plik

www.hakin9.org

hakin9 Nr 8/2007

Bezpieczna Firma

raz  z  rozwojem  społeczeństwa  in-
formacyjnego  pojawiła  się  potrze-
ba  standaryzacji  zagadnień  zwią-

zanych z bezpieczeństwem informacji. Szereg
organizacji i stowarzyszeń branżowych opra-
cowało własne standardy. Oto niektóre z nich
patrz Ramka Normy, standardy, zalecenia.

Zanim omówimy polskie normy dotyczące

sensu stricte problematyki bezpieczeństwa in-
formacji, warto wspomnieć o dwóch mało zna-
nych normach terminologicznych. Od nich
wszystko się zaczęło.

Trochę terminologii

W  pierwszej  z  nich,  PN-ISO/IEC  2382-8:
2001 Technika informatyczna – Terminologia
– Bezpieczeństwo, zdefiniowano w dwóch ję-
zykach (polskim i angielskim) terminy ogólne
odnoszące się do ochrony danych i informa-
cji, włącznie z kryptografią, klasyfikacją infor-
macji i kontrolą dostępu, odzyskiwaniem da-
nych  i  informacji  oraz  naruszeniem  bezpie-
czeństwa.  Norma  ma  ułatwić  porozumiewa-
nie się w dziedzinie technik informatycznych
w skali międzynarodowej. W normie brak de-
finicji bezpieczeństwa informacji. Operuje się
w  niej  natomiast  pojęciem  bezpieczeństwo

danych,  rozumianym  jako  bezpieczeństwo
systemu  informatycznego  w  odniesieniu  do
danych.  Zaś  samo  bezpieczeństwo  systemu
informatycznego  definiuje  się  jako  ochronę
danych  i  zasobów  przed  przypadkowymi  lub
złośliwymi  działaniami,  zwykle  poprzez  pod-
jęcie  odpowiednich  kroków  zaradczych  lub
prewencyjnych. Złośliwymi działaniami mogą
być:  modyfikacja,  zniszczenie,  dostęp,  ujaw-
nienie lub pozyskanie danych, jeśli działania
te nie są uprawnione. Natomiast ochronę da-
nych definiuje się jako wdrożenie środków ad-
ministracyjnych,  technicznych  lub  fizycznych
w celu ochrony przed nieuprawnionym dostę-
pem do danych.

Bezpieczeństwo informacji

w polskich normach

Andrzej Guzik

stopień trudności

Polskie normy dotyczące bezpieczeństwa informacji stanowią,

obok przepisów prawa oraz standardów branżowych, tzw.

najlepsze praktyki, wytyczne dla organizacji lub wymagania w

przypadku podjęcia decyzji o wdrożeniu w instytucji systemu

zarządzania bezpieczeństwem informacji według PN-ISO/IEC

27001: 2007.

Z artykułu dowiesz się

• jakie polskie normy i raporty techniczne stano-

wią najlepsze praktyki w zakresie zapewnienia
bezpieczeństwa informacji w instytucji.

Co powinieneś wiedzieć

• znać podstawowe wymagania dotyczące bez-

pieczeństwa informacji.

Bezpieczeństwo informacji w polskich normach

hakin9 Nr 8/2007

www.hakin9.org

W drugiej normie terminologicz-

nej, PN-I-02000: 2002 Technika in-
formatyczna  –  Zabezpieczenia  w
systemach  informatycznych  –  Ter-
minologia, podano polską terminolo-
gię (z angielskimi odpowiednikami) z
zakresu  bezpieczeństwa  systemów
informatycznych.  Norma  może  być
przydatna  do  tłumaczenia  tekstów
technicznych,  norm  i  dokumentów
oraz do precyzyjnej i jednoznacznej

