiązaniem problemu ochrony danych uwierzytelniających przed złamaniem w systemie wielozasobowym, np. sieci komputerowej z wieloma serwerami. Ideą procedury uwierzytelniania jednokrotnego jest minimalizacja ilości wystąpień danych uwierzytelniających w systemie - hasło powinno być podawana jak najrzadziej. Zgodnie z tą zasadą, jeśli jeden z komponentów systemu dokonał pomyślnie uwierzytelniania użytkownika, pozostałe komponenty ufać będą tej operacji. KLIENT -> Hasło -> SERWER Hasła jednorazowe (OTP one-time passwords) Istota wykorzystania haseł jednorazowych wynika zamiaru ochrony ich przed przechwyceniem i nieautoryzowanym wykorzystanie, w przyszłości. Polega na uczynieniu ich bezwartościowymi po przechwyceniu. Opiera się na użyciu danej postaci hasła tylko raz. Komunikacja między podmiotami procesu uwierzytelniania może być zatem jawna. Hasła jednorazowe generowane są przy pomocy listy haseł, synchronizacji czasu lub metody zawołanie-odzew. Dostępne są najczęściej w następujących postaciach: listy papierowe, listy-drapki, tokeny programowe i tokeny sprzętowe. KLIENT + ID -> Hasło + ID -> SERWER + ID Metoda zawołanie - odzew W metodzie zawołanie-odzew (challenge-response) serwer pyta o nazwę użytkownika, a następnie przesyła unikalny ciąg ( zawołanie"). Klient koduje otrzymany ciąg (np. swoim hasłem lub innym tajnym parametrem pełniącym rolę klucza) i odsyła jako odzew". Serwer posługując się identycznym kluczem weryfikuje poprawność odzewu. Inne mechanizmy uwierzytelniania Mogą to być np. karty magnetyczne, karty elektroniczne czy tokeny USB. W przypadku ludzi, można posłużyć się cechami osobowymi (uwierzytelnianie biometryczne), takich jak m.in.: klucz DNA; małżowina uszna; geometria twarzy; termogram twarzy; termogram dłoni;

11 odcisk palca (dermatoglify); geometria dłoni; tęczówka oka; odcisk dłoni; obraz siatkówki; podpis odręczny; głos. Nienaruszalność informacji (integralność) Jest to ochrona danych przed ich nieautoryzowanym zmodyfikowaniem (dostępem do zapisu, w odróżnieniu od poufności, która oznacza ochronę przed nieautoryzowanym dostępem do odczytu). Zagrożenia Zagrożeniem nienaruszalności informacji jest celowa lub przypadkowa modyfikacja danych przez nieuprawnionych użytkowników bądź oprogramowanie (np. wirusowe). Mechanizmy obrony obejmują w szczególności: kontrolę dostępu do danych m.in. mechanizmy list kontroli dostępu (Access Control Lists, ACL); sumy kontrolne zbiorów danych (np. plików dyskowych); kryptograficzne sumy kontrolne i podpis elektroniczny; rejestrację operacji na danych (auditing) - niezbędną dla formalnego wykrycia naruszeń integralności; zwykle spotyka się podział danych audytu co najmniej na rejestr zdarzeń systemowych oraz rejestr zdarzeń aplikacji; kontrolę antywirusową. Bezpieczeństwo aplikacji Nie ma bezpiecznych aplikacji, są tylko niedokładnie przetestowane Bezpieczeństwa nie da się osiągnąć poprzez zainstalowanie zabezpieczeń Firewall nie chroni przed atakami na aplikację, Testy penetracyjne nie wykrywają wszystkiego, Bezpieczne aplikacje stają się niebezpieczne Poziom bezpieczeństwa można utrzymać jedynie przy stałym nakładzie środków AUDYT INFORMATYCZNY Jest zwykle rozumiany jako: analiza wsparcia przez poszczególne systemy informatyczne funkcji biznesowych, ocena możliwości dostosowania i rozbudowy zasobów informatycznych zgodnie z potrzebami przedsiębiorstwa, ocena bezpieczeństwa zasobów informatycznych przedsiębiorstwa i przyjętej polityki ochrony danych, sposób uzyskania wyczerpujących i aktualnych informacji o zainstalowanym oprogramowaniu, posiadanych licencjach oraz zasobach sprzętowych.

