WYŻSZA SZKOŁA SPOŁECZNO - EKONOMICZNA

TECHNOLOGIE INFORMACYJNE

ZAGROŻENIA, OCHRONA I BEZPIECZEŃSTWO

INFORMACJI ORAZ PODSTAWY PRAWNE

WYKŁAD

dr inż. Eugeniusz PIEDZIUK

WARSZAWA 2010

ZAGROŻENIA, OCHRONA I BEZPIECZEŃSTWO INFORMACJI

ORAZ PODSTAWY PRAWNE

Rodzaje zagrożeń informacji

W dzisiejszych czasach nowoczesne technologie informatyczne są nieodzownym elementem rozwoju niemalże każdego przedsiębiorstwa. Poszczególne stanowiska pracy i działy przedsiębiorstwa połączone są ze sobą w sieć lokalną, przez którą przekazują informacje i współpracują ze sobą. Komunikacja przez sieć niesie ze sobą wiele zagrożeń związanych z bezpieczeństwem przesyłanych danych.

Ze względu na charakter przyczyny powstania zagrożenia można je podzielić na:

• świadoma i celowa działalność człowieka - chęć rewanżu, szpiegostwo, wandalizm, terroryzm, chęć zaspokojenia własnych ambicji

• wydarzenie losowe - błędy i zaniedbania ludzkie, awarie sprzętu i oprogramowania, temperatura, wilgotność, zanieczyszczenie powietrza, zakłócenia w zasilaniu, klęski żywiołowe, wyładowania atmosferyczne, katastrofy

W obecnych czasach obszarem najbardziej narażonym na ataki jest intrasieć przedsiębiorstwa. Coraz bardziej popularne są fałszerstwa komputerowe, włamania do systemów, oszustwa i manipulacje danymi, podsłuch danych oraz niszczenie danych i programów komputerowych.

Nielegalne próby uzyskania haseł dostępu do komputera (np. poprzez włamanie się do systemu), nieuprawniony dostęp do bazy danych firmy, wykradanie listy adresów mailowych firmy i jaj kontrahentów oraz zakłócenie prawidłowego funkcjonowania sieci to typowe zagrożenia pochodzące z zewnątrz. Do zagrożeń sieci lokalnej od wewnątrz zaś zalicza się m.in.: udostępnianie poufnych danych przez pracownika firmy poprzez Internet., powielanie z Internetu oprogramowania zawierającego wirusy lub destabilizującego pracę komputera użytkownika.

Podział zagrożeń ze względu na lokalizację ich źródła

Zagrożenia informacyjne można podzielić za względu na źródło obszarów zagrożeń następująco:

• zagrożenia losowe - klęski żywiołowe, katastrofy, wypadki, które wpływają na stan bezpieczeństwa informacyjnego organizacji (np. pożar budynku, w którym przechowywane są nośniki informacji), tradycyjne zagrożenia informacyjne - szpiegostwo, działalność dywersyjna lub sabotażowa (ukierunkowana na zdobycie informacji, ofensywną dezinformację prowadzoną przez inne osoby, podmioty, organizacje),

• zagrożenia technologiczne - zagrożenia związane z gromadzeniem, przechowywaniem, przetwarzaniem i przekazywaniem informacji w lokalnej sieci przedsiębiorstwa (do takich zagrożeń zaliczamy przestępstwa komputerowe, cyberterroryzm, walkę informacyjną),

• zagrożenia wynikające z niedostatecznych rozwiązań organizacyjnych i strukturalnych.

Podział zagrożeń informacyjnych przedstawiono na schemacie 1.

Schemat 1.

Podział zagrożeń informacyjnych

Źródło: P. Bączek, Zagrożenia informacyjne a bezpieczeństwo państwa polskiego, Wyd. Adam Marszałek, Toruń 2006, s. 30.

Charakterystyka zagrożeń technologicznych.

Zagrożenia technologiczne danych przedsiębiorstwa to zagrożenia, na które dane narażone są podczas gromadzenia, przechowywania i ich przetwarzania .Ze względu na źródło ich pochodzenia można podzielić je na dwa podstawowe rodzaje: zagrożenia z zewnątrz oraz zagrożenia wewnętrzne.

Nielegalne próby uzyskania haseł dostępu do komputera (np. poprzez włamanie się do systemu), nieuprawniony dostęp do bazy danych firmy, wykradanie listy adresów mailowych firmy i jaj kontrahentów oraz zakłócenie prawidłowego funkcjonowania sieci to typowe zagrożenia pochodzące z zewnątrz. Natomiast do zagrożeń danych intranetu od wewnątrz zalicza się m.in.: utrata, uszkodzenie danych lub brak możliwości obsługi z powodu błędu lub przypadku, udostępnianie poufnych danych przez pracownika firmy poprzez Internet., powielanie z Internetu oprogramowania zawierającego wirusy lub destabilizującego pracę komputera użytkownika.

Funkcjonowanie szkodliwego oprogramowania w systemie informacyjnym

Złośliwe oprogramowanie, malware, to wszelkie aplikacje, programy, skrypty itp. działające w sposób szkodliwy dla użytkownika komputera. Powoduje nieprawidłowe działanie systemu lub jej poszczególnych składników np. awarie systemu, usuwanie ważnych plików, itp. Głównym celem złośliwego oprogramowania jest reprodukcja. Uszkadzanie systemów komputerowych, niszczenie danych i kradzież poufnych informacji to cele drugorzędne.

Malware może nosić również nazwę zagrożenia mieszanego, Dąży ono do maksymalizacji szkód i najefektywniejszego replikowania się za pomocą łączenia funkcjonalności kilku typów malware. Przykładem wykorzystania tego typu oprogramowania może być wysłanie wiadomości e-mail z osadzonym koniem trojańskim w załączonym pliku PDF, w którym zagnieżdżonych jest kilka innych koni trojańskich.

Można wyróżnić dziesięć podstawowych rodzajów złośliwego oprogramowania typu malware. Zostały zaprezentowane Ne schemacie 2. Są to:

• Wirus komputerowy - aplikacja infekująca komputer, którego kod wykonywalny jest zagnieżdżony w innym programie użytkowym. Podczas uruchamiania danego programu najpierw są wykonywane polecenia wirusa, a następnie uruchamia się program.

• Robak komputerowy - są to programy, aplikacje, itp., które replikują się w sieci. Podstawową kwestią różniącą go od wirusa jest brak bezpośrednich ataków na pliki. Robak powielając się zmniejsza tylko ilość pamięci systemu spowalniając jego pracę.

Schemat 2.

Podstawowe grupy złośliwego oprogramowania i wzajemne ich powiązania

Źródło: http://pl.wikipedia.org/w/index.php?title=Plik:Malwaregraph.png&filetimestamp=20070701184902

• Koń trojański to program, który z pozoru niegroźny, posiada jakąś szkodliwą funkcjonalność maskując ją podczas instalacji i uruchamiania programu.

• Backdoor'y to programy swoją funkcjonalnością podobne do koni trojańskich. Najczęściej są wykorzystywane przez hakerów do zdalnej administracji zainfekowanego komputera.

• Adware to oprogramowanie, którego działanie powoduje znaczne obniżenie wydajności systemu.

• Spyware to oprogramowanie, które zbiera informacje z komputera bez wiedzy użytkownika.

• Rootkit'y modyfikują istniejący system operacyjny zamiast instalowania swojego oprogramowania na poziomie aplikacji. Wyróżnia się trzy podstawowe rodzaje rookit'ów:

• Rootkit'y trybu użytkownika mają te same uprawnienia jak administrator systemu. Oznacza to, że rootkit'y trybu użytkownika mogą modyfikować procesy, pliki, sterowniki systemowe, porty sieciowe a nawet usługi systemowe. Instalowane są poprzez skopiowanie określonych plików na dysk twardy komputera i uruchamiają się automatycznie podczas każdego startu systemu. Przykładem rootkit'a trybu użytkownika jest Hacker Defender. Dobrze znany program Rootkit Revealer Marka Russinovich'a jest w stanie wykryć większość rootkit'ów trybu użytkownika.

• Rootkit'y trybu jądra systemu są zainstalowane na tym samym poziomie co system operacyjny i oprogramowanie wykrywające rootkit'y. Pozwala to na dowolną manipulację systemem operacyjnym. Niestabilność to jedyna z wad rootkit'ów jądra systemu, prowadząca zwykle do niewyjaśnionych awarii i blue screen'ów. Jednym z kilku zaufanych narzędzi do usuwania rootkit'ów jądra systemu (np. Rustock ) jest program GMER

• Rootkit'y firmware'owe jest jednym z najbardziej szkodliwych programów. Podczas wyłączania komputera rootkit zapisuje aktualny malcode, a po ponownym uruchomieniu - sam się reinstaluje., przez co jego usunięcie z komputera jest niemalże niemożliwe.

• Złośliwy kod mobilny to kolejny typ szkodliwego oprogramowania, które może być ściągnięte ze zdalnych serwerów, przesłane przez sieć, lub pobrane i uruchomione w lokalnym systemie. Kod mobilny jest złośliwy poprzez instalowanie go bez wiedzy i zgody użytkownika lub wprowadzenie użytkownika w błąd w kwestii funkcjonowania tego oprogramowania. Bardzo często jest to pierwsza faza złożonego ataku, porównywalnego w działaniu do narzędzia penetracji stosowanego przez konie trojańskie. Atakujący może następnie zainstalować dodatkowe oprogramowanie malware.

• Keylogger - występuje w dwóch formach: programowej i sprzętowej. Poprzez odczyt i zapis każdego naciśniętego klawisza użytkownika ma dostęp do adresów,

• kodów i innych cennych dla użytkownika informacji.

• Dialery - programy uzyskujące połączenie z siecią za pomocą innego numeru dostępowego niż wybrany przez użytkownika. Zazwyczaj są to numery o początku 0-700 lub numery zagraniczne. Oprogramowanie to ma szkodliwe działanie tylko dla posiadaczy modemów telefonicznych, analogowych i cyfrowych ISDN.

• Exploit - program umożliwiający hakerom bezpośredni dostęp do zasobów komputera atakowanego. W tym celu wykorzystuje lukę w oprogramowaniu zainstalowanym na tym komputerze. Exploity są stosowane jako pomoc w atakach na strony internetowe, systemy operacyjne oraz wszelkiego rodzaju aplikacje (pakiety biurowe, przeglądarki internetowe lub inne oprogramowanie).

• Wabbit - szkodliwy program, którego głównym zadaniem jest jak największe wykorzystanie pamięci komputera. Do tego celu wykorzystuje własność powielania się pliku aż do wyczerpania pamięci.

Ataki sieciowe na zbiory informacji

Ataki na zbiory danych stanowiących tajemnicę przedsiębiorstwa mają na celu przejęcie kontroli nad chronionymi systemami. Obecnie można wyróżnić trzy główne sposoby ataków sieciowych:

• poprzez połączenie przez Internet

• użycie komputera znajdującego się bezpośrednio w sieci

• połączenie się poprzez niebezpieczną sieć bezprzewodową

Atak na system komputerowy można określić jako działanie mające na celu przedostawanie się do chronionego systemu komputerowego w celu przechwycenia lub zniekształcenia przechowywanych w nim informacji. Rozróżnia się następujące rodzaje ataków na bezpieczeństwo:

a) przerwanie (interruption), czyli zniszczenie części systemu lub jej unieruchomienie, np. przecięcie linii łączności;

b) przechwycenie (interception), czyli uzyskanie dostępu do zasobów systemu przez czynnik postronny (osobę, komputer), np. podsłuch;

c) modyfikacja (modification), tj. zmiana zasobów przez osobę nieupoważnioną, np. modyfikacja programu lub komunikatów sieciowych;

d) podrobienie (fabrication), czyli atak na autentyczność, np. dodanie fałszywych danych do pliku.

Naruszenia bezpieczeństwa systemu można podzielić na przypadkowe i rozmyślne (złośliwe). Zdecydowanie łatwiej jest chronić system przed nadużyciami przypadkowymi niż przed złośliwymi. Z punktu widzenia bezpieczeństwa wyróżnia się atak aktywny i pasywny. Podział ataków na bezpieczeństwo został zaprezentowany na schemacie 3.

Atak aktywny (z angielskiego active attack), atak na bezpieczeństwo, polegający na wykonywaniu zmian w strumieniu danych lub tworzeniu danych fałszywych. Rozróżnia się cztery rodzaje ataku aktywnego: maskaradę, atak przez ponawianie, modyfikowanie komunikatów oraz blokowanie działania. Modyfikowanie komunikatów może również oznaczać ich opóźnianie. Blokowanie działania ma utrudnić normalną pracę systemu, np. niedocieranie informacji do miejsca, w którym są sprawdzane, dezintegrację sieci lub jej przeładowanie.

Atak pasywny (z angielskiego passive attack) to atak na bezpieczeństwo polegający na podsłuchiwaniu lub śledzeniu przesyłania w celu odkrycia treści komunikatu lub wykonania analizy ruchu (traffic analysis) danych w sieci. Ponieważ ataki pasywne nie zmieniają danych, są trudne do wykrycia.

