Ochrona zasobów informatycznych

Zasób

–

wszystko to, co jest potrzebne do

wytworzenia

wyrobu lub usługi, a czego brak spowodowałby

niewykonanie planu

Zabezpieczenie

zasobów informatycznych

obejmuje

zarówno ochronę systemów komputerowych, ludzi

i oprogramowania, jak i informacji przed celowymi

lub przypadkowymi zniszczeniami.

Zagrożenia

są zdarzeniami lub przyczynami

zdarzeń

powodującymi straty finansowe podczas budowy

i eksploatacji systemu informacyjnego.

Pojęcie zabezpieczenia i zagrożenia

W zależności od czynnika który

wywołuje zagrożenia możemy je

podzielić na:

•

Losowe zewnętrzne

– jak np.: wpływ

temperatury, wilgoci, wyładowania

atmosferyczne, awarie systemu zasilania,

instalacji wodociągowej, katastrofy budowlane,

kataklizmy, zamieszki zbrojne itp.

•

Losowe wewnętrzne

–

jak np.: błędy

użytkowników, przypadkowe zagubienia lub

zniszczenia danych spowodowane

lekkomyślnością lub przeciążeniem pracą

personelu, błędy administratora, wadliwa

konfiguracja systemu, defekty sprzętu i

oprogramowania.

Intencjonalne:

•

Pasywne

– monitorowanie sieci dla przejęcia haseł,

danych, prywatnych wiadomości, podgląd, analiza

ruchu w sieci.

•

Aktywne

– bezprawna modyfikacja, ujawnienie i

usuwanie informacji, modyfikacja programów i

informacji przy pomocy konia trojańskiego, wirusa i

robaka komputerowego itp., oszustwa bankomatowe,

fałszowanie urządzeń wejścia lub wyjścia (np. kart

magnetycznych lub mikroprocesorowych), oszustwa w

systemach sprzedaży, powielania programów

komputerowych.

•

Zakup i dystrybucja

nielegalnymi kanałami

sprzętu

i oprogramowania, wykorzystanie służbowego sprzętu

do celów prywatnych, nieraz komercyjnych.

Działania komputerowych

włamywaczy w literaturze są

oceniane jako stosunkowo mało

szkodliwe.

Należy jednak pamiętać, że w

przypadku systemów działających w

sieci połączonych

z Internetem, w związku z jego

rozmiarami, nawet niewielkie

prawdopodobieństwo zagrożenia

przekładać się może na kilka bądź

kilkanaście prób zdalnego ataku

dziennie.

Wrogie działania przeciwko

systemom informacyjnym

określamy następującymi

terminami:

•

Hacking

–

przełamywanie systemów ochrony, ale

zazwyczaj działanie to nie wyrządza większych szkód,

•

Cracking

–

przełamywanie systemów ochrony,

zwykle związane

z wyrządzeniem szkód,

•

Phreaking, dialing

– podszywanie się pod numer

dostępowy innego użytkownika i wykorzystanie go do

własnych celów,

•

Sniffing

–

podsłuchiwanie systemu przesyłania

informacji w celu przechwycenia haseł,

•

Phising

–

fałszywe e-maile z żądaniem

potwierdzenia danych,

•

Web.hijacking

–

przekierowywanie klienta na

strony fałszywych banków, sklepów.

Do programów destrukcyjnych,

które wykorzystują system bez

wiedzy i zgody użytkownika

zaliczamy:

•

Wirusy

– są to programy ukrywające się przed

użytkownikiem

i powielające się w systemie komputerowym przy

wykorzystaniu mechanizmów systemu operacyjnego,

bądź oprogramowania użytkowego.

•

Konie trojańskie

– są to programy podejmujące w

sposób ukryty przed użytkownikiem działania w

systemie komputerowym.

•

Backdoor

– luki w programie bądź systemie

operacyjnym, pozostawiane celowo przez programistę

lub wprowadzone przez wirusa bądź konia

trojańskiego, umożliwiające uzyskanie niepowołanej

osobie dostęp do zasobów komputera.