wymiany  informacji  podczas  kon-
taktów  międzynarodowych  i  krajo-
wych.  Warto  w  tym  miejscu  zwró-
cić  uwagę  na  rozróżnienie  angiel-
skich słów security i safety, przekła-
danych na język polski jako bezpie-
czeństwo. Autorzy tłumaczenia nor-
my przyjęli, że termin security ozna-
cza  wszelkie  zabezpieczenia  chro-
niące  system  informatyczny  i  jego
zasoby przed szkodliwym oddziały-

waniem otoczenia, zaś termin safe-

ty oznacza wszelkie zabezpieczenia
chroniące  otoczenie  przed  szkodli-
wymi lub wręcz katastroficznymi od-
działywaniami systemu informatycz-
nego na otoczenie systemu. W nor-
mie po raz pierwszy pojawia się ter-
min  bezpieczeństwo  informacji,  ro-
zumiany  jako  system  informatyczny
wraz  z  systemem  bezpieczeństwa
komunikacji,  składający  się  z  wy-
tycznych  i  procedur  administracyj-
nych,  przeznaczony  do  identyfiko-
wania, nadzoru i ochrony informacji
przed nieuprawnionym ujawnieniem.
Natomiast ochronę danych definiuje
się tu tak, jak w normie PN-ISO/IEC
2382-8: 2001.

Standardy

bezpieczeństwa

informacji

Przejdźmy do standardów o funda-
mentalnym znaczeniu dla bezpie-
czeństwa informacji. Wśród nich na-
leży wymienić: raporty ISO/IEC TR
13335, normę ISO/IEC 17799 oraz
normę ISO/IEC 15408, tzw. Com-

mon  Criteria  (Wspólne  Kryteria).
W  dalszej  części  artykułu  zostaną
scharakteryzowane  jedynie  wybra-
ne  standardy  (nie  wszystkie  prze-
tłumaczono  bowiem  na  język  pol-
ski). W Polsce ukazały się jedynie 3
spośród 5 części raportów technicz-
nych ISO/IEC TR 13335. Część 1 –
ukazała się jako polska norma PN-
I-13335-1:  1999  Technika  informa-
tyczna – Wytyczne do zarządzania
bezpieczeństwem  systemów  infor-
matycznych – Pojęcia i modele bez-
pieczeństwa systemów informatycz-
nych, części 2 i 3 jako raporty tech-
niczne: ISO/IEC TR 133335-2 Tech-
nika  informatyczna  –  Wytyczne  do
zarządzania bezpieczeństwem sys-
temów  informatycznych.  Część  2
–  Zarządzanie  i  planowanie  bez-
pieczeństwa  systemów  informa-
tycznych oraz ISO/IEC TR 13335-3
Technika informatyczna – Wytyczne
do  zarządzania  bezpieczeństwem
systemów  informatycznych.  Część
3  –  Techniki  zarządzania  bezpie-
czeństwem  systemów  informatycz-
nych. W Polsce nie przetłumaczono
4 części raportu – ISO/IEC 13335-

Normy, standardy, zalecenia

• BS 15000 (zastąpiony normą ISO/IEC 20000: 2005) – brytyjski standard opracowa-

ny przez BSI (British Standard Institution) opisujący system zarządzania usługami
informatycznymi,

• BS 25999: 2006 – opracowany przez BSI standard, dotyczący obszaru zarządza-

nia ciągłością działania (zastąpił specyfikacje PAS-56),

• BS 7799-1 – opracowany przez BSI standard, definiuje wytyczne w zakresie usta-

nowienia, wdrożenia, eksploatacji, monitorowania, przeglądu, utrzymania i dosko-
nalenia Systemu Zarządzania Bezpieczeństwem Informacji (zastąpiony przez
ISO/IEC 17799: 2005),

• BS 7799-2 – opracowany przez BSI standard, który określa wymagania w zakre-

sie ustanowienia, wdrożenia, eksploatacji, monitorowania, przeglądu, utrzymania
i doskonalenia Systemu Zarządzania Bezpieczeństwem Informacji (zastąpiony
przez ISO/IEC 27001: 2005),