Jednym z najbardziej spektakularnych i niebezpiecznych ataków jest atak Man In the Middle (MITM). Atak MITM polega na przekierowaniu próby połączenia między klientem a serwerem do fałszywego serwera lub komputera agresora. W przypadku ataku MITM atakujący jest osobą znajdującą się pomiędzy klientem a serwerem. Określany jest jako „człowiek w środku” (ang. man in the middle). Poprzez przekierowanie zapytania klienta do własnego komputera i przedstawienie mu fałszywego certyfikatu lub klucza publicznego atakujący uzyskuje dostęp do zaszyfrowanego połączenia. Następnie nawiązuje połączenie z rzeczywistym serwerem, udając właściwego klienta. Cały ruch między klientem a serwerem przechodzi przez komputer atakującego, a za pomocą wygenerowanych przez siebie kluczy atakujący ma możliwość odszyfrowanie przesłanych .

Zagrożeniem, przed którym najtrudniej jest się zabezpieczyć to atak DoS czyli odmowa usługi (ang. Denial of Service w skrócie DoS). Nie prowadzi ono do zniszczenia czy ujawnienia danych, lecz raczej do utraty reputacji i korzyści materialnych z powodu blokowania możliwości świadczenia usług lub powodowania dużych opóźnień w dostępnie do nich. Atak DoS polega na przerwaniu dostarczania usługi z powodu zniszczenia systemu lub jego chwilowej niedostępności. Jest on spowodowany wyczerpaniem dostępnych zasobów systemowych, wyłączeniem danej usługi bądź odcięciem dostępu do całej sieci lub systemu. Atak Dos można podzielić ze względu na:

• Wykorzystywane narzędzia ataku

Atak może być przeprowadzony fizycznie, gdy intruz ma dostęp do maszyn czy infrastruktury sieci i może np. przeciąć kable sieciowe bądź fizycznie uszkodzić lub zniszczyć komputery.

Atak może być przeprowadzony bez dostępu fizycznego do atakowanego systemu. Intruz wykorzystuje znane słabości w usługach i protokołach sieciowych posługując się odpowiednimi narzędziami.

Schemat 3

Ataki na bezpieczeństwo informacji w sieciach teleinformatycznych

Źródło: opracowanie własne

Liczbę komputerów atakujących

Atak może być przeprowadzony z jednej tylko maszyny, jest to wtedy zwykły atak typu DoS. Jednak do ataku może być wykorzystana większa ilość maszyn działających jednocześnie, wtedy mówi się o ataku rozproszonym (ang. Distributed Denial of Sernice - DDoS). Istnieje także odmiana ataku DDoS różniąca się sposobem jego przeprowadzania, jednak również bierze tutaj udział większa liczba komputerów atakujących - jest to atak typu DRDoS (ang. Distributed Reflection Denial of Sernice)

• Obszar ataku

Atakowi może podlegać jedynie konkretna usługa w danym systemie (np. serwis www), konkretny komputer, cały wydzielony system komputerowy lub cała sieć komputerowa. W ostatnim przypadku najczęściej niemożliwe staje się korzystanie z Internetu, zarówno przez osoby z atakowanej organizacji, jak również przez klientów, którzy nie mogą korzystać z usług danej organizacji.

• Metodę ataku

Intruz może przeprowadzić atak na kilka sposobów. Może on zalać sieć ogromną liczba pakietów, uniemożliwiając poprawne jej funkcjonowanie. Może też wykorzystać błędy w uruchomionych usługach, które doprowadzają najczęściej do odcięcia dostępu do danej usługi. Może również wykorzystać błędy w implementacji protokołów sieciowych powodując odcięcie atakowanego systemu lub zawieszenie danego systemu operacyjnego, a wiec odcięcie danego komputera.

Zagrożenia atakiem występują, gdy istnieją możliwości:

1. Nieuprawnionego dostępu do przechowywanych, przetwarzanych lub przesyłanych informacji niejawnych bez oddziaływania na system;

2. Nieuprawnionego oddziaływania na system, których wykorzystanie może powodować:

• zmiany w funkcjonowaniu sieci telekomunikacyjnej, w tym przerwanie lub czasowe zablokowanie realizowanych usług;

• dostęp do przesyłanych, przetwarzanych lub przechowywanych informacji;

• zniszczenie informacji lub innych zasobów;

• fałszowanie lub nieuprawnioną modyfikację informacji;

• dezinformację.

Kluczem do zwiększenia bezpieczeństwa sieci jest lepsze zrozumienie ataków. Atak nie pojawia się nagle - jest poprzedzony fazą zbierania informacji o celu. Typowy atak ma trzy etapy: działalność rozpoznawcza (rekonesans), przepływ informacji z rozpoznania do napastnika oraz właściwy atak, przeprowadzony na podstawie informacji uzyskanych podczas rekonesansu. Chcąc jednak uzyskać kryptograficznie bezpieczny i spójny system teleinformatyczny (łączności), należy oprócz eksploatacji tych urządzeń zrealizować szereg przedsięwzięć organizacyjno - technicznych. Eksploatacja sieci teleinformatycznej (łączności) bez systemu ochrony informacji może umożliwić przeciwnikowi (wykorzystującemu istniejące luki w systemie ochrony) dostęp do informacji niejawnych, a działając w sposób aktywny może spowodować zniszczenie zasobów informacji i zdezorganizowanie funkcjonowania sieci.

Funkcje zaimplementowane w urządzeniach utajniających powinny realizować wiele różnych zadań kryptograficznych. Dla poprawnej pracy tych urządzeń niezbędne jest dostarczenie określonej ilości danych kluczowych, ich wymiana w określonym czasie i bieżący nadzór nad eksploatacją. Funkcje te możliwe są do zrealizowania przez odpowiednie zaprojektowanie i wykonanie urządzeń utajniających.

Specyfika eksploatacji sieci teleinformatycznej powoduje występowanie szeregu czynników sprzyjających powstawaniu zagrożeń bezpieczeństwa informacji. Poznanie ich pozwala prawidłowo projektować strukturę systemu, oraz konstrukcję i funkcje urządzeń.

Do czynników sprzyjających powstawaniu zagrożeń bezpieczeństwa informacji zaliczyć należy:

• rozproszenie zasobów teleinformatycznych na dużym terenie;

• eksploatowanie niewłaściwego sprzętu komputerowego;

• eksploatowanie „pirackiego” oprogramowania (systemowego i użytkowego);

• stosowanie do ochrony informacji nieetatowych środków ochrony (mechanizmów programowych i urządzeń technicznych);

• stosowanie sprzętu i oprogramowania nie sprawdzonego na obecność tzw. „pluskiew” programowych i sprzętowych;

• niechęć użytkowników i projektantów do stosowania środków ochrony informacji;

• niedocenianie zagrożeń bezpieczeństwa informacji w przez użytkowników.

Zagrożeniami bezpieczeństwa informacji mogą być występujące czynniki i elementy składowe systemu:

• ujawniająca emisja elektromagnetyczna komputerów, terminali i aparatury kanałowej oraz wrażliwość tych elementów na zakłócenie elektromagnetyczne;

• możliwość zdalnej penetracji zasobów informatycznych systemu;

• dołączanie podsłuchowych urządzeń rejestrujących;

• dołączanie niesankcjonowanych terminali;

• nielegalne wykorzystanie terminali użytkowników;

• stosowanie nielegalnego oprogramowania;

• czynniki losowe - zaniki napięcia, przesłuch, błędy w komutacji, zakłócenia w transmisji, powodzie, pożary;

• awarie urządzeń;

• niesolidność personelu wywołana niedoszkoleniem, bezmyślnością lub spowodowana szantażem.

W systemie teleinformatycznym eksploatowanych jest szereg różnych urządzeń i kanałów. Elementy te tworzą kilka podstawowych, zasadniczych podsystemów teleinformatycznych. W każdym z tych podsystemów występuje potrzeba określenia jednoznacznych i ścisłych wymagań dotyczących ochrony kryptograficznej. Do podsystemów tych zaliczyć należy:

• podsystem telekomunikacyjny;

• podsystem informatyczny;

• podsystemu kierowania i zarządzania siecią łączności;

• podsystem dystrybucji.

Jednocześnie z zasadniczymi funkcjami użytkowymi na te podsystemy powinny być nałożone elementy realizujące podsystem ochrony informacji.

Podsystem ten powinien spełniać następujące wymagania:

• powinien być szczelny, spójny i chronić informację przed nielegalnym ujawnieniem, modyfikacją, przekształceniem i zniszczeniem;

• powinien zapewniać ochronę informacji od momentu jej powstania u użytkownika do momentu jej wykorzystania i celowego legalnego zniszczenia;

• powinien spełniać wymagania użytkownika w zakresie ochrony i być przez użytkowników w pełni akceptowany;

• środki i metody ochrony powinny uwzględniać przewidywany charakter zagrożeń bezpieczeństwa.

Podsystem ten powinien być modyfikowalny. Do budowy podsystemu ochrony informacji należy stosować środki techniczne, programowe i administracyjno - organizacyjne. Użytkownikom należy zostawić swobodę w stosowaniu dodatkowych środków ochrony ich własnej informacji pod warunkiem, że uzyskają odpowiedni atest. Przy projektowaniu i wdrażaniu podsystemu ochrony należy uwzględnić koszty jego budowy i eksploatacji.

Ochrona informacji w sieciach teleinformatycznych obejmuje aspekty zabezpieczania fizycznego, organizacyjnego, przesyłania i przetwarzania danych. Jeśli informacja przesyłana między elementami sieci jest utajniana, lecz nie ma fizycznych ograniczeń w dostępie do systemu, to utajnianie może okazać się bezcelowe. W sieci teleinformatycznej ochrony wymagają:

• informacje i dane (łącznie z oprogramowaniem i danymi związanymi z zabezpieczeniami, np.: klucze, uprawnienia dostępu, itp.);

• usługi komunikacyjne i przetwarzanie danych;

• urządzenia.

Dla elementów tych istnieją następujące zagrożenia:

• zniszczenie informacji i/lub innych zasobów (nieświadome lub złośliwe);

• fałszowanie lub modyfikacja informacji;

• kradzież, usunięcie lub zgubienie informacji;

• ujawnienie informacji niejawnych;

• przerwanie usługi;

• zmiana uprawnień.

Środki ochrony, zmniejszające ryzyko uzyskania dostępu do danych przez osoby nieupoważnione, ogólnie można podzielić na dwie kategorie: ograniczenie dostępu do zasobów systemu zgodnie z ustaloną polityką ochronną instytucji lub organizacji oraz kodowanie informacji (utajnianie) za pomocą metod kryptograficznych.

Przyszli użytkownicy systemów, urządzeń czy też oprogramowania, które mają służyć do przechowywania, przetwarzania i przesyłania informacji o charakterze niejawnym, muszą mieć pewność, że wyrób który zamierzają kupić spełnia wymagania bezpieczeństwa teleinformacyjnego. Wiara w werbalne zapewnienia producentów czy dealerów o bezpieczeństwie teleinformacyjnym tej kategorii wyrobów jest niewystarczająca.

Użytkownik powinien polegać na wynikach formalnej i bezstronnej oceny, dokonanej przez uprawniony do tego organ. Ocena wyrobu wymaga dobrze zdefiniowanego kryterium oceny zabezpieczenia oraz istnienia jednostki certyfikującej, uprawnionej do wydania potwierdzenia, że oceny dokonane przez laboratorium badawcze zostały przeprowadzone właściwie. Ocena możliwości zabezpieczających systemu może być rozpatrywana jako część większej formalnej procedury przyjęcia systemu teleinformatycznego do stosowania w konkretnym środowisku.

Obecnie na zagrożenia procesów informacyjnych i infrastruktury teleinformatycznej najbardziej narażone są wysoko rozwinięte wielkie państwa, ale również kraje takie jak Polska, mogą spodziewać się potencjalnego ataku.

Kompleksowa ochrona informacji w sieciach teleinformatycznych obejmuje:

• aspekt prawny;

• zabezpieczenia fizyczne i organizacyjne;

• ochronę przed emisją ujawniającą;

• ochronę kryptograficzną.

Z oceny krajowych specjalistów i ekspertów wynika, że zagrożenia dostępu do sieci teleinformatycznej i naruszenia poufnych danych - w tym chronionych ustawą danych osobowych - nie spotykają się z właściwym zrozumieniem ze strony instytucji i podmiotów gospodarczych, które często traktują stały monitoring informacyjny jako dodatkowy, zbędny wydatek. Tak błędnie pojmowana oszczędność może przynieść katastrofalne skutki podczas zagrożeń, pomimo, że spektrum środków ochrony systemów i sieci jest coraz większe oraz tańsze.