•

Robaki internetowe

– można uznać za szczególny

rodzaj wirusów – do namnażania wykorzystują one

mechanizmy internetowe rozsyłając się do kolejnych

nosicieli.

Klasyfikacja metod zachowania

bezpieczeństwa systemów

komputerowych i informacji

obejmuje:

zabezpieczenie fizyczne

zabezpieczenie techniczne

zabezpieczenie organizacyjno -

administracyjne

ochronę prawną

zabezpieczenie programowe

Na zabezpieczenia fizyczne

składają się:

•

ochrona przeciwpożarowa

•

ochrona przeciwwłamaniowa

•

ochrona przeciw innym katastrofom

(np. zalanie wodą)

•

kontrola dostępu do obiektu i ruchu po

nim

•

wybór pomieszczeń dla systemu

komputerowego

•

dobór materiałów budowlanych

•

dobór rozmieszczenia drzwi i okien

w pomieszczeniach komputerowych

Na zabezpieczenie techniczne

systemu komputerowego składają

się:

•

dobór właściwej konfiguracji

sprzętowej komputera

•

dublowanie dysków twardych i ich

archiwizacja

•

blokowanie sprzętowe dostępu do

klawiatury,

napędów, dysków

•

urządzenia do podtrzymywania

zasilania

•

klucze cyfrowe na kartach do

szyfrowania

i deszyfrowania

Zabezpieczenia organizacyjno –

administracyjne tworzą:

•

pisemne instrukcje określające tryb

postępowania zarówno w warunkach

normalnej pracy, jak

i w sytuacjach wyjątkowych

•

określenie poziomu uprawnień dostępu

•

ochrona dokumentacji dotyczącej

sprzętu, oprogramowania itp.

•

nadzór nad pracami serwisowymi

pracowników zewnętrznych

•

rejestrowanie wszelkich awarii

•

właściwa polityka kadrowa

•

szkolenie personelu

Ochrona prawna obejmuje:

•

zakaz kopiowania oprogramowania bez

zgody właściciela

•

zakaz wynoszenia oprogramowania

będącego własnością instytucji

•

prowadzenie dokumentacji

wykorzystania licencjonowanego

oprogramowania

Strategia zabezpieczeń zasobów

informatycznych

Raport Orange Book opublikowany przez

Ministerstwo Obrony Stanów Zjednoczonych w

1985 r. definiuje 4 kategorie zabezpieczeń:

Kategoria D – minimalna ochrona

Nie zawiera mechanizmów

zabezpieczających

i zapewnia minimalną ochronę. Do tej

grupy zaliczamy takie systemy jak MS

Windows.

Kategoria C – ochrona uznaniowa

Jest to mechanizm ochrony dostępu typu uznaniowego

oraz mechanizm ponownego wykorzystania obiektu.

Dostęp uznaniowy

oznacza, że to użytkownik może

odebrać lub nadać komuś innemu prawa dostępu do

posiadanej przez niego informacji, np. plików.

Mechanizm ponownego wykorzystania

z kolei zapewnia, że zawartość nośnika pamięci

zostanie wyczyszczona zanim zostanie na nowo

przydzielona użytkownikowi. Kategoria C obejmuje

dwie klasy:

•

Klasa C1 – zawiera mechanizmy pozwalające na nadanie

grupie użytkowników, zależnych od gospodarza –

właściciela systemu, uprawnień do korzystania z systemu.

•

Klasa C2 - zawiera mechanizmy identyfikacji tzw. system

logowania

i haseł.

Klasa ta jest uznawana za najniższą klasę systemów, które

mogą być wykorzystane do przetwarzania informacji o

zwiększonych wymogach bezpieczeństwa.