• BS 7799-3 – norma dotycząca zarządzania ryzykiem bezpieczeństwa informacji,
• COBIT (Control Objectives for Information related Technology) – metodyka kontro-

li i audytu systemów informatycznych,

• MARION (Mission Analysis and Risk Impact on Operations Network tool) – meto-

dyka przeprowadzania audytów bezpieczeństwa w instytucjach sektora finanso-
wego,

• ISO/IEC TR 18044 – standard przedstawia dobre praktyki w zakresie zarządzania

incydentami bezpieczeństwa informacji,

• ITIL (IT Infrastructure Library) – zbiór dobrych praktyk zarządzania organiza-

cją IT.

Rysunek 1.

Związki pomiędzy elementami bezpieczeństwa

ZAGROŻENIA

PODATNOŚCI

WYMAGANIA

W ZAKRESIE

OCHRONY

WARTOŚCI

(stąd potencjalne

następstwa dla

działania instytucji)

ZASOBY

RYZYKA

ZABEZPIECZENIA

wykorzystują

zwiększają

narażają

zwiększają

analiza

wskazuje

posiadają

realizowana przez

zwiększają

zmniejszają

chronią przed

hakin9 Nr 8/2007

www.hakin9.org

Bezpieczna firma

4: Wybór zabezpieczeń oraz jego 5
części:  ISO/IEC  13335-5:  Zabez-
pieczenie  połączeń  zewnętrznych.
Polska norma PN-I-13335-1 grupu-
je  wytyczne  dotyczące  zarządza-
nia bezpieczeństwem systemów in-
formatycznych.  Materiał  ten  może
być przydatny dla kierownictwa od-
powiedzialnego za bezpieczeństwo
systemów informatycznych oraz dla
osób,  które  odpowiadają  za  cało-
ściowy  program  bezpieczeństwa  w
instytucji.

W rozumieniu normy, bezpie-

czeństwo  systemu  informatyczne-
go  to  wszystkie  aspekty  związane
z definiowaniem, osiąganiem i utrzy-
mywaniem  poufności,  integralności,
dostępności,  rozliczalności,  auten-
tyczności  i  niezawodności.  W  nor-
mie przedstawiono podstawowe po-
jęcia  dotyczące  bezpieczeństwa  te-
leinformatycznego, takie jak: zasób,
podatność, zagrożenia, następstwo,
ryzyko,  zabezpieczenie  lub  ryzyko
szczątkowe. W formie prostych mo-
deli  pojęciowych  pokazano  związki
zachodzące między nimi.

W normie przedstawiono rów-

nież  podstawowe  procesy  związa-
ne  z  procesem  zarządzania  bez-
pieczeństwem  systemów  informa-
tycznych.  Wyodrębniono  trzy  pod-
stawowe  procesy:  proces  zarzą-
dzania  konfiguracją,  proces  zarzą-
dzania zmianami i proces zarządza-
nia ryzykiem. Autorzy normy zwra-

cają również uwagę na wiele typów
ograniczeń, na ograniczenia organi-
zacyjne,  finansowe,  środowiskowe,
osobowe,  czasowe,  prawne,  tech-
niczne,  kulturowe  i  społeczne,  któ-
re należy wziąć pod uwagę, wybie-
rając i implementując zabezpiecze-
nia w ramach budowy systemu bez-
pieczeństwa instytucji. Raport tech-
niczny  ISO/IEC  13335-2,  wydanie
polskie  –  Polski  Komitet  Normali-
zacyjny  2003,  zawiera  wytyczne
do  zarządzania  i  planowania  bez-
pieczeństwa systemów teleinforma-
tycznych.