Czynnik ludzki to źródło zagrożeń przekazywanych informacji

Bezpieczeństwo informacji obejmuje nie tylko sprzęt i oprogramowanie, ale również użytkowników tego systemu. Każdy system jest bezpieczny na tyle, na ile ludzie funkcjonujący w jego ramach są świadomi zagrożeń i strategii obronnej ograniczającej ryzyko. W czasach coraz szybszej informatyzacji przedsiębiorstwa bezpieczeństwo kluczowych danych zależy nie tylko od technologii, ale także od odpowiedniej edukacji pracowników i przygotowania na nieprzewidziane zdarzenia losowe. Zagrożenia, na które są narażone dane przedsiębiorstwa to najczęściej wyciek lub nieumyślne ujawnienie poufnych danych przez pracowników organizacji. Do tej grupy należy również dołączyć zaniedbywanie bezpiecznego zarządzania hasłami. Wiele osób pracujących w przedsiębiorstwie nie zdaje sobie sprawy, jak ważne mogą być dane, które przypadkowo ujawniają w obecności osób trzecich nieuprawnionych do tych informacji.. Świadomość pracowników, iż nawet niewielka ilość poufnych danych przekazanych osobom nieuprawnionym może doprowadzić do poważnych konsekwencji w nieprawidłowym działaniu firmy jest nadal podrzędnym celem bezpieczeństwa.

Powszechnie panuje przeświadczenie, że bezpieczeństwem informacji powinien i zajmuje się tylko wyspecjalizowany zespól ekspertów. Brakuje przekonania, że każdy pracownik powinien zaangażować się w proces bezpieczeństwa informacji. Ostatnim bardzo ważnym problemem jest celowe działanie na szkodę firmy przez pracowników działów IT mających dostęp do wszystkich danych przedsiębiorstwa. Zazwyczaj dzieje się tak, gdy pracownicy zostają zwolnieni i chcą się „odegrać” na pracodawcy ujawniając firmom konkurencyjnym poufne i wrażliwe dane, strategie rozwoju firmy, a nawet listy haseł ze szczególnymi uprawnieniami pracowników do zasobów firmy.

Zapory ogniowe i oprogramowanie antywirusowe są popularnym środkiem ochrony i bezpieczeństwa sieci. Technologie te zapewniają dostęp do sieci jedynie dla osób uprawnionych jednocześnie blokując dostęp osobom nieupoważnionym. Niemniej jednak w kontekście zagrożeń wewnętrznych ważną sprawą staje się oprogramowanie zarządzające dostępem opartym na regułach oraz śledzące i monitorujące urządzenia sieciowe. Uprawnienia do zasobów określają poziom dostępu do obiektu udzielony użytkownikowi, grupie lub komputerowi.

Kontrola dostępu to metoda zabezpieczeń, która pozawala na dostęp do informacji na podstawie tożsamości. Użytkownicy, którzy otrzymali od administratora uprawnienia bądź klucze do korzystania z informacji, mają możliwość do ich dostępu, w przeciwnym razie dostęp będzie zabroniony. Zazwyczaj jedyną osobą posiadającą możliwość przydzielenia każdemu pracownikowi praw i przywilejów w sieci jest administrator. Kontrola dostępu do zasobów danych przedsiębiorstwa staje się istotną kwestią zwłaszcza w większych przedsiębiorstwach. Przykładowo pracownik działu kadr nie powinien mieć możliwości przeglądania planów sprzedaży, a sprzedawca nie ma potrzeby oglądania plików tworzonych przez kadry. Aby zwiększyć kontrolę coraz częściej stwarza się politykę dostępu i uprawnień, dając jednocześnie administratorom narzędzia, przy użyciu których mogą taką politykę wymuszać. Polityka w zakresie dostępu to tylko jeden z elementów systemu ochrony przed zagrożeniami wewnętrznymi. Coraz szerzej stosuje się także wewnętrzne zapory ogniowe, szyfrowanie kluczowych baz danych, a także częste audyty ujawniające luki w wewnętrznych procedurach ochrony.

Coraz popularniejsze jest stosowanie restrykcyjnych środków organizacyjnych służących zapewnieniu poufności i integralności przetwarzanych danych. Każdy użytkownik systemu uwiarygodnia się w systemie informatycznym poprzez stosowanie unikalnego identyfikatora i hasła dostępu. Poza tym każdy użytkownik może działać tylko w ramach nadanych mu praw dostępu. Systemy wymuszają na użytkownikach zmiany haseł dostępowych po upływie określonego w regulaminie okresu, np. po upływie 30 dni.

Kontrola dostępu wpływa na zwiększenie bezpieczeństwa na terenie firmy oraz usprawnienia komunikację pomiędzy pracownikami. Zapewnia również ochronę przed wyciekiem danych poza firmę, zabezpiecza przechowywane i przesyłane informacje. Ogranicza też dostęp do pomieszczeń firmy dla wybranych pracowników. Kontrola dostępu ma na celu ograniczenie uprawnień użytkownika do minimum wymaganego do pracy w danym systemie. Zabezpiecza przed kradzieżą danych przez własnych pracowników.

Definicje bezpieczeństwa i ochrony informacji.

Kwestie bezpieczeństwa w biznesie odgrywają bardzo często kluczową rolę w działalności firm. Bez wiedzy o potencjalnych niebezpieczeństwach, znajomości zasad ochrony oraz sposobów reagowania na zagrożenia występujące w sieci nawet najlepszy model biznesowy, realizowany przez przedsiębiorstwo, może przynieść niebagatelne straty. Ochrona danych przed utratą lub ich przechwyceniem nie może ograniczać się do szczelnie zamkniętego czy specjalnie do tego przeznaczonego pomieszczenia. Bezpieczeństwo danych przedsiębiorstwa można zdefiniować jako zespół procesów i czynności zmierzających do zachowania danych w nienaruszonym stanie lub zmodyfikowanych przez autoryzowane podmioty.

Bezpieczeństwo z informatycznego punktu widzenia to stan, w którym komputer jest bezpieczny, jego użytkownik może na nim polegać, a zainstalowane oprogramowanie działa zgodnie ze stawianymi mu oczekiwaniami.

Bezpieczeństwo systemu informacyjnego (komputerowego) to taki stan systemu informacyjnego (komputerowego), w którym ryzyko urzeczywistnienia się zagrożeń związanych z jego funkcjonowaniem jest ograniczone do akceptowalnego poziomu. Bezpieczeństwo danych związane jest bezpośrednio z zachowaniem pewnych własności, zwanych atrybutami bezpieczeństwa. Istnieje siedem podstawowych atrybutów bezpieczeństwa danych: poufność, autentyczność, dostępność, integralność, rozliczalność, niezawodność i niezaprzeczalność.

Poufność danych to właściwość zapewniająca, że informacja nie jest udostępniana lub ujawniana nieautoryzowanym osobom, podmiotom lub procesom.

Autentyczność zapewnia, że użytkownik, który ma dostęp do danych, jest tym, za kogo się podaje. Innymi słowy autentyczność zapewnia, że tożsamość podmiotu lub zasobu jest taka jak deklarowana.

Dostępność umożliwia dostęp danych i możliwość ich wykorzystania na żądanie przez autoryzowane podmioty.

Integralność z kolei zapewnia iż dane nie zostały zmodyfikowane lub zniszczone w nieautoryzowany sposób.

Rozliczalność to właściwość zapewniająca, że działania podmiotu mogą być przypisane w sposób jednoznaczny tylko temu podmiotowi.

Niezaprzeczalność zapewnia brak możliwości wyparcia się podmiotu lub użytkownika swego uczestnictwa w procesie wymiany danych.

Niezawodność to właściwość oznaczająca spójne, zamierzone zachowanie i skutki.

Zasoby systemu informacyjnego zapewniające jego prawidłowe i bezpieczne funkcjonowanie:

• ludzkie - potencjał wiedzy ukierunkowany na rozwiązywanie problemów systemu; użytkownicy pełniący role nadawców i odbiorców informacji oraz adresaci technologii informacyjnych;

• informacyjne - zbiory danych przeznaczone do przetwarzania (bazy danych, metod, modeli, wiedzy);

• proceduralne - algorytmy, procedury, oprogramowanie;

• techniczne - sprzęt komputerowy, sieci telekomunikacyjne, nośniki danych.

Problematyka bezpieczeństwa, jak każda dziedzina, podlega pewnym ogólnym normom. Przy omawianym problemie bezpieczeństwa należy wyróżnić kilka istotnych ogólników, które obowiązują podczas projektowania i realizowania zabezpieczeń danych. Śmiało można stwierdzić, iż nie istnieje absolutne bezpieczeństwo. Zabezpieczenia są opracowywane z pewnym wyprzedzeniem, w związku z czym nie można przewidzieć wszystkich możliwych zagrożeń.

Aby możliwa była skuteczna ochrona organizacji, nie wystarczy wiedzieć co i dlaczego należy strzec. Należy także wybrać odpowiedni model bezpieczeństwa. Wyróżnia się cztery główne modele bezpieczeństwa, które organizacja może przyjąć:

Brak jakichkolwiek zabezpieczeń

Model ten można określić mianem modelu zerowego. Wiele organizacji nie podejmuje żadnych działań by zbudować jakikolwiek system zabezpieczeń. Organizacje te uznają, że poziom ryzyka zagrożenia jest niewspółmiernie mały w stosunku do kosztów wdrożenia polityki bezpieczeństwa. Stosowany jest on też w tych organizacjach, gdzie istnieje świadomość dotycząca spraw bezpieczeństwa, ale sprawy te są odkładane na dalszy plan. W chwili, gdy nastąpi atak jest już za późno, a właśnie dopiero w tym momencie władze organizacji wydają ogromne sumy pieniężne na wprowadzenie zabezpieczeń i jeszcze większe na likwidację skutków ataku.

Zabezpieczanie przez utajnianie

W tym modelu zakłada się, że system jest bezpieczny, ponieważ nikt o nim nie wie. Niestety, podejście to jest błędne, gdyż niemożliwe jest ukrywanie w nieskończoność systemu w Internecie. Każdy system, podłączony do sieci, korzysta z pewnych usług lub je udostępnia, jak również musi być zarejestrowany (np. przydzielenie adresu IP czy też domeny powoduje odnotowanie istnienia danego systemu) w ogólnie dostępnych bazach informacji. Nawet niedoświadczeni intruzi mogą w prosty sposób zdobyć pokaźną liczbę danych o określonej organizacji, podłączonej do Internetu. Kolejnym błędnym założeniem w tym modelu bezpieczeństwa jest fakt, że wiele małych firm uważa, iż nawet jeśli ktoś odkryje ich istnienie, nie będzie zainteresowany tym, czym dysponują. Wiadomo jednak, że istnieje cała grupa intruzów, którzy włamują się dla sprawdzenia własnych umiejętności.

Zabezpieczanie na poziomie poszczególnych komputerów

Model ten przewiduje zabezpieczenie każdego komputera w systemie z osobna w ten sposób, by zapobiec bądź złagodzić ewentualne problemy związane z bezpieczeństwem, które mogą mu zaszkodzić. Główną wadą tego modelu jest jego słaba skalowalność - dobrze sprawuje się tylko przy niewielkiej liczbie maszyn i to w miarę o ujednoliconej strukturze sprzętowo - programowej. W przypadku, gdy system składa się z komputerów o np. zróżnicowanych systemach operacyjnych, każda maszyna może powodować inne problemy. Administrator musi wkładać wiele wysiłku, by system oparty o ten model działał pewnie i bezpiecznie.

Zabezpieczenie systemu na poziomie całej sieci

Model ten jest wykorzystywany w większych organizacjach, gdzie kontrolowanie każdego komputera z osobna staje się trudne bądź wręcz niemożliwe. Polega on na kontrolowaniu dostępu z sieci do różnych komputerów i oferowanych przez nie usług. Obejmuje on tworzenie firewalli oraz używanie dobrych mechanizmów uwierzytelniających oraz szyfrowania do ochrony ważnych danych transmitowanych przez sieć. Model ten jest dużo bardziej efektywny niż pozostałe - pozwala chronić systemy zbudowane z kilkuset czy kilku tysięcy komputerów przed atakami z zewnątrz i nie zależy to od bezpieczeństwa każdego hosta z osobna. Jednak w sytuacjach, gdzie istnieje wiele wejść do organizacji z zewnątrz, uciążliwe staje się kontrolowanie każdego z nich. W takim przypadku należy stosować już modele warstwowe, łączące kilka podejść do bezpieczeństwa

Bezpieczeństwo fizyczne danych instytucji (przedsiębiorstwa) .

Jednym z najistotniejszych procesów związanych z ochroną informacji w przedsiębiorstwach jest fizyczne zabezpieczenie danych. Zabezpieczenie danych obejmuje zarówno dane zwarte w systemach teleinformatycznych oraz przetwarzane tradycyjnie w kartotekach, czy np. w wykazach. Dane należy chronić m.in. przed:

• udostępnieniem ich osobom nieupoważnionym

• nielegalnym przetwarzaniem ich z naruszeniem ustawy (np. brak sporządzenia umowy o powierzeniu przetwarzania danych osobowych)

• zmianą, utratą, uszkodzeniem lub zniszczeniem danych

Do najważniejszych rodzajów zabezpieczeń fizycznych należy zaliczyć tworzenie backupów, bezpieczne i skuteczne niszczenie niepotrzebnych dokumentów, kontrolowany dostęp do zasobów, urządzenia monitorujące, zamki z certyfikatem, itp. Ważne jest również stworzenie dostępu do komputerów za pomocą haseł znanych tylko osobom upoważnionym do owych zasobów.

