BEZPIECZEŃSTWO INFORMACYJNE I CYBERNETYCZNE

Transkrypt

1

2 BEZPIECZEŃSTWO INFORMACYJNE I CYBERNETYCZNE Prowadzący: mgr Arkadiusz Kozak Biegły Sądu Okręgowego w Szczecinie w zakresie teleinformatyki

3 Bezpieczeństwo informacyjne i cybernetyczne bezpieczeństwo systemów komputerowych; bezpieczeństwo danych informatycznych; bezpieczeństwo fizyczne transmisji danych

4 Źródła zagrożeń bezpieczeństwa informacyjnego i cybernetycznego osoba (-y) naruszająca (-e) zasady bezpieczeństwa danego systemu, złośliwe oprogramowanie, błędy w oprogramowaniu, zła organizacja; niewłaściwe działanie sieci teleinformatycznych, siły niezależne od człowieka (pożar, powódź, ).

5 Zagadnienia bezpieczeństwa informacyjnego i cybernetycznego ochrona systemów teleinformatycznych przed złośliwym oprogramowaniem. ochrona systemów teleinformatycznych przed włamaniami, ochrona przed kradzieżą danych i oprogramowania, ochrona przed przestępstwami komputerowymi, ochrona poufności danych, niszczenie danych i programów, dostęp i paraliż pracy systemów komputerowych, uwierzytelnienie i autoryzacją użytkowników, hostów i usług, szpiegostwo komputerowe, autentyczność i integralność danych,

6 Realizacja Bezpieczeństwa Informacyjnego i Cybernetycznego stworzenie zasad autoryzacji i kontroli dostępu definiowanie zasad poufności i integralności danych określenie mechanizmów zakresu dostępności do informacji

7 Zarządzanie bezpieczeństwem informacyjnym i cybernetycznetycznym określenie polityki bezpieczeństwa dla systemów teleinformatycznych, tworzenie norm i zaleceń dla poprawy bezpieczeństwa, określanie klas bezpieczeństwa systemów teleinformatycznych, definiowanie mechanizmów uwierzytelniania, monitorowanie zabezpieczeń (administrowanie systemami), określenie narzędzi informatycznych niezbędnych do analizy zabezpieczeń, aktualizacja systemów operacyjnych i aplikacji. opracowanie zasad dostępu do zasobów, stała analiza procedur ryzyka związanego z bezpieczeństwem teleinformatycznym, wypracowanie procedur reagowania i dokumentowania incydentów naruszenia bezpieczeństwa,

8 Uregulowania w zakresie bezpieczeństwa informacyjnego i cybernetycznetycznego Standardy ISO związane z bezpieczeństwem teleinformatycznym Standard bezpieczeństwa BS 7799 (British Standards Institute), Dokumenty RFC (ang. Request for Comments) Standard bezpieczeństwa w sieciach LAN i WLAN

9 Uregulowania w zakresie bezpieczeństwa informacyjnego i cybernetycznetycznego ROZPORZĄDZENIE PREZESA RADY MINISTRÓW z dnia 20 lipca 2011 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego. 1. Rozporządzenie określa: 1) podstawowe wymagania bezpieczeństwa teleinformatycznego, jakim powinny odpowiadać systemy teleinformatyczne, o których mowa w art. 48 ust. 1 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych, zwanej dalej ustawą ; 2) niezbędne dane, jakie powinna zawierać dokumentacja bezpieczeństwa systemów teleinformatycznych oraz sposób jej opracowywania.

10 Uregulowania w zakresie bezpieczeństwa informacyjnego i cybernetycznetycznego ROZPORZĄDZENIE PREZESA RADY MINISTRÓW z dnia 20 lipca 2011r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego. Podstawowe wymagania bezpieczeństwa teleinformatycznego Bezpieczeństwo informacji niejawnych przetwarzanych w systemie teleinformatycznym zapewnia się przez wdrożenie spójnego zbioru zabezpieczeń w celu zapewnienia poufności, integralności i dostępności tych informacji.

11 Uregulowania w zakresie bezpieczeństwa informacyjnego i cybernetycznetycznego ROZPORZĄDZENIE PREZESA RADY MINISTRÓW z dnia 20 lipca 2011 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego. 2. Cel, o którym mowa w ust. 1, osiąga się przez: 1) objęcie systemu teleinformatycznego procesem zarządzania ryzykiem dla bezpieczeństwa informacji niejawnych przetwarzanych w systemie teleinformatycznym, zwanego dalej zarządzaniem ryzykiem w systemie teleinformatycznym ; 2) ograniczenie zaufania, polegające na traktowaniu innych systemów teleinformatycznych jako potencjalnych źródeł zagrożeń oraz wdrożeniu w systemie teleinformatycznym zabezpieczeń kontrolujących wymianę informacji z tymi systemami teleinformatycznymi; 3) wprowadzenie wielopoziomowej ochrony systemu teleinformatycznego, polegającej na stosowaniu zabezpieczeń na możliwie wielu różnych poziomach organizacji ochrony systemu teleinformatycznego, w celu ograniczenia występowania przypadków, w których przełamanie pojedynczego zabezpieczenia skutkuje naruszeniem celu, o którym mowa w ust. 1;