Raport ten może być przydat-

ny  dla  kierownictwa  odpowiedzial-
nego  za  systemy  informatyczne
w  instytucji.  Zarządzanie  bezpie-
czeństwem systemów informatycz-
nych  instytucji  jest  procesem,  któ-
ry  ma  służyć  osiąganiu  i  utrzyma-
niu  odpowiedniego  poziomu  po-
ufności,  integralności,  dostępno-
ści,  rozliczalności,  autentyczności
i  niezawodności.  Punktem  począt-
kowym  jest  w  nim  ustalenie  celów
instytucji dotyczących bezpieczeń-
stwa  systemów  informatycznych.
Cele  te  powinny  wynikać  z  celów
biznesowych  instytucji.  Zarządza-
nie  bezpieczeństwem  systemów
informatycznych  obejmuje  sze-
reg  działań,  m.  in.  określenie  ce-
lów, strategii i polityki bezpieczeń-
stwa,  określenie  wymagań  w  za-
kresie bezpieczeństwa, wybór stra-

tegii  analizy  ryzyka,  wybór  zabez-
pieczeń  –  opracowanie  planu  za-
bezpieczeń  systemu/-ów  informa-
tycznych  instytucji,  monitorowanie
procesu  ich  wdrażania,  przygoto-
wanie  personelu  (szkolenia,  dzia-
łania  uświadamiające)  oraz  czyn-
ności  wykonywane  już  po  wdroże-
niu  zabezpieczeń,  takie  jak:  utrzy-
manie  zabezpieczeń,  zgodność  z
planem  zabezpieczeń,  monitoro-
wanie  oraz  obsługa  incydentów.
Warto w tym miejscu zwrócić uwa-
gę  na  organizację  służb  odpowie-
dzialnych za bezpieczeństwo w in-
stytucji, a mianowicie: komitet bez-
pieczeństwa  systemów  informa-
tycznych, główny inspektor bezpie-
czeństwa  systemów  informatycz-
nych,  inspektorzy  bezpieczeństwa
projektu/systemu informatycznego.
Zasadniczą sprawą dla efektywno-
ści  działań  w  zakresie  zapewnie-
nia  bezpieczeństwa  systemów  in-
formatycznych instytucji jest popar-
cie ze strony najwyższego kierow-
nictwa  instytucji.  Poparcie  to  musi
być faktyczne, a nie tylko deklaro-
wane.  Raport  techniczny  ISO/IEC
13335-3,  wydanie  polskie  –  Pol-
ski  Komitet  Normalizacyjny  2003,
zawiera  wytyczne  do  zarządzania
bezpieczeństwem  systemów  infor-
matycznych.  Zarządzanie  bezpie-
czeństwem systemów informatycz-
nych  obejmuje  analizę  wymagań
bezpieczeństwa, stworzenie planu,
który  zapewni  spełnienie  tych  wy-
magań, wdrożenie tego planu oraz
utrzymanie i administrowanie wdro-
żonymi  zabezpieczeniami.  Proces
ten  rozpoczyna  się  od  określenia
celów  i  strategii  instytucji  w  dzie-
dzinie  bezpieczeństwa  systemów
informatycznych  oraz  od  opraco-
wania  polityki  bezpieczeństwa  in-

O autorze

Andrzej  Guzik  –  audytor  systemów
zarządzania  jakością  i  bezpieczeń-
stwem  informacji,  specjalista  w  zakre-
sie  ochrony  informacji  prawnie  chro-
nionych,  redaktor  portalu  http://www.
ochronainformacji.pl
Kontakt z autorem: a.guzik@ochrona-
informacji.pl

Rysunek 2.

Model PDCA stosowany w procesach SZBI

Wykonuj

(Do)

Działaj

(Act)

Utrzymanie

i doskonalenie ISMS

Wdrożenie

i eksploatacja ISMS

Planuj

(Plan)

Sprawdzaj

(Check)

