POLITYKA BEZPIECZEŃSTWA W ROZWIĄZANIACH E-BIZNESOWYCH

POLITYKA

BEZPIECZEŃSTWA

W ROZWIĄZANIACH

E-BIZNESOWYCH

Golec Joanna

Musiał Magdalena

Gr.1, III rok

POTENCJALNE

ZAGROŻENIA SYSTEMÓW

E-BIZNESOWYCH



Błąd człowieka



Katastrofy naturalne



Awarie systemu związane z

uszkodzeniami sprzętu, oprogramowania

oraz infrastruktury



Włamania do systemu



Niebezpieczne oprogramowanie



Zagrożenia wywołane przez czynniki

pośrednie

GRUPY ZAGROŻEŃ DLA

SYSTEMÓW E-

BIZNESOWYCH



Brak dostępu do usługi (denial of

service)



Bezprawne użycie zasobów



Usunięcie/utrata danych



Kradzież danych



Ujawnienie danych poufnych



Fałszowanie informacji



Kradzież oprogramowania



Kradzież sprzętu



Uszkodzenia systemów komputerowych

OBSZARY ZAGROŻEŃ



Sprzęt

uszkodzenia urządzeń, ich nieprawidłowe

działanie, błędy w oprogramowaniu urządzeń, kradzież itp.



Oprogramowanie

błędy w procesie tworzenia

programów, w algorytmach, niedostateczna jakość, luki w

systemach zabezpieczeń itp.



Infrastruktura

uszkodzenia sieci energetycznych,

telekomunikacyjnych. infrastruktury komunikacyjnej,

systemów ogrzewania/chłodzenia, systemów bezpieczeństwa,

monitoringu itp.



Procedury bezpieczeństwa

niewłaściwe

zaprojektowanie, niedostateczne przetestowanie, zagrożenia

„od wewnątrz", luki w procedurach bezpieczeństwa itp.

3 POZIOMY ZABEZPIECZEŃ

SYSTEMÓW

INFORMATYCZNYCH



Poziom aplikacji

– tworzenie bezpiecznych

aplikacji jest jednym z postulatów dotyczących

jakości oprogramowania.



Poziom warstwy pośredniczącej

–

mechanizmy wbudowane w systemy operacyjne

oraz

programy

komunikacyjne

powinny

oraz

programy

komunikacyjne

powinny

eliminować

ryzyko

ujawnienia

informacji

eliminować

ryzyko

ujawnienia

informacji

poufnych.



Poziom protokołów komunikacyjnych

–

mechanizmy warstwy komunikacyjnej powinny

uniemożliwiać podsłuchanie, zdekodowanie i

odczytanie przesyłanych informacji

SZYFROWANIE

SYMETRYCZNE



Do szyfrowania i deszyfrowania używamy tego

samego klucza szyfrującego (szyfrowanie z

pojedynczym kluczem)



Najpopularniejsze algorytmy szyfrowania to

np.

DES (Data Encryption Standard), IDEA

(International Data Encryption Algorithm)



Klucz musi zostać uprzednio dostarczony

(najlepiej poza siecią) nadawcy i odbiorcy -

jest to utrudnione w przypadku wymiany

informacji z dużą liczbą odbiorców



Każdy z odbiorców dodatkowo powinien mieć

odmienny klucz, a nadawca powinien

pamiętać klucz każdego ze swoich odbiorców.

SZYFROWANIE

SYMETRYCZNE

Użytkownicy uczestniczący w komunikacji, na

tym schemacie - Alicja i Bolek, posługują się

swoimi kluczami, aby przesłać zaszyfrowaną

wiadomość od Alicji do Bolka. Alicja poddaje

szyfrowaniu wiadomość czytelną M z użyciem

klucza szyfrowania K. W ten sposób uzyskuje

szyfrogram S.

Następnie szyfrogram S jest przesyłany do

Bolka,

który

poddaje

operacji

Bolka,

który

poddaje

operacji

rozszyfrowania z kluczem K i otrzymuje

wiadomość czytelną M.

SZYFROWANIE

ASYMETRYCZNE



Szyfrowanie metodą klucza publicznego



Takie szyfrowanie zapewnia poufność

transmitowanych danych i ich integralność

(podpis elektroniczny)



Najczęściej wykorzystywanymi algorytmami

szyfrowania asymetrycznego są RSA oraz

algorytm szyfrujący Diffie`ego-Hallmana



Szyfrowanie odbywa się z wykorzystaniem

dwóch kluczy szyfrujących (klucza prywatnego i

publicznego)



Zalety: zwiększone w stosunku do szyfrowania

symetrycznego bezpieczeństwo, nie ma

konieczności przesyłania klucza prywatnego



Do wad szyfrowania asymetrycznego zalicza się

niską wydajność

SZYFROWANIE

ASYMETRYCZNE

Istotą

szyfrowania

asymetrycznego

jest

Istotą

szyfrowania

asymetrycznego

jest

wyodrębnienie dwóch kluczy o odmiennych

rolach: klucz prywatny i klucz publiczny. I tak

przyjmujemy, że odbiorca Bolek posiada parę

kluczy: prywatny klucz kb oraz publiczny klucz

KB. Z założenia klucz prywatny jest tajny, znany

wyłącznie

właścicielowi.

Publiczny

klucz,

wyłącznie

właścicielowi.

Publiczny

klucz,

natomiast, może być powszechnie znany. Aby

Alicja mogła przekazać mu wiadomość musi

zaszyfrować ją jego kluczem publicznym.

Odszyfrowanie jest możliwe tylko przy użyciu

klucza prywatnego, odpowiadającego użytemu

uprzednio kluczowi publicznemu.

