10. Říj. 2004

Bezpečnost IS – co to znamená? (1. díl)

Jak přistoupit k zajištění bezpečnosti informačního systému?

V první řadě je třeba si vytvořit přehled oblastí, které jsou potenciálně rizikové.

Následně je třeba zvážit co a do jaké míry je těmito riziky ohroženo a na tomto základě stanovit okrajové podmínky a pravidla pro zajištění bezpečnosti informačního systému.

Zde doporučujeme následující systém řízení bezpečnosti:

vývoj politiky bezpečnosti informačních technologií

identifikaci rolí a odpovědností uvnitř organizace

• řízení konfigurace informačních systémů
• řízení změn
• povědomí všech zaměstnanců o bezpečnosti informačních systémů
• výběr a implementace vhodných ochranných opatření
• havarijní plány a plánování obnovy systémů a dat po havárii
• management rizik, včetně identifikace a odhadu: 
  • aktiv, která je třeba chránit
  • hrozeb
  • zranitelností
  • dopadů
  • rizik
  • ochranných opatření
  • zbytkových rizik
  • omezení
• následující včetně: 
  • údržby
  • bezpečnostního auditu
  • monitorování
  • revize
  • zacházení s incidenty

Po zpracování této problematiky je možno přistoupit ke zpracování cílů, strategie a bezpečnostní politiky informačního systému.

Velmi důležitým faktorem při rozboru a řešení problematiky bezpečnosti je komplexní pohled. Ne vždy jsou použitá řešení vyvážená, celistvá a stává se, že neodpovídají skutečným potřebám a požadavkům. Nevyváženost může být způsobena zaměřením se na oblast technického zabezpečení, která je v momentální situaci nejvíce v „kurzu“ a opomíjením dalo by se říci „lidského“ zabezpečení. Málokdo si uvědomuje, že jde o neméně důležitou součást, která spolu s technickými prostředky tvoří nedílný celek zabezpečení informačního systému. Jinak řečeno, jestliže při zabezpečování našeho systému volíme vyspělou techniku a důmyslný systém opatření proti útokům zvenčí, měli bychom současně s tím i důkladně vyřešit problematiku týkající se útoků zevnitř. To co zaručí anebo nadobro zničí úspěch ochrany není jen samotné technické řešení, ale také uplatňování organizačních pravidel. Ta by měla být řešena i v rámci životního cyklu informačního systému. Celý systém řízení bezpečnosti tak můžeme rozdělit na dvě části:

Pro správnou funkci bezpečnostních opatření je zapotřebí dodržovat základní pravidla při práci s počítačovými systémy. To znamená, že si uživatelé navzájem nesdělují přístupová jména, hesla a přístupové kódy. Samozřejmě je nikomu nedávají napsaná, s vyjímkou zapečetěných obálek v trezoru, které se otevírají při mimořádných krizových situacích. Samozřejmostí je, že uživatelé si svá hesla a přihlašovací jména nezapisují na volně přístupná místa. Typickým zlozvykem jsou lístečky nalepené na monitorech či klávesnicích. Také při volbě hesla či kódu je vhodné zvolit takový systém, aby heslo nebo kód nebyl lehce odvoditelný. Vysloveně nevhodné je vlastní jméno či příjmení, jména dětí, manžela či manželky, datumy narození, svátků a rodná čísla. Obzvláštní obezřetnost je na místě, pracuje-li se prostřednictvím internetu. Kromě již uvedeného je nutné pečlivě dodržovat nařízení týkající se zasílání a přijímání nepovolených typů příloh, stahování jakýchkoliv neznámých aplikací nebo samospustitelných souborů, navštěvování nepovolených či rizikových www stránek a podobně. Správné nastavení firewallu či pravidel proxyserveru může nežádoucí rizikové chování uživatelů výrazně omezit, nicméně nevyloučí jej nikdy. Proto je potřeba, aby sami uživatelé dodržovali základní pravidla bezpečnosti.

Druhou součástí systému řízení bezpečnosti je:

Tím můžeme rozumět např. zavedení přístupových karet, omezení práv přístupu uživatelů k datům podle jejich skutečných potřeb a stupně důležitosti dat, nastavení práv uživatelů komunikujících prostřednictvím internetu, protivirovou kontrolu veškeré komunikace směřující dovnitř i ven z vnitřní sítě a podobně. Zajištění technické části bezpečnosti lze dosáhnout pomocí správného nastavení firewallů, volbou vhodné vnitřní architektury sítě a mnoha dalšími způsoby.

Při posuzování bezpečnosti je třeba si uvědomit, že každý systém je silný jen tak, jak silný je jeho nejslabší článek. V případě zabezpečení informačních systémů je nejslabším článkem jednoznačně uživatel.

Jako příklad lze uvést situaci, kdy subjekt sice vhodně zvolí systém zabezpečení, má vypracovaný systém identifikací, autorizací, kontrol, evidencí a pravomocí uživatelů. Ale lidé pracující v tomto systému obcházejí nařízení a nastavení tak, že přílohy k e-mailu přejmenovávají, aby jejich název byl schválen při kontrole v ochranném pásmu a nedošlo k odhalení nepovolených příloh. Po přijetí na svou stanici provedou opětovné přejmenování do původní podoby a problém je na světě. Aplikace takto „protažená“ může napáchat značné škody, jejichž důsledky dokáží být velkou komplikací pro řádné fungování organizace.

Bezpečnostní politika (2. díl)
Bezpečnost informačních systémů – rizika (3. díl)

v kategoriích: Komunikace a bezpečnost, Seriály