Ustanowienie

ISMS

Monitorowanie

i przegląd ISMS

Wymagania

i oczekiwania

dotyczące

bezpieczeństwa

informacji

Zainteresowane

strony

Zarządzanie

bezpieczeństwem

informacji

Zainteresowane

strony

Bezpieczeństwo informacji w polskich normach

hakin9 Nr 8/2007

www.hakin9.org

stytucji  w  zakresie  systemów  in-
formatycznych.  Ważną  częścią
procesu  zarządzania  bezpieczeń-
stwem  systemów  informatycznych
jest  oszacowanie  i  analiza  ryzyka,
ponieważ  w  oparciu  o  wyniki  ana-
lizy  ryzyka  dobiera  się  odpowied-
nie  zabezpieczenia.  Zastosowane
zabezpieczenia  powinny  być  opła-
calne, pod względem poniesionych
na  nie  kosztów  i  uwzględniać  wy-
magania  wynikające  z  przepisów
prawa, wymagania biznesowe i wy-
magania z analizy ryzyka zasobów
posiadających  wartość  dla  dzia-
łania  instytucji.  Ryzyko,  jakie  po-
wstaje po wprowadzeniu zabezpie-
czeń,  nazywamy  ryzykiem  szcząt-
kowym.  Również  dokument  polity-
ki bezpieczeństwa powinien zawie-
rać  m.  in.  podejście  do  zarządza-
nia  ryzykiem,  strategię  dla  analizy
ryzyka  i  części  składowe  tej  ana-
lizy  (metody  i  techniki).  Przyję-
ta  strategia  analizy  ryzyka  powin-
na  uwzględniać  warunki  charakte-
rystyczne  dla  jednostki  organiza-
cyjnej  i  koncentrować  się  na  dzia-
łaniach  związanych  z  bezpieczeń-
stwem,  tam  gdzie  są  one  napraw-
dę potrzebne. W raporcie przedsta-
wiono cztery warianty podejścia do
analizy  ryzyka:  podejście  podsta-
wowego  poziomu  bezpieczeństwa,
podejście  nieformalne,  szczegóło-
wą analizę ryzyka i podejście mie-
szane. Podstawowa różnica pomię-
dzy nimi dotyczy stopnia szczegó-
łowości  analizy  ryzyka.  Podejście
podstawowego  poziomu  bezpie-
czeństwa polega na wprowadzeniu
standardowych zabezpieczeń, nie-
zależnie od ryzyka wynikającego z
analizy zasobów, zagrożeń i podat-
ności. Podejście nieformalne pole-
ga  na  wykorzystaniu  wiedzy  i  do-
świadczenia ekspertów; koncentru-
je się na zasobach narażonych na
wysokie ryzyko. Z kolei szczegóło-
wa analiza ryzyka wymaga identy-
fikacji  i  wyceny  aktywów,  oszaco-
wania  zagrożeń  oraz  oszacowa-
nia  podatności.  Możliwość  czwar-
ta,  podejście  mieszane,  obejmu-
je  dwa  etapy.  W  pierwszym  eta-
pie  przeprowadza  się  ogólną  ana-
lizę ryzyka dla wszystkich zasobów

z uwzględnieniem ich wartości biz-
nesowej  i  ryzyka,  na  które  są  one
narażone.  Dla  wszystkich  zidenty-
fikowanych zasobów, które są waż-
ne dla instytucji i narażone na wy-
sokie  ryzyko,  należy  przeprowa-
dzić  później  szczegółową  analizę
ryzyka. W drugim etapie dla pozo-
stałych  zasobów  należy  zastoso-
wać  podejście  podstawowego  po-
ziomu  bezpieczeństwa.  Przyjęcie
podejścia  mieszanego  zalecane
jest  dla  większości  instytucji.  Jest
ono najbardziej efektywne – szcze-
gółowa analiza ryzyka w odniesie-
niu do zasobów posiadających war-
tość lub narażonych na wysokie ry-
zyko,  a  dla  pozostałych  zasobów
zastosowanie  podstawowego  po-
ziomu  bezpieczeństwa  –  wdroże-
nie  standardowych  zabezpieczeń.
Wdrożeniu  zabezpieczeń  powi-
nien towarzyszyć również program
uświadamiania  i  szkoleń,  ważny
dla uzyskania efektywności zabez-
pieczeń. Ponadto nie należy zapo-
minać  o  działaniach  po  wdrożeniu
zabezpieczeń.  Działania  te  powin-
ny obejmować m. in. konserwacje,
sprawdzenie zgodności z zasadami
bezpieczeństwa,  zarządzanie  za-
mianami,  monitorowanie  oraz  po-
stępowanie  w  przypadku  incyden-
tów.  Warto  również  zwrócić  uwa-
gę  na  załączniki  do  raportu.  Mają
one  charakter  praktyczny.  Załącz-
nik A zawiera przykład spisu treści
polityki  bezpieczeństwa  instytucji
w  zakresie  systemów  informatycz-
nych,  załącznik  B  omawia  wycenę
aktywów,  załącznik  C  przedstawia
listę kontrolną możliwych typów za-
grożeń,  załącznik  D  zawiera  przy-
kłady typowych podatności, zaś za-
łącznik  E  przykłady  wykorzystania
różnych metod analizy ryzyka.