NARZĘDZIA BEZPIECZEŃSTWA I OCHRONY INFORMACJI

Zapora ogniowa.

Zapora sieciowa (firewall) to mechanizm zaprojektowany w celu zapobiegania nieuprawnionemu użytkownikowi dostępu do sieci. Do zabezpieczenia tego typu służy zazwyczaj niezależny komputer lub inny sprzętowy element sieci. Zapora stanowi jedyny punkt wejściowy do sieci lokalnej - jej zadaniem jest kwalifikacja nadchodzących z zewnątrz zgłoszeń według zadanych reguł i ich przetworzenie, co w najprostszym ujęciu sprowadza się do akceptacji, bądź odrzucenia żądania połączenia z danym serwerem usług sieciowych. Zapewnia zachowanie reguł bezpieczeństwa między siecią prywatną a niezabezpieczoną siecią publiczną, na przykład Internetem. Innymi słowy zapora ogniowa odpowiada za przyznanie lub odmowę połączenia użytkownika Intranetu z daną usługą sieciową. Zapory sieciowe to narzędzia o dużych możliwościach, ale nie powinno się ich używać zamiast innych środków bezpieczeństwa, lecz obok nich.

Głównym celem stosowania zapór ogniowych w intranecie jest zapewnienie bezpiecznego dostępu do Internetu użytkownikom przedsiębiorstwa pracującego w sieci lokalnej podłączonej do sieci globalnej. Poza tym firewall ma chronić zasoby firmy przed atakami z zewnątrz a także całkowicie lub częściowo blokować użytkownikom intranetu dostęp do określonych miejsc w Internecie.

Na schemacie 4. przedstawiono przykład zapory między siecią LAN i WAN. Do zadań zapory ogniowej należy również rejestrowanie całości lub określonej części ruchu międzysieciowego oraz ukrywanie zasobów i topologii sieci.

Zazwyczaj stosowanymi mechanizmami obrony są:

• Filtrowanie pakietów, czyli sprawdzanie pochodzenia pakietów i akceptowanie pożądanych

• Stosowanie algorytmów identyfikacji użytkownika (hasła, cyfrowe certyfikaty)

• Zabezpieczanie programów obsługujących niektóre protokoły

Rysunek 4.

Przykład zapory między siecią LAN i WAN

Źródło: http://pl.wikipedia.org/wiki/Zapora_sieciowa

Podczas konstruowania zapory na potrzeby organizacji można wyposażyć ją dodatkowo w zestaw reguł odzwierciedlających strukturę zależności służbowych w danej organizacji. Hipotetycznie w firmie jest dział sprzedaży i księgowości, a strategia przedsiębiorstwa wymaga, aby tylko dział sprzedaży miał dostęp do zasobów serwera. Aby wymusić realizację tej polityki, firewall musi zostać wyposażany w regułę nie przyjmującą zgłoszeń połączenia otrzymywanych z działu księgowości. W takim aspekcie zapory sieciowe są tym dla sieci, czym są przywileje użytkownika dla systemu operacyjnego.

Do prawidłowego skonstruowania zapory sieciowej ważne jest stosowanie się do poniższych czynności:

1. Należy prawidłowo skwalifikować topologie sieci oraz potrzeby w zakresie aplikacji i protokołów.

2. Zanalizować zależności służbowe (kompetencje decyzyjne, dostęp do zasobów)

3. Stworzyć reguły dostępu do zasobów w oparciu o uprzednio określone potrzeby użytkowników oraz ich miejsce w strukturze decyzyjnej

4. Znaleźć odpowiednią zaporę dostosowaną dla potrzeb danego przedsiębiorstwa

5. Należy właściwie zainstalować i skonfigurować zaporę

6. Przetestować stosowane reguły

Współcześnie pracująca zapora sieciowa jest zwykle hybrydowym rozwiązaniem analizującym pakiety w każdej warstwie od poziomu protokołu IP, aż do poziomu aplikacji, oraz umożliwiającym realizację złożonych polityk bezpieczeństwa oraz integrację z systemami IDS.

Można rozróżnić trzy podstawowe typy zapór sieciowych :

1. Firewalle filtrujące: posiadają określony zestaw reguł, na podstawie których dopuszczają lub zabraniają określony ruch w sieci. Analizują one nagłówki pakietów pod kątem adresu źródłowego i docelowego, portu źródłowego i docelowego. W przypadku protokołu TCP mogą analizować stan połączenia, a więc czy dany pakiet inicjuje połączenie czy też jest już częścią wcześniej zainicjowanego połączenia. Filtry pakietów bardziej zaawansowane posiadają funkcję sprawdzania pakietu również pod kątem jego treści. Firewalle mogą także korzystać z informacji nie będących w nagłówkach pakietów jak interfejs, przez który pakiety wchodzą i wychodzą. Tego typu zapora ogniowa jest efektywna kosztowo, bardzo szybka, łatwo konfigurowalna i całkowicie przeźroczysta dla aplikacji. Wadą tego firewalla jest fakt, iż bardzo często narażony jest na ataki typu IP spoofing (podszywanie się). Trudne może być również utrzymanie reguł filtrowania.

2. Firewalle Proxy działają na poziomie aplikacji. Posiadają określony zestaw reguł, które są egzekwowane za pomocą programów pośredniczących (ang. proxy). Aplikacje pośredniczące pobierają żądania użytkowników dotyczące usług internetowych i przekazują je do właściwych usług. Podstawową zaletą tego typu usług przejrzystość zarówno dla użytkownika jak też dla prawdziwego serwera usługi.

3. oprogramowanie komputerów stacjonarnych: udostępnia wybrane porty do połączeń "z zewnątrz" monitorując ruch, udostępnia także połączenia na zewnątrz komputera wybranym usługom/programom. Często zintegrowane z ochroną antywirusową (na przykład Norton Internet Security)

Firewall jako podstawy mechanizm ochrony i bezpieczeństwa

Firewall jako podstawy mechanizm obronny instytucji - przedsiębiorstwa spełnia wiele innych funkcji, których zakres obejmuje:

1. Kontrolę dostępu do usług systemu

Kontrola stosowana jest wobec użytkowników zewnętrznych oraz pracowników przedsiębiorstwa, którzy z pewnych przyczyn przebywają czasowo poza terenem organizacji i muszą korzystać z usług systemu. W wyjątkowych sytuacjach zezwala się pracownikom na zdalne połączenie z systemem informatycznym organizacji za pośrednictwem sieci Internet, pracując na swoich komputerach domowych. Ściana ogniowa po zweryfikowaniu użytkownika dokonuje uwierzytelnienia jego tożsamości, czyli sprawdzenia, czy jest tym, za kogo się podaje.

2. Kontrolowanie połączeń sieciowych

Kontrola odbywa się w niższych warstwach modelu OSI. Ściana ogniowa akceptuje lub blokuje próby zainicjowania komunikacji sieciowej między określonymi komputerami.

4. Skanowanie serwisów sieciowych

Ściana ogniowa kontroluje sposób i charakter wykorzystania tych usług, na podstawie pewnych przyjętych reguł ochrony oraz ustaleń organizacyjnych. Skanowanie serwisów sieciowych stosowane jest najczęściej wobec usług internetowych takich jak: WWW, FTP i poczty elektronicznej.

5. Wykrywanie i eliminowanie prób włamania do systemu

Firewall musi być tak skonfigurowany, by obronić się przed atakami typu "spoofing", "source routing", "source porting", "SYN Flood", "Ping of Death" oraz wszystkich innych znanych technik stosowanych przez hakerów.

6. Zabezpieczenie przesyłanych informacji

Dane przesyłane są w formie zaszyfrowanej za pomocą wirtualnej sieci prywatnej (VPN).

7. Nadzorowanie pracy routerów

Nadzorowanie pracy routerów jest niezbędne w przypadku dużych sieci komputerowych, gdzie stosowanie jednego routera dostępu nie jest wystarczające. Router może prowadzić filtrowanie pakietów danych, szyfrowanie i uwierzytelnianie przesyłanych informacji, a także przeciwdziałać włamaniom typu "Spoofing".

8. Ukrywanie struktury wewnętrznej systemu

Ukrywanie struktury systemu ma na celu zmniejszenie ryzyka włamania z zewnątrz.

9. Monitorowanie bieżącego stanu komunikacji sieciowej

Monitorowanie bieżącego stanu komunikacji sieciowej umożliwia administratorowi wczesne zapobieganie określonym, niekorzystnym zjawiskom np. włamaniom, dużemu obciążeniu routera, itp. Na podstawie bieżącego stanu komunikacji, administrator może modyfikować parametry ściany ogniowej. Często stosowaną techniką zmniejszenia obciążenia systemu jest blokowanie usług.

Zapora sieciowa to narzędzie, które daje administratorowi ścisłą kontrolę nad tym, jaki ruch użytkownika pracującego w firmowej sieci może się przedostać z i do sieci publicznej. Nowoczesne ściany ogniowe potrafią również wykonywać modyfikację strumieni oraz uwierzytelnianie. Zapora sieciowa to podstawa bezpieczeństwa.

System wykrywania włamań

Zapory ogniowe nie zapewniają pełnego bezpieczeństwa danych w firmie. Do grona kompleksowych narzędzi służących do ochrony danych przedsiębiorstwa należy również zaliczyć sieciowe systemy wykrywania włamań (IDS - Intrusion Detection System).

Systemy wykrywania włamań (IDS - Intrusion Detection System) to programy, które wykrywają włamania do siei na podstawie pewnej liczby wyraźnych oznak. Aktywne systemy IDS próbują zablokować ataki stosując środki zaradcze oraz powiadomić administratora w czasie występowania ataku. Pasywne systemy IDS odpowiadają tylko za rejestrację włamania lub tworzą dzienniki włamania, które można obejrzeć po wystąpieniu ataku.

Współczesne aplikacje IDS monitorują, wykrywają i reagują w czasie rzeczywistym na nieautoryzowane działania w sieci. Większość ataków mieści się w jednej z trzech kategorii: rekonesans (np. skanowanie portów), wykorzystanie istniejących luk w celu uzyskania dostępu do sieci, ataki DoS, blokujące normalne działanie systemu lub przeciążające sieć.

Każdemu użytkownikowi lub urządzeniu można przypisać pewien wzorzec użytkowania sieci. Bezpodstawne anomalie tego wzorca uważane są za potencjalną próbę ataku. W momencie rozpoznania cech ataku mogą być podjęte stosowne przeciwdziałania, a zdarzenia takie są rejestrowane w dzienniku do późniejszej analizy. Sieciowy IDS składa się zazwyczaj z trzech komponentów:

• sensorów (aplikacje rozproszone w sieci monitorujące ruch)

• modułu zarządzającego (składuje sygnatury ataków i gromadzi dane zbierane przez sensory)

• konsoli (zarządza indywidualnymi sensorami w sieci).

System IDS jest złożony z jednego lub wielu sieciowych i serwerowych sensorów. Może posiadać również wiele systemów monitorowania i raportowania. Sensor IDS instalowany na komputerze lub serwerze monitoruje lokalne zasoby systemu w zakresie zmian i zachowań budzących podejrzenie ataku. Obszarem jego działań objęte są logi systemowe, procesy systemowe i wykorzystywane lokalne zasoby.

W przypadku podejrzenia ataku sensor wysyła zawiadomienie do konsoli. Tego typu sensory posiadają zdolność sprawdzania integralności systemu i danych oraz umożliwiają monitorowanie szyfrowanej łączności. Poza tym interpretują dane w zależności od platformy. Natomiast sensory sieciowe IDS monitorują cały ruch w sieci pomiędzy różnymi systemami, wyszukując charakterystyczne wzorce, identyfikując znane ataki lub poszukując niestandardowych zachowań. Są uruchamiane na specjalnym sprzęcie (network sniffer) lub integrowane z przełącznikami bądź ruterami.

Typy systemów wykrywania włamań:

1) Host - based IDS (HIDS), w których dane pochodzą z hosta

2)Network - based (NIDS), w których dane pochodzą z segmentu sieci

3)Hybrydowe, w których istnieje konieczność analizowania szyfrowanego ruchu.

Istnieją dwie główne metody, których używają systemy wykrywania włamań dokonując analizy danych w celu stwierdzenia o dokonaniu ataku. Pierwsza z nich to szukanie informacji, które odpowiadają wcześniej zdefiniowanym wzorcom. Każdy wzorzec odpowiada zwykle jednemu atakowi lub określa cała grupę ataków danego typu. Wzorce te zwane są sygnaturami, a analiza - analizą opartą na sygnaturach. Podstawową zaletą tego typu analizy jest brak fałszywych alarmów oraz zdefiniowanie narzędzia lub techniki wykorzystanej do ataku. Wadą zaś tej analizy jest możliwość wykrycia tylko tych ataków, które zna.

Druga metoda opiera się na wykrywaniu anomalii. W pierwszej fazie system detekcji intruzów gromadzi dane w trakcie normalnego funkcjonowania chronionego systemu, dzięki czemu w późniejszym terminie może stwierdzić odchylenia od normy. Metoda wykrywania anomalii doje możliwość wykrycia ataków nieznanych dla systemu lecz może prowadzić do generowania dużej ilości fałszywych alarmów.