12 Standardy Standard to wzorzec zatwierdzony przez instytucję normalizacyjną - norma lub przyjęty nieformalnie wskutek dużego upowszechnienia. Standardy ustanawiające tzw. miary gwarantowanej odporności: TCSEC2 (Trusted Computer System Evaluation opracowany na zlecenie Departamentu Obrony Stanow Zjednoczonych, 1983); ITSEC3 (Information Technology Security Evaluation Criteria - opublikowany w 1991 roku wersja pod patronatem Komisji Europejskiej; Common Criteria (opublikowany także jako norma ISO/IEC-15408); Standardy ustanawiające tzw. najlepsze praktyki, informujące o tym, jakie cechy powinny mieć bezpieczne" systemy teleinformatyczne i jak bezpiecznie" nimi zarządzać, np. BS7799, NIST, czy zapisane w normach takich jak PN-I czy PNISO/IEC 27001:2007.

13 Klasyfikacja zagrożeń 1: ze względu na charakter przyczyny: świadoma i celowa działalność człowieka - chęć rewanżu, szpiegostwo, wandalizm, terroryzm, chęć zaspokojenia własnych ambicji wydarzenie losowe - błędy i zaniedbania ludzkie, awarie sprzętu i oprogramowania, temperatura, wilgotność, zanieczyszczenie powietrza, zakłócenia w zasilaniu, klęski żywiołowe, wyładowania atmosferyczne, katastrofy Klasyfikacja zagrożeń 2: ze względu na umiejscowienie źródła zagrożenia: wewnętrzne - mające swoje źródło wewnątrz organizacji użytkującej system informacyjny zewnętrzne - mające swoje źródło na zewnątrz organizacji (poprzez sieć komputerową, za pośrednictwem wirusów komputerowych) Trzeba pamiętać, że przyczyną kryzysu jest zawsze najsłabiej chroniony element Sposoby budowy wysokiego poziomu bezpieczeństwa systemu Typy najczęściej spotykanych zagrożeń w sieci komputerowej fałszerstwo komputerowe, włamanie do systemu, czyli tzw. hacking, oszustwo, a w szczególności manipulacja danymi, manipulacja programami, oszustwa, jakim są manipulacje wynikami, sabotaż komputerowy, piractwo, podsłuch, niszczenie danych oraz programów komputerowych Klasyfikacja ataków na systemy komputerowe: Wpływ poszczególnych czynników na bezpieczeństwo systemów komputerowych: Na tworzenie warunków bezpieczeństwa systemów komputerowych w firmie składają się działania techniczne i działania organizacyjne Dla zachowania bezpieczeństwa przetwarzania informacji stosowane są różne techniki: Łatwiejsze do zdefiniowania i do wyegzekwowania są z reguły działania techniczne Najważniejsze z działań technicznych polegają na szyfrowaniu przesyłanych i przechowywanych informacji oraz korzystanie z techniki podpisów elektronicznych Bezpieczne algorytmy realizacji transakcji w sieciach komputerowych oparte są na kryptografii Najczęściej stosowanymi algorytmami kryptograficznymi z kluczem jawnym, mającymi na celu ochronę danych podczas transmisji internetowych wykorzystywanych w handlu elektronicznym, są algorytmy RSA i ElGamala.

14 Zasoby systemu informacyjnego zapewniające jego prawidłowe i bezpieczne funkcjonowanie: ludzkie - potencjał wiedzy ukierunkowany na rozwiązywanie problemów systemu; użytkownicy pełniący role nadawców i odbiorców informacji oraz adresaci technologii informacyjnych; informacyjne - zbiory danych przeznaczone do przetwarzania (bazy danych, metod, modeli, wiedzy); proceduralne - algorytmy, procedury, oprogramowanie; techniczne - sprzęt komputerowy, sieci telekomunikacyjne, nośniki danych. Zasoby systemu informatycznego są cenne i muszą być chronione Należy jednak pamiętać o bardzo ważnej zasadzie: Nie należy na ochronę zasobu przeznaczać więcej niż jest on wart. Techniki ograniczania ryzyka są kosztowne, więc trzeba ustalić opłacalny poziom zabezpieczeń Punkt równowagi zależy od stopnia krytyczności zabezpieczanego systemu Sama wartość zasobu to nie wszystko. Przy szacowaniu należy również wziąć pod uwagę kilka czynników: straty spowodowane jego utratą, straty wynikające z nieosiągniętych zysków, koszty straconego czasu, koszty napraw i zmian, koszty pozyskania nowego zasobu. Głównym kryterium przy tworzeniu hierarchii ważności zasobów jest ich wpływ na funkcjonowanie systemu: zasoby strategiczne - decydują o strategii przedsiębiorstwa. Wymagania ochronne bardzo wysokie, zasoby krytyczne mają wpływ na bieżące funkcjonowanie przedsiębiorstwa. Wymagania ochronne wysokie, zasoby autoryzowane podlegają ochronie na podstawie ogólnie obowiązujących przepisów. Wymagania ochronne umiarkowane, zasoby powszechnie dostępne ogólnie dostępne. Wymagania ochronne brak. Nieco dokładniejsza klasyfikacja stopnia poufności danych Dobrze zaprojektowany system informacyjny musi być gotowy do odparcia ataku z każdej strony! Jest zawsze mnóstwo osób, które chcą się dostać do zawartości naszych komputerów

