Metody zabezpečení informačních systémů
Podle analytiků společnosti IDC zaplatili Češi v loni za zabezpečení svého počítače částku 630 milionů korun. Tato částka je sice o čtvrtinu vyšší než v roce předešlém, nicméně kvalitně zajištěný počítač má zlomek uživatelů. Nejde ani o to, že by lidé nechtěli za ochranu svého počítače platit, ale o to, že nebezpečí zneužití svých osobních dat nebo znehodnocení obsahu počítače podceňují. Zabezpečit počítač lze totiž i zadarmo.
Zásady bezpečnosti na úřadech
Pro potřeby Informačních Systémů Veřejné Správy byly vytvořeny takzvané informační koncepce – výchozí dokumenty pro vytvoření a následné správné fungování informačních systémů státní samosprávy. Jedná se o úřady samosprávy na těchto úrovních: ústřední orgán státní správy, obec s rozšířenou působností, obec s pověřeným obecním úřadem a obec, která vykonává přenesenou působnost pouze v základním rozsahu. Tyto koncepce zveřejněné ministerstvem informatiky ČR fungují jako vzorové tedy jednotlivé úřady si je mohou podle potřeby upravit ale jsou závazné. Závazné jsou proto, aby fungování informačních systémů sjednotili a vytvořily tak jednotnou strukturu.
Dalším důvodem vzniku informačních koncepcí je snaha ulehčit těm úřadům, které nemají vlastní odborníky-informatiky. Dokument nazvaný Úplná struktura informační koncepce (IK) zveřejnilo ministerstvo informatiky v souvislosti s § 5a novely zákona č. 365/2000 Sb., o informačních systémech veřejné správy (ISVS), provedené zákonem č. 81/2006 Sb. (zákon).
V dokumentu Úplná struktura informační koncepce (IK) je kapitola nazvaná „Řízení bezpečnosti ISVS“ ošetřující zásady bezpečnosti informačních systémů:
Cíle z oblasti zajištění bezpečnosti dat
Je zapotřebí pravidelné zálohování a dat a jejich archivování a dvou fyzicky odlišných místech pro případ požáru
Důvěrnost dat
Jedná se o aplikaci základních atributů zabezpečení přístupu, což jsou:
- identifikace – každý uživatel je jednoznačně identifikován,
- autentizace – uživatel prokáže svoji totožnost (heslem, otiskem prstu apod.),
- autorizace – každý uživatel je oprávněn k úkonům odpovídajícím roli, kterou zastává.
Integrita dat
Jedná se zejména o zpracování dat vhodně zvolenými technickými prostředky.
Cíle z oblasti zajištění bezpečnosti služeb
Dostupnost služeb
V oblasti dostupnosti je především třeba zajistit ochranu proti výpadkům elektrické energie, výpadkům sítě nebo duplikací hardwaru a softwaru pro případ závady. Do této oblasti ale spadají též nástroje pro ochranu proti útokům např. typu DoS (Denial of Service), tedy zejména nástroje síťové infrastruktury (firewally, IDS systémy apod.)
Důvěrnost služeb
V oblasti důvěrnosti služeb platí stejné zásady jako v důvěrnosti dat. Je však také zapotřebí zajistit bezpečnost přenosu informací mezi zdrojem a cílem odpovídajícím způsobem.
Cíle z oblasti zajištění bezpečnosti technických a programových prostředků
Dostupnost technických a programových prostředků
Dostupnost technických prostředků zahrnuje následující:
- záložní zdroje napájení,
- záložní síťová připojení,
- zabezpečení dostupnosti hardware duplikováním či násobením důležitých prvků (clustery apod.),
- umístěním záložních zařízení do geograficky různých lokalit.
Dostupnost programových prostředků zahrnuje zejména:
- používání výrobcem certifikovaných softwarových komponent (ovladače apod.),
- testování a včasnou aplikaci záplat programového vybavení,
- nasazení prostředků monitorování provozu a včasného upozornění jak na prostředky vlastního informačního systému, tak i na prostředky síťové infrastruktury,
- použití nástrojů softwarové ochrany (antiviry apod.),
- logické umístění do bezpečné zóny sítě, pokud je to možné (intranet, DMZ).
Důvěrnost technických a programových prostředků
Důvěrnost technických prostředků zahrnuje především:
fyzickou bezpečnost – umístění technických prostředků do zabezpečeného prostoru, fyzická ochrana před riziky prostředí, další opatření zabezpečení používané telekomunikační infrastruktury – nastavení switchů, routerů apod.