Ochrona antywirusowa informacji

Można śmiało stwierdzić, że ochrona antywirusowa komputerów w instytucji - przedsiębiorstwie jest koniecznością. Komputer, który nie posiada tego typu ochrony jest stale narażony na ataki z zewnątrz. Zniszczenia, jakich może dokonać wirus zależą od jego typu, jednak bez ochrony dane przepływające przez sieć narażone są na ciągłe niebezpieczeństwo. Modyfikacja lub skasowanie plików, wykradzione adresy e-mailowe z książki adresowej, nieprawidłowe działanie programów zainstalowanych na komputerze to tylko nieliczne konsekwencje, jakie niesie ze sobą wirus. Straty mogą być znacznie większe.

W dzisiejszych czasach ochrona antywirusowa jest nieodzownym elementem prawidłowego zarządzania bezpieczeństwem w organizacji. Do ochrony antywirusowej służy zazwyczaj program komputerowy, którego celem jest wykrywanie, zwalczanie, usuwanie oraz zabezpieczanie systemu przed wirusami komputerowymi. Coraz więcej programów posiada również własność naprawy zainfekowanych już plików. Programy antywirusowe składają się z dwóch niezależnych modułów: skanera oraz monitora. Ten pierwszy bada pliki na żądanie lub w wyznaczonej przez administratora porze. Służy do przeszukiwania zawartości dysku. Z kolei monitor wykorzystywany jest do kontroli bieżących operacji komputera. Większość programów antywirusowych posiada możliwość aktualizacji definicji nowo odkrytych wirusów, przez pobranie ich z Internetu. Poza tym poza skanerem, monitorem i modułem do aktualizacji sieciowej pakiet antywirusowy zawiera często także zaporę sieciową, moduły kontroli przesyłek poczty elektronicznej i plików pobieranych z sieci..

Ochrona nie ogranicza się tylko do walki z wirusami, lecz chroni też ogólnie przed tzw. malware, czyli różnego rodzaju szkodliwym oprogramowaniem, oraz dba o ochronę prywatności danych użytkownika Może zawierać również narzędzia ułatwiające administrację większej ilości stanowisk ( np. zdalna aktualizacja czy zgłaszanie zagrożeń administratorowi sieci), co przydaje się w zarządzaniu lokalnymi sieciami firm i organizacji. Antywirusowa ochrona przedsiębiorstwa to wszelkie aplikacje zawierające większość lub wszystkie omówione wyżej funkcje, a także program do zarządzania nimi, czyli automatyzacji wdrażania i aktualizacji klienckiego programu antywirusowego. Typowy skaner antywirusowy dla przedsiębiorstwa jest wdrażany na wszystkich kieratach, serwerach i bramach pocztowych. Zarządzanie odbywa się z centralnego serwera, który kopiuje definicje aktualizacji, a następnie przesyła je na każdego klienta.

Ochrona kryptograficzna i podpis elektroniczny

Ważnym elementem bezpieczeństwa informacji w sieci przedsiębiorstwa są również kryptograficzne metody ochrony danych. Kryptografia to dziedzina wiedzy specjalizująca się w szyfrowaniu danych. Ściśle łączy się z wszelkimi zagadnieniami bezpiecznego przechowywania i przesyłania danych. Celem nadrzędnym kryptograficznych metod ochrony informacji jest wyeliminowanie lub ograniczenie do poziomu minimalnego dostępu do zasobów przedsiębiorstwa osobom nieuprawnionym. Techniki kryptograficzne umożliwiają również ochronę poufności informacjom niejawnym przechowywanym na dyskach. Zapewniają integralność, autentyczność oraz uwierzytelnianie informacjom niejawnym przesyłanym w sieci.

Szyfrowanie danych jest bardzo ważnym narzędziem do bezpiecznego przesyłania danych, szczególnie gdy przesyłane są informacje poufne (np. dane dotyczące wynagrodzenia pracowników , dane o kluczowych klientach przedsiębiorstwa). Ogólny schemat procesu szyfrowania i deszyfrowania danych został przedstawiony na schemacie 5.

Obecnie istnieje wiele technik szyfrowania, jednak używane są głównie dwie: szyfrowanie symetryczne i asymetryczne.

Tabela 1.

Wady i zalety szyfrowania symetrycznego i asymetrycznego.

Źródło: opracowanie własne

Proces szyfrowania symetrycznego odbywa się wówczas, gdy klucz k1 i k2 są jednakowe. Istotną kwestią w tym procesie jest zapewnienie tajności klucza. Natomiast jeśli klucz k1 jest inny, niż związany z nim klucz k2 to dane są szyfrowane asymetrycznie, a klucze mają nazwy: k1 jest to klucz publiczny, a k2 to klucz prywatny (musi być strzeżony, ale jest tylko jeden).

Schemat 5.

Proces szyfrowania i deszyfrowania danych.

Źródło: opracowanie własne

Klucz publiczny jest udostępniany wszystkim osobom, z którymi pracownik przedsiębiorstwa ma wymienić dane, służy do identyfikacji jego właściciela i jest jawny. Klucz prywatny pozostaje natomiast pod wyłączną kontrolą jego właściciela i nigdy nie może być ujawniany lub udostępniany osobom z zewnątrz. Istotną własnością wymienionych kluczy jest to, iż praktycznie niemożliwe jest odgadnięcie klucza prywatnego na podstawie znajomości klucza publicznego. Własność ta gwarantuje, iż podpisany dokument, który został poprawnie zweryfikowany kluczem publicznym mógł być stworzony tylko przez posiadacza klucza prywatnego.

Idea działania podpisu elektronicznego jest bardzo podobna do działania kryptografii asymetrycznej z kluczami. Dane przesyłane w postaci elektronicznej zawierają tzw. sygnaturę. Do tworzenia sygnatury używany jest klucz sekretny, a do jej weryfikacji używa się klucza publicznego nadawcy. Potwierdzenie przynależności klucza publicznego do danej osoby zapewniają certyfikaty klucza publicznego. Podstawowe własności podpisu elektronicznego to:

• Unikalność - każdy elektroniczny dokument posiada unikalny podpis cyfrowy ściśle z nim związany.

• Integralność - jakakolwiek zmiana dokumentu podpisanego cyfrowo zostanie natychmiast wykryta w momencie weryfikacji podpisu.

• Niezaprzeczalność - tylko osoba posiadająca klucz prywatny korespondujący z kluczem publicznym wykorzystanym do weryfikacji podpisu mogła wygenerować podpis pod dokumentem.

W dobie coraz szybszego rozwoju technik przesyłania i przetwarzania danych zdecydowanie bezpieczniejszą metodą szyfrowania danych jest stosowanie kryptografii asymetrycznej. Tabela 1. przedstawia podstawowe wady i zalety zarówno szyfrowania symetrycznego, jak też asymetrycznego.

Archiwizacja i kopie zapasowe informacji

Dane przedsiębiorstwa mają coraz częściej kluczowe znaczenie dla istnienia i funkcjonowania firmy. Kopie zapasowe danych, a w szczególności danych osobowych powinny być umieszczone na elektronicznych nośnikach informacji. Kopie zapasowe mają służyć ochronie danych w systemie przed zniszczeniem lub utratą integralności . Bardzo ważne jest, aby kopie danych nie były przechowywane w tym samym pomieszczeniu co dane eksploatowane na bieżąco.

Archiwizacja danych dokonywana jest na potrzeby użytkowników systemu informatycznego. Do archiwum trafiają stare i niepotrzebne lub rzadko przetwarzane dane, które przeniesione są na wolniejsze od dysków twardych, ale tańsze (i bezpieczniejsze) nośniki. Najczęściej stosuje się rozwiązania optyczne i magnetooptyczne, głównie ze względu na dość dużą pojemność i niski koszt nośnika. Dzięki temu przedsiębiorstwo ma stały dostęp do stworzonych danych przy niskim nakładzie finansowym.

Powszechnym sposobem zadbania o dane systemowe jest stworzenie kopii zapasowej danych, czyli popularnie zwanego Backup'a. Backup to ochronna kopia na bieżąco przetwarzanych danych (a często także systemu operacyjnego i zainstalowanych aplikacji) z serwera lub stacji roboczych. W razie wystąpienia awarii pomaga w krótkim czasie przywrócić system informatyczny do stanu z momentu wykonania ostatniego backupu.

Ze względu na sposób archiwizacji backup'y dzieli się na::

• Codzienna kopia zapasowa - kopiowane są pliki, które zostały zmodyfikowane w dniu wykonania kopii zapasowej.

• Kopia zapasowa typu kopiującego - kopiowane są pliki, których atrybut archiwizacji nie jest czyszczony. Ten typ kopi stosowany jest w przypadku konieczności wykonania kopii zapasowej plików między stworzeniem normalnych i przyrostowych kopii zapasowych

• Kopia zapasowa typu przyrostowego - kopiowane są tylko pliki utworzone lub zmienione od chwili wykonania ostatniej normalnej lub przyrostowej kopii zapasowej.

• Normalna kopia zapasowa - kopiowane są wszystkie wybrane pliki. Normalną kopię zapasową wykonuje się zazwyczaj przy tworzeniu po raz pierwszy zestawu kopii zapasowych;

• Różnicowa kopia zapasowa - kopiowane są pliki utworzone lub zmienione od czasu wykonywania ostatniej normalnej lub przyrostowej kopii zapasowej.

Kolejną metodą wspomagającą ochronę danych w przypadku ich utraty jest technologia RAID. Pozwalana na wyposażenie komputera w dodatkowe dyski na wypadek potencjalnej awarii dysku. Macierz RAID automatycznie rozkłada dane na dodatkowych dyskach i może je automatycznie odzyskać, gdy jeden z dysków padnie. Korzystając z wymienialnych dysków, można zastąpić uszkodzony dysk bez zamykania systemu.

Macierze RAID mają za zadanie zabezpieczanie danych oraz zwiększeniu transferu. Zasadniczym założeniem macierzy dyskowych jest tzw. redundancja czyli nadmiarowość informacji. Równoczesny zapis danych na kilku fizycznych dyskach to najlepszy sposób ochrony .W przypadku awarii wszystkich dysków możliwy jest odzysk danych również z macierzy RAID. W zależności od zastosowanego systemu RAID, ochrona i duplikacja danych odbywa się poprzez:

• striping tj. fragmentację danych - występuje w poziomie RAID 0 i służy zwiększeniu wydajności pracy dysku (dysków),

• mirroring czyli lustrzane odbicie dysków,

• striped mirroring - połączenie striping'u i mirroring'u

• striping parity - fragmentacja danych i zapis ich na tzw. dysku parzystości tj. tym dysku w macierzy, który przechowuje dane odnośnie zawartości pozostałych dysków.

Technologia macierzy RAID umożliwia wyposażenie komputera w dodatkowe dyski na wypadek potencjalnej awarii dysku. Tablica RAID samoczynnie rozkłada dane na dodatkowych dyskach i może je automatycznie odzyskać, gdy jeden z dysków przestanie działać. Korzystając z dysków można zastąpić uszkodzony dysk bez zamykania systemu.

Macierze RAID mogą działać w jednym z kilku trybów:

RAID Level 0 (Stripping)czyli paskowanie

Zapisywane dane są dzielone na bloki danych (tzw. stripe), a następnie przenoszone kolejno naprzemiennie na poszczególne dyski. Ze względu na to, iż głowice każdego z dysków pracują niezależnie, możliwy jest równoczesny zapis tylu bloków, ile dysków wchodzi w skład macierzy. Niestety macierz działająca w ten sposób zapewnia zbyt małą niezawodność - awaria jednego z dysków powoduje utratę całości danych.

RAID Level 1 (Mirror), czyli dyski lustrzane

Mechanizm ten obsługuje pary dysków twardych i polega na ciągłym tworzeniu kopii dysków na ich odpowiednikach, przeznaczonych do odzyskania danych w przypadku awarii dysku. Zaletą tego trybu jest duża niezawodność - większość dostępnych macierzy w razie awarii dysku automatycznie uruchomi kopię zapasową i umożliwi wymianę uszkodzonego elementu bez konieczności przerywania pracy macierzy. Jest to zastosowanie dobre dla małych biur, w których serwery nie są zbytnio rozbudowane i koszt budowy takiej macierzy nie jest wygórowany.

RAID Level 0+1 (oznaczany także jako Level 10).

Macierz pracująca w tym trybie składa się z parzystej liczby dysków, spośród których każda para pracuje w trybie RAID Level 1. Odczyt danych odbywa się ze zwiększoną prędkością (Level 0), a zapis ze zmniejszoną (Level 1)

RAID Level 2.

Macierz tego poziomu pracuje analogicznie, jak macierz RAID Level 0, lecz zapisywaniu danych towarzyszy zapisywanie wyliczanego na bieżąco bitu parzystości na oddzielnych, przeznaczonych specjalnie do tego celu dyskach.

RAID Level 3 (Disk Stripping with Dedicated Parity Disk). Jest to modyfikacja RAID Level 2. Różnica polega na tym, iż dane algorytmu korekcyjnego zapisywane są na jednym anie na wielu dyskach. Nieznacznie zwiększona zostaje szybkość zapisu informacji.