Zarządzanie

bezpieczeństwem

informacji

Norma  PN-ISO/IEC  17799:  2007
Technika  informatyczna  –  Tech-
niki  bezpieczeństwa  –  Praktycz-
ne  zasady  zarządzania  bezpie-
czeństwem  informacji  jest  pierw-
szym  standardem  obejmującym
kompleksowo  zarządzanie  bezpie-

czeństwem  informacji.  Celem  tej
normy  jest  wdrożenie  takich  me-
chanizmów  zarządzania,  które  za-
pewnią,  że  bezpieczeństwo  infor-
macji  będzie  istotnym  elementem
funkcjonowania  organizacji.  Nor-
ma zawiera wytyczne zarządzania
bezpieczeństwem  informacji.  Do-
tyczy  wszystkich  obszarów  bez-
pieczeństwa:  fizycznego  i  środo-
wiskowego, osobowego, IT, zarzą-
dzenia  ciągłością  działania  i  za-
pewnienia  zgodności  z  przepisami
prawa. Zgodnie z ową normą, infor-
macja  jest  aktywem,  który  podob-
nie jak inne ważne aktywa bizneso-
we ma dla instytucji wartość i dla-
tego  należy  ją  odpowiednio  chro-
nić.  Dotyczy  to  zarówno  ochro-
ny  informacji  własnych  instytucji,
jak  i  zapewnienia  bezpieczeństwa
informacji  udostępnionych  przez
klienta.  Bezpieczeństwo  informa-
cji  oznacza  według  normy  ochro-
nę  informacji  przed  różnymi  za-
grożeniami w taki sposób, aby za-
pewnić  ciągłość  działania  –  reali-
zację  celów  statutowych  instytu-
cji,  zminimalizować  straty  i  zmak-
symalizować zwrot nakładów na in-
westycje  i  działania  o  charakterze
biznesowym. Norma odnosi się tyl-
ko do 3 aspektów informacji podle-
gających ochronie: poufności – za-
pewnienie  dostępu  do  informacji
tylko osobom upoważnionym, inte-
gralności – zapewnienie dokładno-
ści  i  kompletności  informacji  i  me-
tod  jej  przetwarzania,  dostępno-
ści  –  zapewnienia,  że  osoby  upo-
ważnione mają dostęp do informa-
cji i związanych z nią aktywów wte-
dy,  gdy  im  jest  to  potrzebne.  Nor-
ma PN-ISO/IEC 27001: 2007 Tech-
nika informatyczna – Techniki bez-
pieczeństwa  –  Systemy  zarządza-
nia  bezpieczeństwem  informacji
– Wymagania definiuje system za-
rządzania  bezpieczeństwem  infor-
macji  (SZBI).  Powinien  on  stano-
wić  część  składową  systemu  za-
rządzania  instytucją  i  być  oparty
na  podejściu  wynikającym  z  ryzy-
ka biznesowego. Norma zaleca po-
dejście  systemowe  oparte  na  cią-
głym  doskonaleniu,  zgodnie  z  cy-
klem  PDCA  (Plan-Do-Check-Act)

hakin9 Nr 8/2007

www.hakin9.org

Bezpieczna firma

Deminga obejmującym: ustanowie-
nie, wdrożenie, eksploatację, moni-
torowanie, przegląd, a także utrzy-
manie i doskonalenie SZBI.