Důvěrnost programových prostředků
Důvěrnost programových prostředků se týká zejména:
- zajištění odolnosti proti úmyslně či neúmyslně chybným vstupním datům (např. odolnost proti buffer overflow, SQL injection apod. útokům),
- zajištění ochrany proti parazitním kódům,
- zajištění ochrany proti podvržení identity spolupracujících systémů.
Integrita technických a programových prostředků
Integrita technických prostředků se týká zejména:
- ochrany proti přetížení,
- ochrany proti zničení či poškození.
Integrita programových prostředků zahrnuje:
- ochranu proti smazání softwarové komponenty,
- ochranu proti modifikaci či podvržení
- softwarové komponenty,
- ochranu proti modifikaci konfigurace softwarové komponenty
Ochrana před odcizením nebo zneužitím dat
Riziko vnitřní
Pro komplexní zabezpečení informačních systémů je zapotřebí uvědomit si nejen riziko vnější (tomu lze zamezit technickými prostředky), ale i vnitřní – to spočívá v nedostatečné informovanosti zaměstnanců či nedokonalých interních bezpečnostních pravidlech.
Mezi tyto bezpečnostní pravidla patří několik jednoduchých, ale přesto velmi často opomíjených zásad. Pracovníci by si neměli navzájem sdělovat přihlašovací jména a hesla, ani si je nikam psát.
Hesla by neměla být lehce odhadnutelná, to znamená, že nesmí odpovídat jménům zaměstnanců či jejich rodinných příslušníků, datu narození atd. Zaměstnanci by dále neměli využívat internet k navštěvování nebezpečných stránek či stahovat a odesílat nebezpečné přílohy, samospustitelné aplikace apod. Rizikovému chování při používání internetu může předcházet správně nastavená bariéra Firewall nebo Proxyserver.
Nicméně proti nezodpovědnému chování ochrany není. Pro ještě vetší zvýšení zabezpečení lze využívat přístupové karty, omezení práv přístupu uživatelů k datům podle jejich skutečných potřeb a stupně důležitosti dat, nastavení práv uživatelů komunikujících prostřednictvím internetu, protivirovou kontrolu veškeré komunikace směřující dovnitř i ven z vnitřní sítě a podobně.
Riziko vnější
Riziko vnější můžeme rozdělit na tři hrozby:
1) prolomení hesla hrubou silou
2) prolomení hesla sociálním útokem
3) hardwarový útok
Prolomení hesla hrubou silou
prolomení hesla hrubou silou znamená „uhodnutí“ hesla pomocí softwaru který buď vyzkouší během velmi krátké doby velké množství kombinací a je jen otázkou času než na tu správnou kombinaci narazí. Proti této hrozbě možné se bránit omezením počtu pokusů na udání hesla a v případě překročení limitu zakázat na nějakou dobu přístup do systému.
Prolomení hesla sociálním útokem
Prolomením hesla sociálním útokem nazýváme chybu lidského faktoru. To znamená, že heslo je buď zjištěno neoprávněnou osobou z důvodu nedbalosti odpovědného pracovníka (zvolil si jako heslo jméno manželky, domácího mazlíčka, oblíbené barva apod.). Nebo ho sdělil (i nevědomky) do špatných rukou.
Hardwarové útoky
Využívají k útoku nedokonalosti hardwaru. Mezi nejznámější patří tzv. sniffing, tj. na síti odposloucháváme pakety, které nám nepatří. Například na jednom z nejrozšířenějších typů sítí Ethernet se data neposílají konkrétnímu počítači, což ani není možné, ale celému segmentu. Pomocí vhodného software tak lze donutit síťovou kartu, aby zachytávala všechny datové pakety, nejen ty určené počítači, kde je instalovaná. V nich je pak možné najít spoustu zajímavých informací, například uživatelské jméno a heslo.
Odposlouchávat komunikaci lze i "napíchnutím se" na kabel mezi počítačem a modemem. K technicky náročnějším odposlechům patří například "odposlech monitoru" – každý monitor vyzařuje silné elektromagnetické pole, které je možno zachytit anebo instalace nějakého záznamového zařízení mezi klávesnici a počítač. Dalším, nebezpečím, proti kterému je třeba se bránit je prosté odcizení harddisku nebo celého počítače. Zneužití dat s ukradeného počítače nebo paměťové jednotky lze zabránit zašifrováním dat v nich obsažených.
Atestace
Každý správce ISVS musí dodržovat povinná ustanovení standardů. U některých standardů je správce povinen prokázat shodu "svého" ISVS s daným standardem formou atestačního řízení. Atestaci udělují pro jednotlivé IS atestační střediska, jejichž seznam je zveřejněn na internetových stránkách ministerstva informatiky. Jde tedy další bezpečnostní opatření mající za úkol ještě zkvalitnit informační systémy veřejné správy.
Zdroj:
Odpovědět na příspěvek