Kategoria B – ochrona narzucona

Kategoria ta wymaga bezpieczeństwa

wielopoziomowego realizowanego za pomocą dostępu

narzuconego. Dostęp narzucony oznacza, że

nadawanie praw dostępu jest powierzone systemowi

i wynika z realizowanej przez niego polityki. System

przydziela każdemu użytkownikowi etykietę poziomu

zaufania. Etykieta ta określa poziom zaufania, który

musi mieć użytkownik, aby miał dostęp do pliku.

Wyróżnia się następujące poziomy zaufania: tylko

zarząd, tylko kierownictwo, do użytku w firmie,

ogólnie dostępne. Kategoria ta obejmuje 3 klasy:

•

Klasa B1 – jest to poziom C1 poszerzony o mechanizmy

dostępu narzuconego

•

Klasa B2 – jest to poziom C2 poszerzony o mechanizmy

dostępu narzuconego

•

Klasa B3 – w której wprowadzono warunek monitorowania

i ostrzegania na bieżąco o wyśledzonych zdarzeniach

naruszających bezpieczeństwo.

Kategoria A – ochrona

zweryfikowana

Posiada funkcje zbliżone do poziomu B3.

Wyróżniającą cechą systemów klasy A1

jest formalna specyfikacja projektu

zabezpieczeń i formalny model polityki

zabezpieczeń. Dla systemów tej klasy

formułuje się wymagania, że formalny

model polityki zabezpieczeń musi być

wyraźnie określony

i udokumentowany, z podaniem

matematycznego dowodu, że taki model

jest zgody ze swoimi założeniami i jest

zadowalający dla wspomagania polityki

zabezpieczeń.

Warunkiem uznania systemu

informacyjnego za bezpieczny jest

spełnienie poniższych kryteriów:

•

poufności

–

co oznacza ochronę przed ujawnieniem

informacji nieuprawnionemu odbiorcy

•

integralności

–

co określa ochronę przed

modyfikacją lub zniekształceniem aktywów

informacyjnych przez osobę nieuprawnioną.

•

dostępności

–

co ustala gwarancję uprawnia dostępu

do informacji przy zachowaniu określonych rygorów

czasowych

•

rozliczalności

–

co jest właściwością zapewniającą,

że działania podmiotu mogą być przypisane w sposób

jednoznaczny tylko jednemu podmiotowi

•

autentyczności

–

co określa weryfikację tożsamości

podmiotów

i prawdziwość aktywów systemu informacyjnego

•

niezawodności

–

co oznacza gwarancję

odpowiedniego zachowania się systemu informacyjnego

i otrzymanych plików.

Organizacje powinny kontrolować

dostęp do zasobów w oparciu o

następujące kryteria dostępu:

•

tożsamość użytkownika

–

dostęp w oparciu o

identyfikator pojedynczego użytkownika, grupowy lub

anonimowy

•

role użytkowników

–

dostęp do informacji ustalany

na podstawie przydziału funkcji i zadań poszczególnym

użytkownikom.

•

lokalizacja zasobu

–

np. pracownicy danej komórki

mają większy dostęp niż osoby z otoczenia tej komórki

•

czas

–

dostęp do zbiorów krytycznych w wyznaczonym

terminie

i przedziale czasowym

•

transakcje

–

dostęp do przydzielonych użytkownikom

zasobów informacji.

Polityka zabezpieczeń zasobów

Polityka zabezpieczeń zasobów

obejmuje zespół reguł, których

powinni przestrzegać użytkownicy,

aby zachować integralność systemu i

danych.

Polityka bezpieczeństwa to plan lub

sposób działania przyjęty w celu

zapewnienia bezpieczeństwa

systemów i ochrony danych.

Zasada racjonalności ochrony określa,

że nakłady na ochronę ze względów

ekonomicznych

nie powinny znacznie przewyższać

wartości chronionej informacji i

zasobów informatycznych.

Ochrona informacji i systemu

informatycznego jest koniecznym

zadaniem zarówno osób

odpowiedzialnych za jego

funkcjonowanie,

jak i menedżerów zarządzających

całością przedsiębiorstwa.

Document Outline