Norma oparta jest podobnie

jak  norma  ISO  9001:  2000  i  nor-
ma ISO 14001: 2004 na zasadach
podejścia  procesowego.  Umożli-
wia  w  instytucji  budowę  zintegro-
wanego  systemu  zarządzania:  za-
rządzania jakością w oparciu o nor-
mę ISO 9001 i zarządzania bezpie-
czeństwem  informacji  w  oparciu  o
normę ISO 27001. Wdrożenie w in-
stytucji  zintegrowanego  systemu
zarządzania  może  przynieść  or-
ganizacji  szereg  korzyści:  pozwo-
li  objąć  systemem  wszystkie  ob-
szary  działania  firmy,  zwróci  uwa-
gę na ochronę informacji i jej war-
tość,  zwiększy  zainteresowanie
technologiami ICT, spowoduje pro-
wadzenie analizy i zarządzania ry-
zykiem,  zapewni  opracowanie  pla-
nów  ciągłości  działania,  przyczyni
się do uzyskania przewagi nad kon-
kurencją i poprawi wizerunek firmy.
W załączniku A do normy przedsta-
wiono  cele  stosowania  zabezpie-
czeń  i  zabezpieczenia,  które  na-
leży  wybrać  w  przypadku  podję-
cia decyzji o wdrożeniu w instytucji
SZBI.  Norma  może  być  przydatna
dla  każdej  organizacji,  niezależnie
od  wielkości  czy  branży,  niezależ-
nie  od  tego,  czy  instytucja  będzie
ubiegać się o certyfikację systemu
zarządzania  bezpieczeństwem  in-
formacji, czy nie.

Wspólne Kryteria

Warto  wspomnieć  również  o  nor-
mie  ISO/IEC  15408.  Norma  skła-
da się z trzech części, z czego na
język polski przetłumaczono pierw-
szą  i  trzecią  część,  odpowiednio
PN-ISO/IEC  15408-1:  2002  Tech-
nika  informatyczna  –  Techniki  za-
bezpieczeń  –  Kryteria  oceny  za-
bezpieczeń informatycznych Część
1:  Wprowadzenie  i  model  ogólny  i
PN-ISO/IEC  15408-3:  2002  Tech-
nika  informatyczna  –  Techniki  za-
bezpieczeń  –  Kryteria  oceny  za-
bezpieczeń informatycznych Część
3: Wymagania uzasadnienia zaufa-
nia  do  zabezpieczeń.  Nie  przetłu-

maczono części drugiej, ISO/IEC
15408-2 Security functional re-

quirements  (Wymagania  funkcjo-
nalne  zabezpieczeń).  W  normie
PN-ISO/IEC  15408-1  przedsta-
wiono  terminologię  używaną  we
wszystkich  częściach  normy.  Za-
warto zasady oceny systemów za-
bezpieczeń oraz ogólny model, na
którym  taka  ewaluacja  może  być
oparta.  W  załączniku  A  do  normy
opisano  projekt  Wspólnych  Kryte-
riów,  w  załączniku  B  przedstawio-
no  specyfikację  profili  zabezpie-
czeń,  a  w  załączniku  C  specyfika-
cję zadań zabezpieczeń. Zgodnie z
normą, profil zabezpieczeń definio-
wany  jest  przez  niezależny  od  im-
plementacji zbiór wymagań na za-
bezpieczenia teleinformatyczne dla
określonego  typu  przedmiotu  oce-
ny.  Zadanie  zabezpieczeń  zawie-
ra  natomiast  wymagania  w  zakre-
sie  bezpieczeństwa  dla  konkret-
nego  przedmiotu  oceny  i  stano-
wi  podstawę  takiej  ewaluacji.  Za-
danie  zabezpieczeń  może  zawie-
rać  wymagania  lub  być  zgodne  z
jednym  lub  wieloma  profilami  za-
bezpieczeń. W części trzeciej nor-
my ISO/IEC 15408-3 zdefiniowano
wymagania uzasadnienia zaufania.
Przedstawiono kryteria oceny pro-
filu zabezpieczeń i zadania zabez-
pieczeń, a także wprowadzono po-
ziomy  uzasadnienia  zaufania  EAL
(Evaluation  Assurance  Levels),
które wskazują skalę do określenia
tych poziomów (miarę wiarygodno-
ści). Wynikiem oceny systemu (pro-
duktu) informatycznego według za-
leceń  Common  Criteria  jest  doku-
ment stwierdzający:

•

zgodność tego systemu z okre-
ślonym profilem zabezpieczeń,

•

spełnienie  wymagań  bezpie-
czeństwa  określonych  w  zada-
niach  zabezpieczenia  lub  przy-
pisanie do konkretnego poziomu
uzasadnionego zaufania (EAL).

Wykrywanie włamań

Na  koniec  warto  wspomnieć  o  ra-
porcie  technicznym  ISO/IEC  TR
15947:  2002  Technika  informatycz-
na – Techniki zabezpieczeń – Struk-

tura  wykrywania  włamań  w  syste-
mach  teleinformatycznych.  Raport
ten stanowi kompendium wiedzy na
temat wykrywania włamań w syste-
mach  teleinformatycznych.  Zapre-
zentowano  w  nim  nie  tylko  ogólny
system  wykrywania  włamań,  ale
scharakteryzowano  również  typy  i
źródła danych wejściowych, w opar-
ciu  o  które  konstruuje  się  modele
reakcji  tych  systemów  na  określo-
ne zdarzenia. Szczegółowo opisano
działania podejmowane w odpowie-
dzi  na  wykrycie  włamania.  Raport
zawiera wiele cennych danych przy-
datnych osobom, które są odpowie-
dzialne  za  bezpieczeństwo  sieci
korporacyjnych.  Może  być  również
dobrym źródłem informacji dla pro-
jektantów  i  osób,  zajmujących  się
systemami wykrywania włamań.

Podsumowanie

Polskie  normy  dotyczące  bez-
pieczeństwa  informacji  stanowią
tłumaczenie  dokumentów  ISO.
Oprócz  norm  International  Orga-

nization  for  Standardization  istnie-
je  szereg  zaleceń  zawierających
wytyczne  w  zakresie  ochrony  sys-
temów  teleinformatycznych  o  za-
sięgu  lokalnym  dotyczącym  kraju,
grupy  krajów  lub  grupy  użytkowni-
ków,  np.  Internetu.  Dokumenty  te-
go typu stanowią cenne uzupełnie-
nie  norm  ISO  i  IEC  (International

Electrotechnical  Commission).  W
polskich  warunkach  mamy  zwykle
do  czynienia  z  konglomeratem  kil-
ku  tajemnic  prawnie  chronionych  i
informacji  biznesowych  chronio-
nych  we  własnym  interesie.  Tylko
niektóre z nich (dane osobowe, in-
formacje  niejawne)  mają  przepi-
sy wykonawcze, wymagania w za-
kresie  ochrony.  Większość  z  nich
nie  określa  wymagań,  jak  je  chro-
nić,  a  chronić  je  należy.  W  przy-
padku  tych  tajemnic,  dla  których
brak wymagań i wytycznych w za-
kresie ochrony, pomocne mogą być
standardy,  zalecenia  i  polskie  nor-
my  dotyczące  bezpieczeństwa  in-
formacji, które stanowią źródło tzw.
dobrych praktyk. Zachęcam do za-
poznania się z nimi i praktycznego
ich stosowania. l