RAID Level 5 (Parity Across Disks )

Jest to najbardziej popularny poziom bezpieczeństwa RAID.  Poziom ten jest podobny do poziomu RAID 3 z tą różnicą, że dane są transferowane na dyski przez niezależne operacje odczytu i zapisu (nie równolegle). Dane są równomiernie rozłożone na wszystkie dyski w macierzy. Do budowy RAID 5 konieczne są minimum  trzy dyski. W sytuacji uszkodzenia jednego z dysków dane nie są tracone i jednocześnie zostaje zapewniony ciągły dostęp do nich. Poprzez zastosowanie dodatkowej pamięci cache w kontrolerze macierzowym uzyskuje się zwiększoną szybkość zapisu.

Znane dzisiaj metody ochrony informacji nie gwarantują absolutnego bezpieczeństwa i dalekie są od ideału, a zjawiska włamań do sieci nie dają się wyeliminować. Włamania do systemów teleinformatycznych przynoszą znaczne straty finansowe i często utratę zaufania do instytucji, której powierzono poufne informacje. Zgodnie z ustaloną i prowadzoną polityką ochronną w danej instytucji, istnieje szereg różnych metod i środków ochrony informacji. Do podstawowych z nich zaliczyć należy:

• metody organizacyjno - administracyjne:

• ograniczenie dostępu do informacji niejawnych;

• ograniczenie uprawnień osób funkcyjnych w systemie zarządzania;

• metody i środki programowe:

• hasła dostępu do zbiorów;

• uprawnienia;

• uwierzytelnienie i identyfikacja;

• zamknięte grupy użytkowników;

• środki techniczne:

• osłony ekranujące;

• kabiny ekranujące;

• ekranowanie pomieszczeń;

• urządzenia o obniżonym poziomie ujawniającej emisji elektromagnetycznej;

• światłowody;

• środki ochrony przed nieuprawnionym dostępem do sprzętu;

• środki ochrony przed nieuprawnionym dostępem do programów;

• szyfrowanie informacji.

• szyfrowanie kanałowe:

• szyfrowanie baz danych;

• uwierzytelnianie użytkownika.

Usługi ochrony danych zapewniają uzyskanie pewnych gwarancji w zakresie wiarygodności systemu teleinformatycznego:

• poufność - ochrona przed atakiem pasywnym;

• uwierzytelnienie - zapewnienie autentyczności informacji i osób: zagwarantowanie, że informacja pochodzi z takiego źródła, które jest przy niej wymieniane lub też osoba jest tą, za którą się podaje;

• nienaruszalność - zapewnienie integralności komunikacji, tzn. tego, że informacja jest odbierana w takiej postaci, w jakiej została wysłana;

• niezaprzeczalność - niemożliwość zaprzeczenia faktowi wysłania lub odebrania informacji;

• kontrola dostępu - możliwość kontrolowania dostępu do informacji (systemów) drogą identyfikacji i uwierzytelniania;

• dyspozycyjność - ograniczanie skutków ataku w sferze dostępności informacji.

Mechanizmy zabezpieczające obejmują następujące działania:

• szyfrowanie informacji;

• uwierzytelnianie informacji (podpisy cyfrowe);

• ochrona antywirusowa;

• identyfikacja i uwierzytelnianie osób uprawnionych.

Kryptograficzne metody ochrony są ważnym elementem bezpieczeństwa informacji w sieciach teleinformatycznych i chociaż mają zasadnicze znaczenie, same nie gwarantują pełnego bezpieczeństwa informacji. Celem kryptograficznej

ochrony informacji w systemie teleinformatycznym jest:

1. wyeliminowanie dostępu do zasobów podsystemu osobom nieuprawnionym;

2. zapewnienie dostępu do zasobów legalnym użytkownikom w ramach ich uprawnień;

3. zapewnienie poufności informacjom niejawnym przechowywanym na dyskach;

4. zapewnienie poufności, integralności i uwierzytelniania informacjom niejawnym przesyłanym w sieci teleinformatycznej.

Jeśli informacja jest szyfrowana, ale nie ma fizycznych ograniczeń w dostępie do systemu lub brak jest zabezpieczeń przed emisją ujawniającą, to szyfrowanie nie zapewni wysokiego poziomu bezpieczeństwa. Odpowiednio zaprojektowane i wdrożone szyfry zdecydowanie ograniczają możliwości działania nawet wyrafinowanego przeciwnika. Brak kryptograficznej ochrony informacji w sieci może powodować, że bezcelowe są inne działania (np. ochrona przed emisją ujawniającą). Metody kryptograficzne są wykorzystywane do:

• zapewnienia poufności informacjom przechowywanym i przesyłanym w sieci;

• zachowania integralności przesyłanych i przechowywanych danych;

• uwierzytelniania informacji;

• zapewnienia integralności połączenia (uniemożliwienie odbioru informacji przez innego niż adresat użytkownika);

• wiarygodnej identyfikacji i uwierzytelniania użytkowników i stacji;

• wiarygodnej weryfikacji uprawnień użytkowników do korzystania z zasobów sieci poprzez sterowanie dostępem (autoryzację) do danych;

• ochrony przed fałszywymi powtórzeniami;

• maskowania przepływu informacji między obiektami sieci.

Pełną poufność przesyłanych informacji zapewnić można tylko przez szyfrowanie u źródła i deszyfrowanie dopiero przy jej ujściu. Istotnym problemem jest wtedy dystrybucja kluczy szyfrowych. Zmiana kluczy odbywać się musi w taki sposób, aby nie powodowała utraty spójności sieci.

Wykorzystywanie tego samego klucza przez wielu użytkowników grozi jego dekonspiracją (np. wskutek utraty urządzenia utajniającego z kluczem), a w konsekwencji ujawnieniem wszystkich informacji zaszyfrowanych z jego użyciem. Stąd wymaga się, aby w każdej relacji i seansie łączności do szyfrowania informacji był wykorzystywany inny klucz. Do identyfikacji użytkownika wykorzystywane są tzw. inteligentne karty SIM, zawierające mikroprocesor z pamięcią. W pamięci są zapisane: numer użytkownika oraz jego prywatny tajny klucz szyfrowy. W SIM są zaimplementowane algorytmy szyfru jednokierunkowego, wykorzystywane w procesie identyfikacji i uwierzytelniania użytkownika oraz do wypracowania klucza wykorzystywanego w procesie szyfrowania przesyłanych informacji. Podstawowe pojęcia z zakresu ochrony danych to: atak na bezpieczeństwo danych, mechanizm zabezpieczający i usługa ochrony danych.

Warunkiem koniecznym wprowadzenia urządzeń kryptograficznych powinno być zapewnienie pełnego bezpieczeństwa podczas prowadzenia wymiany informacji. Pewną część tych zadań można zrealizować przez utajnianie (szyfrowanie) informacji. Chcąc jednak uzyskać kryptograficznie bezpieczną i spójną sieć teleinformatyczną, należy oprócz eksploatacji tych urządzeń zrealizować inne przedsięwzięcia techniczno-eksploatacyjne.

W specjalistycznej literaturze spotyka się często pojęcie, że urządzenia elektroniczne wytwarzają promieniowanie elektromagnetyczne, które może być związane z przetwarzaną informacją, jednak to stwierdzenie jest truizmem. Ta konstatacja spowodowała, że w Stanach Zjednoczonych pod koniec lat 50-tych zapoczątkowano specjalny program badawczy znany pod kryptonimem TEMPEST.

TEMPEST jest oficjalnym akronimem (ang. „Telecommunications Electronics Material Protected From Emanating Spurious Transmissions”) i zawiera techniczne środki bezpieczeństwa, standardy i oprzyrządowanie, które zapobiegają (ewentualnie minimalizują) wykorzystaniu słabych punktów bezpiecznych systemów. TEMPEST został „wynaleziony” w 1918 roku, gdy armia USA zatrudniła Herberta Yardleya wraz z jego zespołem, aby rozwinąć metody detekcji, podsłuchu i wykorzystania chronionych nadajników radiowych. Wstępne badania wykazały, że standardowy, niezmodyfikowany sprzęt, poprzez jego techniczne słabości, umożliwia przeciwnikowi przechwytywanie niejawnych informacji. Następnie, jak wcześniej wspomniano, został wykreowany niejawny program badawczy, którego celem było rozwinięcie metod ograniczania tzw. „emisji ujawniających”. Jednakże aktualny akronim znany jako TEMPEST został wymyślony na przełomie lat 60/70 i obecnie jest uważany jako termin przestarzały wypierany przez frazę ang. - „Emissions Security” lub EMSEC, co w języku polskim oznacza „Bezpieczeństwo emisji”.

W celu uporządkowania terminologii stosowane są następujące definicje:

• emisja ujawniająca (Compromising Emanation);

• niepożądana emisja sygnału, którego pewne cechy związane są z informacją nadawaną, odbieraną, przechowywaną i przetwarzaną przez przetworniki sygnału.

Ze względu na kanał przenikania informacji, emisję ujawniającą dzielimy na emisję promieniowaną i emisję przewodzoną:

1. Bezpieczeństwo emisji (ang. Emission Security). Wszelkie przedsięwzięcia utrudniające dostęp osób niepowołanych do informacji, która może być uzyskana przez odbiór i analizę emisji ujawniającej. Część bezpieczeństwa łączności;

2. Bezpieczeństwo łączności (ang. Communication Security). Wszelkie przedsięwzięcia utrudniające dostęp osób niepowołanych do informacji, którą można uzyskać z penetracji systemów łączności. W USA bezpieczeństwo łączności oznaczane jest akronimem COMSEC i obejmuje fizyczne zabezpieczenie informacji, zabezpieczenie kryptograficzne, bezpieczeństwo transmisji i bezpieczeństwo emisji.

Uwzględniając powyższe można stwierdzić, że bezpieczeństwo emisji jest jedną z cegiełek, z których buduje się bezpieczeństwo sieci teleinformatycznej. Bezpieczeństwo emisji związane jest ściśle z normami dotyczącymi tej problematyki (zazwyczaj są to normy niejawne). Pomimo, że zagraniczne normy z tej dziedziny są niejawne, w tym najbardziej zaawansowane - amerykańskie normy TEMPEST, to na podstawie fragmentarycznych danych, dostępnych w literaturze technicznej oraz na podstawie doświadczeń z badań urządzeń ochrony informacji firm zachodnich, a także ostatnio coraz szerszego dostępu do wymagań NATO. U podstaw zaproponowanej filozofii ochrony informacji przed elektromagnetycznym przenikaniem leżą zasady wielopłaszczyznowego wykorzystania różnych czynników.

Pierwszym etapem ochrony informacji jest projekt urządzenia przetwarzającego niejawną, nie utajnioną informację (np. mikrokomputer wykorzystywany do tworzenia niejawnych dokumentów). Można próbować tak zaprojektować i wykonać urządzenie, aby poziomy emisji ujawniających były jak najmniejsze. Takie działania prowadzą do uzyskania odpowiedniego poziomu zabezpieczenia urządzenia, czyli zakresu wykorzystania rozwiązań technologicznych jako integralnej części konstrukcji urządzenia w celu obniżenia poziomu emisji ujawniającej. Wymienione metody ochrony, tzn. zabezpieczenie urządzenia, zabezpieczenie miejsca oraz strefa bezpieczeństwa emisji, w konkretnym przypadku muszą zapewnić odpowiedni poziom zabezpieczenia informacji, - czyli wymagany stopień obniżenia poziomu emisji ujawniającej w celu uniemożliwienia odtworzenia informacji z wymaganą wiernością i w zadanym czasie. Przedstawiona wielowariantowa możliwość zapewnienia stanu bezpieczeństwa emisji pozwala elastycznie wybierać to rozwiązanie, które w danej sytuacji jest najlepsze z technicznego i ekonomicznego punktu widzenia.

Omówiona problematyka bezpieczeństwa emisji regulowana jest w NATO. Należy jednakże podkreślić, że poszczególne kraje członkowskie niezależnie od zobowiązań NATO-wskich stosują swoje narodowe normy, które stworzyły swoje wymagania narodowe nie udostępniane innym krajom, nawet sojusznikom. Postęp w komputeryzacji nie spowodował jednak doskonalenia systemów zabezpieczenia przed dostępem do informacji klasyfikowanych przez „Ustawę z dnia 22 stycznia 1999 r. o ochronie informacji niejawnych”. W Polsce dość skutecznie chroni się bazy danych firm przed hakerami działającymi w sieciach komputerowych oraz zwykłymi włamaniami np. do linii transmisyjnych. Zupełnie inny wymiar ma ochrona przed włamaniami do systemów komputerowych dokonywanych przy użyciu nowoczesnych systemów skanujących dane „namierzonego” komputera. W naszym kraju normy te nie były dotychczas stosowane. Zabezpieczenie komputerów przed emisją ujawniającą w wielu instytucjach i urzędach centralnych z przedstawionych powyżej przyczyn nie jest najlepsze, a szczególnie w instytucjach placówkach naukowych. Można mieć nadzieję, że w najbliższych latach, konieczność tworzenia społeczeństwa informacyjnego, a przede wszystkim obecności państwa w strukturach NATO i UE pozwoli na nadrobienie zaistniałych zaległości i stworzenia skutecznych systemów zabezpieczeń i ochrony informacji w systemach komputerowych jak i samych komputerów.