12 Uregulowania w zakresie bezpieczeństwa informacyjnego i cybernetycznetycznego ROZPORZĄDZENIE PREZESA RADY MINISTRÓW z dnia 20 lipca 2011 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego. 2. Cel, o którym mowa w ust. 1, osiąga się przez: 4) wykonywanie okresowych testów bezpieczeństwa; 5) ograniczanie uprawnień, polegające na nadawaniu użytkownikom systemu teleinformatycznego wyłącznie uprawnień niezbędnych do wykonywania pracy; 6) minimalizację funkcjonalności, polegającą na instalowaniu, uaktywnianiu i wykorzystywaniu w systemie teleinformatycznym wyłącznie funkcji, protokołów komunikacyjnych i usług niezbędnych do prawidłowej realizacji zadań, do których system teleinformatyczny został przeznaczony.

13 Uregulowania w zakresie bezpieczeństwa informacyjnego i cybernetycznetycznego Ustawa o podpisie elektronicznym, z dnia 18 września 2001 r. Dz. U Art. 1. Ustawa określa warunki stosowania podpisu elektronicznego, skutki prawne jego stosowania, zasady świadczenia usług certyfikacyjnych oraz zasady nadzoru nad podmiotami świadczącymi te usługi. Dz.U nr 128 poz Rozporządzenie Rady Ministrów z dnia 7 sierpnia 2002 r. w sprawie określenia warunków technicznych o organizacyjnych dla kwalifikowanych podmiotów świadczących usługi certyfikacyjne, polityk certyfikacji dla kwalifikowanych certyfikatów wydawanych przez te podmioty oraz warunków technicznych dla bezpiecznych urządzeń służących do składania i weryfikacji podpisu elektronicznego.

14 Uregulowania w zakresie bezpieczeństwa informacyjnego i cybernetycznetycznego Dz.U nr 128 poz Rozporządzenie Rady Ministrów z dnia 7 sierpnia 2002 r. w sprawie określenia warunków technicznych o organizacyjnych dla kwalifikowanych podmiotów świadczących usługi certyfikacyjne, polityk certyfikacji dla kwalifikowanych certyfikatów wydawanych przez te podmioty oraz warunków technicznych dla bezpiecznych urządzeń służących do składania i weryfikacji podpisu elektronicznego. 1. Rozporządzenie określa: 1) szczegółowe warunki techniczne, jakim powinny odpowiadać bezpieczne urządzenia do składania podpisów elektronicznych oraz bezpieczne urządzenia do weryfikacji podpisów elektronicznych; 2) podstawowe wymagania organizacyjne i techniczne dotyczące polityk certyfikacji dla kwalifikowanych certyfikatów; 3) szczegółowe warunki techniczne i organizacyjne, które muszą spełniać kwalifikowane podmioty świadczące usługi certyfikacyjne.

15 Uregulowania w zakresie bezpieczeństwa informacyjnego i cybernetycznetycznego Dz.U nr 144 poz Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną. Ustawa określa: 1) obowiązki usługodawcy związane ze świadczeniem usług drogą elektroniczną, 2) zasady wyłączania odpowiedzialności usługodawcy z tytułu świadczenia usług drogą elektroniczną, 3) zasady ochrony danych osobowych osób fizycznych korzystających z usług świadczonych drogą elektroniczną.

16 Uregulowania w zakresie bezpieczeństwa informacyjnego i cybernetycznetycznego Dz.U nr 64 poz. 565 Ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne. Dz.U nr 24 poz. 83 Ustawa z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych. Dz.U nr 90 poz. 631 Obwieszczenie Marszałka Sejmu Rzeczypospolitej Polskiej z dnia 17 maja 2006 r. w sprawie ogłoszenia jednolitego tekstu ustawy o prawie autorskim i prawach pokrewnych Dz.U nr 128 poz Ustawa z dnia 27 lipca 2001 r. o ochronie baz danych.

17 Uregulowania w zakresie bezpieczeństwa informacyjnego i cybernetycznetycznego Dz.U nr 133 poz. 883 Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Dz.U nr 101 poz. 926 Obwieszczenie Marszałka Sejmu Rzeczypospolitej Polskiej z dnia 17 czerwca 2002 r. w sprawie ogłoszenia jednolitego tekstu ustawy o ochronie danych osobowych. Dz.U nr 88 poz. 553 Ustawa z dnia 6 czerwca 1997 r. - Kodeks karny. Dz.U nr 182 poz Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych

18 Pytania?