15 Większość poważnych incydentów związanych z zagrożeniem systemów informatycznych było spowodowane nieostrożnością personelu, który miał legalny dostęp do systemu Zabezpieczenia techniczne Sposobem zwiększenia bezpieczeństwa danych jest tworzenie kopii Rodzaje kopii stosowane do zabezpieczenia systemu Narzędzia do archiwizacji danych Zaawansowane systemy pamięci zewnętrznej Wymogi stawiane systemom pamięci zewnętrznej: duża pojemność, odporność na awarie, możliwość współdzielenia danych (urządzenia są współużytkowane przez wiele systemów komputerowych). Systemy typu SAS (Server Attached Storage) Systemy typu NAS (Network Attached Storage) Systemy typu SAN (Storage Area Network) Kopie zapasowe można podzielić ze względu na strategie dodawania plików do tworzonej kopii: Kopia pełna kopiowaniu podlegają wszystkie pliki, niezależnie od daty ich ostatniej modyfikacji. Wada: wykonywania kopii jest czasochłonne. Zaleta: odzyskiwanie danych jest szybkie Kopia różnicowa kopiowane są pliki, które zostały zmodyfikowane od czas utworzenia ostatniej pełnej kopii. Wada: odtworzenie danych wymaga odtworzenia ostatniego pełnego backupu oraz ostatniej kopii różnicowej Zaleta: czas wykonywania kopii jest stosunkowo krótki (na początku!) Kopia przyrostowa kopiowane są jedynie pliki, które zostały zmodyfikowane od czasu tworzenia ostatniej pełnej lub przyrostowej kopii. Wada: przed zrobieniem tej kopii należy wykonać kopie pełną oraz odtworzenie danych wymaga odtworzenia ostatniego pełnego backupu oraz wszystkich kopii przyrostowych Zaleta: czas wykonywania kopii jest dość krótki

16 Kopia przyrostowa Główne przyczyny awarii systemów Sposoby zapewnienia dostępności pracy systemu informatycznego oraz ich koszty Co oznacza określony poziom niezawodności i dostępności systemu informatycznego Do utworzenia bezpiecznego środowiska organizacji konieczne jest połączenie echnologii z ludźmi i procesami. Obszary, w których ryzyko może obejmować dane zgromadzone w systemie informacyjnym. Ważną techniką zwiększającą bezpieczeństwo systemów nformatycznych jest szyfrowanie komunikatów i danych. Istnieje obecnie wiele technik szyfrowania ale powszechnie używane są głównie dwie: Technika symetryczna (klucza tajnego) Technika asymetryczna (klucza publicznegoi prywatnego) Ogólny schemat procesu szyfrowania Symetryczne algorytmy kryptograficzne w trakcie szyfrowania i deszyfrowania wykorzystywany jest ten sam klucz Problemy związane z szyfrowaniem symetrycznym sposób przekazania klucza, konieczność stosowanie oddzielnego klucza dla każdej pary nadawca - odbiorca. Zalety i wady algorytmów symetrycznych Lista kilku popularnych algorytmów symetrycznych: BLOWFISH, DES, IDEA, RC2, RC4, SAFER. Schemat szyfrowania algorytmem DES Asymetryczne algorytmy kryptograficzne w trakcie szyfrowania i deszyfrowania wykorzystywane są inne klucze (tzw. klucz publiczny i klucz prywatny) Użycie klucza prywatnego i publicznego Zalety i wady algorytmów asymetrycznych Przesyłanie wiadomości kodowanej przy pomocy dwóch kluczy Schemat szyfrowania hybrydowego Proces deszyfrowania w systemie hybrydowym Szyfrowane powinny być nie tylko przesyłane komunikaty, ale także dane przechowywane w bazie danych CO więcej: Pytanie o RAID. (sposób zapisu danych) Kilka pytań (może 3-4 na 20) dotyczyć będzie samodzielnego myślenia (zdaję sobie sprawę, że może być ciężko, jednak liczę na Państwa!).