Etapy realizacji podsystemu bezpieczeństwa i ochrony w systemach teleinformatycznych.

Ocena zagrożeń jest pierwszym etapem pracy przy analizie bezpieczeństwa sieci, obejmuje ona:

1. identyfikację słabych punktów systemu;

2. analizę prawdopodobieństwa występowania zagrożeń z uwzględnieniem słabych punktów systemu;

3. ocenę konsekwencji wykorzystania każdego zagrożenia indywidualnie oraz w powiązaniu z innymi zagrożeniami;

4. oszacowanie kosztów każdego ataku (w tym ocenę na ile udany atak ułatwia następne);

5. oszacowanie kosztów potencjalnych środków przeciwdziałania, w tym również ewentualnego pogorszenia parametrów funkcjonalnych systemu.

Następnym etapem realizacji ochrony powinno być zrealizowanie przedsięwzięć organizacyjno-administracyjnych. Opracowane powinny być one z uwzględnieniem następujących zasad:

1. Informacja powinna być przekazana, udostępniona lub przedstawiona do oceny tylko tym użytkownikom, którzy są do tego odpowiednio uprawnieni.

2. Użytkownicy powinni mieć dostęp do zasobów tylko w zakresie swojego uprawnienia.

3. Każda próba nieuprawnionego działania w systemie powinna być wykrywana, rejestrowana i sygnalizowana służbom nadzoru.

4. Działania użytkowników systemu łączności, mające wpływ na żywotność systemu, powinny być one rejestrowane w dzienniku kontrolnym z podaniem danych identyfikujących użytkownika, rodzaju i terminu wykonywanej operacji.

5. prowadzeniu dziennika użytkownicy powinni być poinformowani, ale nie powinni mieć do niego dostępu. Dostęp do dziennika powinien być zagwarantowany dla służb nadzoru.

Następnym etapem powinien być więc wybór odpowiednich urządzeń utajniających. W celu zrealizowania ww. założeń, w urządzeniach tych powinny być zainstalowane następujące niezbędne elementy:

• ściśle sprecyzowane algorytmy obsługi, uwzględniające wprowadzenie hasła;

• konieczność pracy z identyfikatorem osobistym, wykorzystywanym m.in. do tworzenia grup użytkowników;

• segmenty realizujące funkcje archiwizacji podstawowych zdarzeń;

• segmenty realizujące procedury zdalnej dystrybucji;

• procedury transmisyjne;

• algorytmy zabezpieczające dane kluczowe przechowywane w urządzeniach.

Podstawowym etapem w organizowaniu systemu ochrony jest rozpoznanie obszaru ochrony. Przede wszystkim trzeba określić, z czego składa się sieć: jak wygląda schemat sieci, punkty dostępu do sieci i kto z nich korzysta. Ponadto należy dokonać oceny wartościowej informacji. Jakie zasoby informacyjne są na tyle ważne, aby je chronić, i gdzie są zlokalizowane?

Szkolenie personelu w zakresie ochrony informacji jest sprawą poza wszelką dyskusją, choć często zaniedbywaną. Niezbędna jest ciągła współpraca personelu zajmującego się ochroną z komórkami organizacyjnymi przedsiębiorstwa, jak również wspomaganie, zrozumienie i elastyczność wobec użytkownika końcowego. Proces edukacyjny dla całego personelu powinien być dostosowany do oczekiwań i potrzeb każdej grupy pracowniczej, w przeciwnym razie ochrona będzie pomijana, wyłączana lub ignorowana. Ustalenie polityki ochrony i przeszkolenie personelu są wstępem do wprowadzenia w życie planu ochrony - realizacja tego zadania powinna być w miarę „bezbolesna” i płynna.

Znanych jest kilka podejść do problemu ochrony informacji, mających wpływ na całą architekturę systemu ochrony. Nie są to rozwiązania idealne, ponieważ żaden system nie jest w stanie spełnić wszystkich wymagań.

Jakość podsystemu bezpieczeństwa i ochrony zależy od prawidłowego opracowania założeń, wyboru odpowiednich urządzeń utajniających oraz zrealizowania przedsięwzięć organizacyjno-administracyjnych. Zaproponowana konstrukcja urządzeń utajniających powinna umożliwić wdrożenie modułu do wielu urządzeń podsystemu łączności. Przyjęta technologia powinna pozwolić na ciągły rozwój urządzeń już opracowanych, wdrożonych i eksploatowanych. Kolejne wersje urządzenia lub określone ich funkcje mogą być wprowadzane przez upoważnione osoby u użytkownika, po dołączeniu dowolnego urządzenia telekomunikacyjnego lub informatycznego.

Bezpieczeństwo sieci to nie tylko środki techniczne i programowe systemów ochrony. Bezpieczeństwo to zarówno problem środków ochrony, jak i zarządzania zasobami oraz informacją. Jest ono w rzeczy samej pochodną dobrej organizacji i właściwej polityki ochrony wprowadzanej na wszystkich szczeblach organizacyjnych. Problem ochrony sieci instytucji, przedsiębiorstwa należy rozpatrywać na wszystkich szczeblach jego struktury organizacyjnej nie wyłączając z tego ścisłego zarządu. Polityka ochrony musi być jednoznaczna i przejrzysta, a każdy pracownik firmy powinien być z nią zaznajomiony. Sama technologia nie może zapewnić pełnego bezpieczeństwa. Ochrona to przede wszystkim właściwe zarządzanie i organizacja.

Strategia bezpieczeństwa informacyjnego państwa nie została jeszcze w pełni określona, o tym decyduje poziom rozwoju sieci, komputeryzacja sektora publicznego i poziom zrozumienia nowych zagrożeń przez podmioty gospodarcze szczególnie prywatne. Powstaje ona na możliwościach dostosowań polskiej gospodarki do modelu społeczeństwa informacyjnego i zmian a przede wszystkim w sektorze telekomunikacyjnym. Program dostosowawczy ePolska jest inicjatywą pomostową, która odpowiada na unijne dyrektywy, sugerujące przygotowanie państw kandydackich do jednolitego modelu społecznego (program eEuropa+). Diagnozuje podstawowe zagrożenia w dziedzinie bezpieczeństwa informacyjnego i wskazuje prawne środki zapobiegania. Polski system legislacyjny powoli dostosowuje się do nowych rodzajów przestępstw teleinformatycznych.

Należy jednak opracować strategie szkoleniowe, prowadzić stały monitoring sieci i systemów, zapewnić szeroką kampanię informacyjną na temat zagrożeń bezpieczeństwa teleinformatycznego. Z tworzeniem systemu muszą być powiązane: harmonizacja systemu prawnego i zmiany legislacyjne, wprowadzające m.in. ściganie z urzędu przestępstw teleinformatycznych (szczególnie komputerowych).

UWARUNKOWANIA LEGISLACYJNO-PRAWNE BEZPIECZEŃSTWA I OCHRONY INFORMACJI

W organizacjach są przetwarzane różne rodzaje informacji, jedne są chronione ze względu na interes firmy, inne ze względu na wymogi przepisów prawa, pozostałe zaś są bądź muszą być ujawniane. Dane osobowe to szczególny rodzaj informacji, których ochrona jest uregulowana w przepisach prawa państwowego i unijnego. Utrata poufności tych danych to szczególnie wrażliwy punkt jakim jest prawo do prywatności każdego człowieka. Administrator Bezpieczeństwa Informacji (ABI) to osoba wyznaczona przez administratora danych, którego zadaniem jest nadzorowanie przestrzegania zasad ochrony danych osobowych.

Funkcja Administratora Bezpieczeństwa Informacji jest ukonstytuowana przepisami Ustawy o ochronie danych osobowych, która jest podstawowym aktem prawnym regulującym ochronę danych osobowych. Systemy informatyczne, w których są przetwarzane dane osobowe muszą spełniać wymagania techniczne opisane w przepisach prawa i uregulowaniach wewnętrznych jednostki organizacyjnej. ABI jest zobowiązany do dopilnowania wypełnienia tych wymagań.

Rozporządzenie MSWiA z dnia 29 kwietnia 2004 roku nakłada obowiązek posiadania formalnej instrukcji Polityki Bezpieczeństwa. To rozporządzenie narzuciło przedsiębiorstwom i inny organizacjom obowiązek zaprojektowania i wdrożenia w swoich firmach Polityki Bezpieczeństwa oraz opracowanie Instrukcji Zarządzania Systemem Informatycznym.

Podstawy prawne warunkujące poprawność stworzonej Polityki Bezpieczeństwa określają:

• Ustawa o ochronie danych osobowych z dnia 29 sierpnia 1997 r. (tekst jednolity - Dz. U. nr 101 z 2002 r. poz. 926, z późn. zm.).

• Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024).

• Szczególne akty prawne właściwe dla danej instytucji lub firmy

Podczas tworzenia Polityki Bezpieczeństwa danego przedsiębiorstwa istotnym elementem są rozmowy z pracownikami oraz zarządem firmy celem określenia planów biznesowych oraz poziomu zabezpieczenia systemów informatycznych. Po dokonaniu analiz zostają wybrane optymalne mechanizmy zabezpieczające procesy biznesowe firmy.

Kolejnym aktem prawym zobowiązującym do bezpieczeństwa i ochrony danych jest Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych ( Dz.U.2010.182.1228). Zawiera między innymi sposoby zabezpieczenia danych przesyłanych przez dostawców usług. W celu zapewnienia całkowitego bezpieczeństwa danych wskazuje na używanie metod kryptograficznych oraz odpowiednich środków ochrony w systemach i sieciach teleinformatycznych w zależności od klauzuli przetwarzanych informacji.

Podstawowe wymagania bezpieczeństwa teleinformatycznego określa Rozporządzenie Prezesa Rady Ministrów z dnia 25 sierpnia 2005 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego (Dz. U. Nr 171 z 2005 r. poz. 1433). Stosownym elementem ochrony teleinformatycznej jest m.in. fizyczne oddzielenie sieci od Internetu, wydzielenie odpowiednio wzmocnionego pomieszczenia w strefie bezpieczeństwa (ewentualnie w specjalnej strefie bezpieczeństwa), czy zastosowanie urządzeń o obniżonym poziomie emisji elektromagnetycznej.

Następnym przepisem prawa chroniącym dobro przedsiębiorstwa jakim są jego dane to Ustawa o zwalczaniu nieuczciwej konkurencji z 16 kwietnia 1993 (Dz.U. ,Nr 47, poz.211). Zapisy prawa w tej ustawie umożliwiają ochronę tajemnicy przedsiębiorstwa i danych dotyczących wszelkich aspektów jego działalności oraz zaniechania niedozwolonych i szkodliwych dla firmy działań przez konkurencję. Warunkiem koniecznym jest tutaj określenie, jakie informacje dotyczące firmy są pufne i nie mogą być ujawnione do wiadomości publicznej. Dane takie muszą być sprecyzowane za pomocą wdrożenia Polityki Bezpieczeństwa Informacji, w której takie informacje zostaną określone jako tajne.

Pozostałe przepisy prawa chroniące informację i egzekwujące naruszenie zasad jej ochrony to:

• - Przepisy Kodeksu Pracy

• - Przepisy Kodeksu karnego dotyczące przestępstw przeciwko ochronie informacji

• - Przepisy karne chroniących tajemnice zawodowe

Prawa autorskie

Korzystanie z programów komputerowych wymaga przestrzegania norm etycznych i prawnych. Oprogramowanie komputerowe jest w pełni objęte obowiązującym prawem autorskim. Użytkowanie oprogramowania zabezpieczone jest szeregiem warunków; najważniejsze z nich to:

• Ograniczenie liczby kopii użytkowanego oprogramowania.

• Zakaz udostępniania oprogramowania innym użytkownikom.

Umowa licencyjna w szczególności może określać możliwości w zakresie:

• Zwielokrotniania programu (w całości lub w części)

• Modyfikowania programu (tłumaczenie, przystosowywanie, itp.)

• Rozpowszechniania programu (sprzedaż, dzierżawa, najem, itp.)

Korzystanie z produktów programowych w ramach umów licencyjnych może dotyczyć:

• Jednego programu komputerowego.

• Oprogramowania towarzyszącego (Original Eąuipment Manufacturer - OEM)

• Oprogramowania „open source" („otwartego" dla wielu osób)

Wyróżnia się dwa rodzaje programów dostępnych „za darmo":

• Freeware - to licencja oprogramowania umożliwiająca darmowe rozprowadzanie aplikacji bez ujawnienia kodu źródłowego. Termin freeware bywa również używany jako synonim oprogramowania objętego tą licencją. Czasami licencja freeware zawiera dodatkowe ograniczenia (np. część freeware jest całkowicie darmowa, ale jedynie do użytku domowego). Sam termin został stworzony przez Andrew Fluegelmana. Programy na licencji freeware mogą być nieodpłatnie wykorzystywane, jednak zabrania się czerpania korzyści finansowych z ich dystrybucji przez osoby trzecie.