SZYFROWANIE

HYBRYDOWE



Łączy metodę symetryczną z metodą klucza

publicznego



Duże bezpieczeństwo i wydajność



Wiadomość szyfruje się kluczem

symetrycznym, a jego przekazanie odbywa się

za pomocą szyfrowania asymetrycznego



Stosowane między innymi w systemach

bezpiecznej poczty elektronicznej (PEM -

Privacy Enhanced Mail, PGP - Pretty Good

Privacy) oraz w protokołach WWW (SSL, PCT,

S-HTTP)



Szyfrowanie hybrydowe eliminuje wady

szyfrowania symetrycznego i asymetrycznego,

równocześnie przejmując ich zalety

TECHNOLOGIE

BEZPIECZNEJ TRANSMISJI

DANYCH



SSL,

PCT

SSL,

PCT

służą

ustanawiania

służą

ustanawiania

bezpiecznego połączenia, poprzez wydzielenie

kanału o założonym z góry (wynegocjowanym)

poziomie bezpieczeństwa, przez który dokonuje

się

autoryzacji

dostępu

oraz

przesyła

się

autoryzacji

dostępu

oraz

przesyła

dynamicznie klucze do szyfrowania kolejnych

porcji danych,



S-HTTP

- stanowi rozszerzenie standardowego

protokołu hipertekstowego HTTP o narzędzia

kryptograficzne, a w szczególności o certyfikaty

i cyfrowe sygnatury witryn WWW; dzięki niemu

możliwe jest zweryfikowanie autentyczności

pochodzenia stron internetowych,

TECHNOLOGIE

BEZPIECZNEJ TRANSMISJI

DANYCH



SET

- protokół zabezpieczający transakcje

dokonywane za pomocą kart kredytowych;

wykorzystuje do tego celu elektroniczne podpisy

zapewniające

autoryzację

posiadaczy

kart,

zapewniające

autoryzację

posiadaczy

kart,

sprzedawców i banków,



Fortezza

- stosowana jest w instytucjach, gdzie

poufność informacji ma szczególne znacznie

(obronność, wymiar sprawiedliwości, dyplomacja

itp.), gdzie mechanizmy zabezpieczeń muszą

gwarantować w 100% autentyfikację i odpowiedni

poziom

szyfrowania,

konta

użytkowników

poziom

szyfrowania,

konta

użytkowników

zabezpieczone są przy użyciu kart chipowych,

zabezpieczonych kodem PIN, przechowujących

unikalny kod identyfikacyjny użytkownika.

Tworzenie bezpiecznego środowiska musi być

procesem:



Ciągłym

obejmującym ocenę, projektowanie,

wdrażanie rozwiązań oraz monitorowanie



opartym na

ludziach, procesach i technologii

TWORZENIE DOKUMENTU

POLITYKI

BEZPIECZEŃSTWA



Dokument polityki bezpieczeństwa zawiera (określa)

odpowiednie zasady, wytyczne, nakazy i zakazy, a

także

stopień

swobody

korzystania

sieci

także

stopień

swobody

korzystania

sieci

wewnętrznej i zewnętrznej;



Ważną

cechą

dokumentu

jest

odpowiednia

Ważną

cechą

dokumentu

jest

odpowiednia

konstrukcja, która ma sprawić, aby był on zrozumiały

dla każdego pracownika - napisany językiem

potocznym, zawierał słownik pojęć technicznych,

prawnych, a także użytych zwrotów i sformułowali;



Pisemne zobligowanie się każdego użytkownika do

postępowania zgodnie z ujętymi w dokumencie

polityki bezpieczeństwa danych wytycznymi;



Wprowadzenie polityki bezpieczeństwa powinno być

wsparte odpowiednimi szkoleniami.

Pisemny wymiar polityki

bezpieczeństwa ma

uzasadnienie:



wytyczne stosowane standardowo mają

głównie charakter informacyjny,



każdy użytkownik musi wiedzieć, jakie

informacje mogą być wykorzystane

przez

osoby

trzecie

oraz

mieć

przez

osoby

trzecie

oraz

mieć

świadomość odpowiedzialności,



formalizowanie działań ma na celu

zmniejszenie stopnia niepewności w

działalności organizacji.

ETAPY TWORZENIA

POLITYKI

BEZPIECZEŃSTWA



Pierwszy etap: zdefiniowanie zagrożeń



Drugi etap: konstruowanie

zabezpieczeń organizacyjnych



Trzeci etap: formowanie treści

dokumentu polityki bezpieczeństwa

ELEMENTY SKŁADOWE

POLITYKI

BEZPIECZEŃSTWA



Wyjaśnienia



Jasne sformułowania



Podział odpowiedzialności



Opis mechanizmów realizacji

polityki bezpieczeństwa

Zainstaluj i dbaj w poprawną konfigurację zapory

ogniowej sieci, aby chronić dane dostępne przez

Internet.

Zadbaj o bieżące uaktualnienia zabezpieczeń.

Szyfruj przechowywane dane, udostępniane przez

Internet.

Szyfruj dane przesyłane w sieci.

Korzystaj regularnie z aktualizacji oprogramowania

antywirusowego.

Ogranicz dostęp do danych „koniecznie dostępnych".

Przypisz

jednoznaczne

identyfikatory

osobom

Przypisz

jednoznaczne

identyfikatory

osobom

uprawnionym do dostępu do danych.

Monitoruj dostęp do danych według jednoznacznych

identyfikatorów.

Nie korzystaj z dostarczonych przez dostawcę

systemu domyślnych ustawień haseł systemu i

innych parametrów bezpieczeństwa.

10.

Regularnie testuj systemy i procesy bezpieczeństwa.

Document Outline