• Shareware - to rodzaj płatnego programu komputerowego, który jest rozpowszechniany bez opłat do sprawdzenia przez użytkowników. Po okresie próbnym (najczęściej po miesiącu) za taki program trzeba płacić. Czasami producent oprogramowania wydaje jedną wersję na licencji shareware, a drugą (zazwyczaj z ograniczeniami, np. z blokadą dostępu do niektórych funkcji) na licencji freeware.

Reasumując:

• Programy komputerowe chronione są prawem autorskim.

• Nielegalne kopiowanie programów jest kradzieżą.

• Prawo do korzystania z programu komputerowego nabywa się od autora, producenta lub upoważnionego ich przedstawiciela.

• Oprócz praw osobistych, autor posiada także prawa majątkowe, które umożliwiają mu czerpanie zysku materialnego ze swojej twórczej pracy.

Ochrona danych osobowych

Ochrona danych osobowych - regulacje prawne dotyczące tworzenia i posługiwania się zbiorami danych osobowych, a także pojedynczymi danymi, mające na celu administracyjno-prawną ochronę prawa do prywatności.

Podstawowe regulacje prawe:

Prawo międzynarodowe

• Rezolucja 45 (95) Zgromadzenia Ogólnego ONZ: Wytyczne w sprawie uregulowania kartotek skomputeryzowanych danych osobowych.

• Konwencja 108 Rady Europy z 1981 r. dotycząca ochrony osób w związku z automatycznym przetwarzaniem danych osobowych.

• Dyrektywa Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. (95/46/EC) w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych.

• Dyrektywa Parlamentu Europejskiego i Rady z dnia 15 grudnia 1997 r. (97/66/EC) w sprawie przetwarzania danych osobowych i ochrony prywatności w dziedzinie telekomunikacji.

Prawo polskie (uprzednio wymienione)

• Ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych.

• Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.

• Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z 29 kwietnia 2004 r. w sprawie wzoru zgłoszenia zbioru danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych.

• Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (Dz.U.2010.182.1228).

W szczególności obowiązują następujące zasady:

Przetwarzanie danych osobowych jest dopuszczalne, jeżeli osoba, której dane dotyczą, wyrazi na to zgodę.

Dane mogą być przetwarzane w systemach zabezpieczonych przed dostępem niepowołanych osób.

Odstępstwo od obowiązku informowania zainteresowanych osób możliwe jest, gdy dane służą do celów naukowych, dydaktycznych, historycznych, statystycznych lub archiwalnych, zaś nakłady na informowanie są niewspółmiernie wysokie w porównaniu z zamierzonym celem.

Bezpieczeństwo informacji jest nie tylko normą i koniecznością, ale także obowiązkiem dla firm i organizacji w Polsce. Wymogi prawa nakładają na przedsiębiorców obowiązek podjęcia szeregu działań o charakterze organizacyjnym i technicznym w zakresie ochrony przetwarzanych informacji. Ochrona informacji jest tematem złożonym, a powodzenie jej realizacji zależy od umiejętnego zarządzania bezpieczeństwem poszczególnych rodzajów informacji, poziomu świadomości pracowników dopuszczonych do przetwarzania informacji oraz odpowiednio dobranych rozwiązań technicznych.

Polityka bezpieczeństwa podstawą bezpieczeństwa informacji

Bezpieczeństwo danych przedsiębiorstwa to nie tylko środki techniczne i programowe systemów ochrony.. Można śmiało stwierdzić, iż jest ono „pochodną dobrej organizacji i właściwej polityki ochrony” wprowadzanej na wszystkich szczeblach organizacyjnych. Problem ochrony danych przedsiębiorstwa należy rozpatrywać na wszystkich szczeblach jego struktury organizacyjnej łącznie ze ścisłym zarządem organizacji. Polityka bezpieczeństwa informacji jest zbiorem spójnych, precyzyjnych i zgodnych z obowiązującym prawem przepisów, reguł i procedur, według których dana organizacja buduje, zarządza oraz udostępnia zasoby i systemy informacyjne i informatyczne. Określa, które zasoby i w jaki sposób mają być chronione. Można wyróżnić cztery podstawowe obszary, na które dzieli się polityka bezpieczeństwa:

• Polityka organizacyjna - związana z prowadzoną działalnością. Zawiera czynności organizacyjne, w tym procedury utrzymania ciągłości działania (z ang. BCP - Business Coninuity Plan) oraz plany awaryjne na wypadek katastrofy (z ang. DRP - Disaster Recovery Plan), związane z zapasowymi ośrodkami przetwarzania czy miejscami pracy.

• Polityka ochrony fizycznej - związana z ochrona pomieszczeń, budynków, mienia oraz personelu danej organizacji, zawierająca różnego rodzaju instrukcje zabezpieczeń, procedury na wypadek incydentów bezpieczeństwa lub sytuacji zagrożeń.

• Polityka personalna - związana z odpowiednim doborem personelu na dane stanowiska, procedurami dotyczącymi zapoznania pracowników z zasadami bezpieczeństwa (BHP, procedury awaryjne, procedury ochrony informacji), ich szkoleniami oraz procedurami działania na wypadek braku odpowiedniego personelu.

• Polityka Bezpieczeństwa Informacji - związana z zarządzaniem i ochroną informacji stanowiących tajemnice przedsiębiorstwa i informacji prawnie chronionych, dopuszczanie osób do informacji oraz systemów przetwarzania informacji do eksploatacji, procedurami kryzysowymi na wypadek incydentów bezpieczeństwa.

Zarządzanie bezpieczeństwem koncentruje się na regulaminie pracy w sieci zwanym Polityką Bezpieczeństwa. Celem nadrzędnym tego dokumentu jest zapewnienie przez przedsiębiorstwo ochrony przetwarzanych danych i danych osobowych. Oznacza to zastosowanie właściwych środków organizacyjnych oraz technicznych, które uniemożliwiają wykorzystanie, przepływ, modyfikację lub zniszczenie danych przez osoby nieuprawnione lub nieupoważnione.

Dokument ten zawiera również zbiór reguł konfiguracji zabezpieczeń dla wszystkich systemów pracujących w firmie. Regulamin ten powinien również zawierać m.in. zakres odpowiedzialności pracowników na różnych szczeblach związany z ich dostępem do zasobów firmy oraz danych osobowych, a także zasady pracy na poszczególnych stanowiskach. Zazwyczaj Polityka Bezpieczeństwa składa się z dwóch części: tekstu głównego zawierającego jej część proceduralną oraz załączników zawierających wykazy i opisy podlegające bieżącej lub okresowej aktualizacji.

Wdrożenie Polityki Bezpieczeństwa nie wymaga dużych nakładów finansowych. Każdy z pracowników musi zapoznać się z jego treścią i poświadczyć ten fakt własnoręcznym podpisem. Regulamin ten odpowiada za ochronę głownie danych elektronicznych, nie zapewnia fizycznej ochrony dostępu do pomieszczeń.

Podobna sytuacja jest w przypadku danych w postaci wydruków, gdzie ważne dokumenty po wykorzystaniu nie zostają najczęściej zniszczone. W celu ograniczenia zagrożeń systemu informacyjnego nieodzowne staje się przeprowadzenie szkoleń pracowników uwzględniając indywidualizację szkoleń dla poszczególnych działów w firmie i stanowisk pracy. Niezbędne jest również ustalenie rozwiązań fizycznej ochrony danych, pomieszczeń w których się one znajdują, uwzględnienie zakupu sprzętu i oprogramowania, oraz trybu ich wdrażania tak, by spełnić założenia Polityki Bezpieczeństwa.

Politykę Bezpieczeństwa powinny prowadzić i określać: zarząd organizacji, menadżerowie oraz administratorzy systemu informatycznego. Do ich obowiązku powinno należeć: dokonywanie spisu wszystkich zasobów firmy, ustalanie drogi rozprzestrzeniania się danych oraz ustalenie jak obszerna część przedsiębiorstwa ma zostać objęta zmianami. Poza tym powinni oszacować wartość poszczególnych zasobów oraz opracować pion zależności służbowych.

Istotną kwestią dotyczącą Polityki Bezpieczeństwa jest również zatrudnienie lub wskazanie spośród pracowników osoby odpowiedzialnej za prawidłowe funkcjonowanie strategii bezpieczeństwa w firmie. Do zadań tego typu administratora bezpieczeństwa należałoby między innymi: zatwierdzanie wypracowanych w firmie zarządzeń i norm dotyczących ochrony informacji, przyjmowanie zgłoszeń dotyczących problemów związanych z bezpieczeństwem danych oraz sparowanie nadzoru nad kontami poszczególnych użytkowników. Obowiązkiem takiej osoby będzie również opiniowanie w zakresie ochrony danych, współpraca ze służbami ochrony obiektu oraz ze wszystkimi od których zależy bezpieczeństwo w firmie.

Dane niezbędne do opracowania Polityki Bezpieczeństwa są zbierane poprzez:

• Wywiady z wyznaczonymi pracownikami,

• Przegląd ogólnie dostępnych dokumentów wewnątrz przedsiębiorstwa,

• Przegląd niektórych zawartych kontraktów z firmami trzecimi,

• Przegląd zabezpieczeń fizycznych.

Instrukcja Polityki Bezpieczeństwa powinna obejmować takie elementy jak:

1. Zasady tworzenia haseł i częstość ich zmiany

2. Sposób nadawania uprawnień

3. Częstość tworzenia kopii zapasowych i awaryjnych

4. Metody uwierzytelniania użytkowników w sieci

Wprowadzenie Polityki Bezpieczeństwa w organizacji chroni zarówno interesy przedsiębiorcy, jak również pomaga wypełnić obowiązki ochrony informacji wynikające z przepisów prawa. Zabezpiecza przed konsekwencjami prawnymi i pozwala w przypadku sytuacji naruszenia zasad ochrony przez osoby dopuszczone do informacji (pracownicy, współpracownicy, przedstawiciele firm zewnętrznych) podjąć odpowiednie działania dyscyplinarne.

Opracował:

dr inż. Eugeniusz PIEDZIUK

P. Bączek, Zagrożenia informacyjne a bezpieczeństwo państwa polskiego, Wyd. A. Marszałek, Toruń 2006, s. 72.

Opracowanie własne na podst.: http://komputery.katalogi.pl

Opracowanie własne na podst. www.wikipedia.pl

Opracowanie własne na podstawie - Z. Płoski, Słownik Encyklopedyczny, Informatyka, Wydawnictwo Europa, Wrocław, 1999

Z. Płoski. Słownika Encyklopedycznego - Informatyka Wydawnictwa Europa, Wrocław, 1999.

Z. Płoski. Słownika Encyklopedycznego - Informatyka Wydawnictwa Europa, Wrocław, 1999.

Białas A., Bezpieczeństwo informacji i usług w nowoczesnej instytucji i firmie, WNT, Warszawa 2006, str. 34

Por. Zwicky E., Cooper S., Chapman D. Internet Firewalls -Tworzenie zapór ogniowych, RM, Warszawa 2001, s.15-18

Por. http://students.mimuw.edu.pl/SO/

Interfejs- urządzenie elektroniczne lub optyczne pozwalające na komunikację między dwoma innymi urządzeniami, których bezpośrednio nie da się ze sobą połączyć

Opracowanie własne na podst. www.sieci-komputerowe.w.interia.pl

Opracowanie własne na podst. www.itpedia.pl

Poufność informacji - informacja nie jest udostępniana nieautoryzowanym osobom lub podmiotom.

Autentyczność informacji - informacja może być wygenerowana jedynie przez upoważnione osoby.

Certyfikat jest to plik, podpisany cyfrowo przez podmiot świadczący usługi certyfikacyjne, który zawiera dane o właścicielu certyfikatu, jego klucz publiczny oraz informacje, kto wystawił ten certyfikat, a tym samym poświadcza prawdziwość zawartych w nim danych.

Kopia zapasowa - zapisana na nośniku informacji komputerowej ( taśmie magnetycznej, dyskietce, płycie CD lub DVD itp.) kopię danych przetwarzanych w systemie informatycznym przeznaczoną do ich odtworzenia w przypadku, gdy dane przetwarzane w systemie zostaną utracone na skutek awarii systemu informatycznego lub innych zdarzeń losowych.

Ustawa z dnia 29 sierpnia 1997 roku o ochronie danych osobowych (Dz.U. 1997 nr 133 poz. 883)

Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych

http://www.ensi.net/odo/archiw/nr1_art01.html

46

Przestępstwa komputerowe

Brak informacji

Chaos informacyjny

Cyberterroryzm

Walka informacyjna

Działalność grup świadomie

manipulujących przekazem

ZAGROŻENIA INFORMACYJNE

Niekontrolowany rozwój

nowoczesnych technologii

Nieuprawnione ujawnienie

informacji (wyciek lub przeciek):

• pomyłkowy;

• polityczny;

• komercyjny.

Asymetria w międzynarodowej

wymianie informacji:

• systemowa;

• wynik zaniedbań.

Naruszenie przez władze

praw obywatelskich:

• ograniczenie jawności życia publicznego;

• wdzieranie się w życie.

Zagrożenia asymetryczne

Szpiegostwo

---