I. Klasyfikacja, przyczyny i determinanty zagrożeń bezpieczeństwa informacji
Klasyfikacja ogólna zagrożeń:
» kradzież zasobów, w tym także kopiowanie układów pamięci,
» niewłaściwe wykorzystanie zasobów - np. symulacja zachowań pełnoprawnego użytkownika, przekazywanie informacji utajnionymi kanałami,
» użycie zasobów w innych celach niż zadeklarowano w kontrakcie (wykorzystanie systemów komputerowych dla prywatnych korzyści materialnych),
» bezprawne ujawnianie informacji osobom nieupoważnionym,
» podsłuchiwanie rozmów, rejestrowanie przekazywanych komunikatów, nieumyślne zniszczenie zasobów, wprowadzanie bezprawnych komunikatów do ruchu sieciowego, zniekształcenie informacji sprawdzonej zanim zostanie użyta, odczytywanie informacji pozostawionej wskutek niedbalstwa wcześniejszych pracowników, błędy w oprogramowaniu aplikacji,
» projektowanie wadliwej infrastruktury informacji : przeładowana pamięć i przeciążone linie dostępu, utrata komunikatów w sieci.
Psychologiczne przyczyny i aspekty wystąpienia zagrożeń:
1. ludzkie błędy i pomyłki np. pozostawienie hasła dnia zapisane na widocznym miejscu, na terminalu, używanie łatwego do złamania hasła, popełnianie błędów podczas wprowadzania danych, wprowadzanie nieprawidłowych danych do bazy danych.
2. nieuczciwi pracownicy np. defraudacje i oszustwa w postaci czerpania korzyści z wad w oprogramowaniu i błędów w procedurach manualnych, przejęcie korzyści z dostępu do utajnionej informacji, wprowadzenie programów wirusowych do systemów informatycznych.
3. działania niezadowolonych pracowników sprowadzające się do niszczenia zasobów intelektualnych, zniekształcania i usuwania informacji, przekazywanie haseł obcym, intruzom.
4. intruzy komputerowe, które pozwalają sobie na odczytywanie istotnej informacji poprzez zdalny dostęp do niej, kopiowanie i rozsyłanie informacji, wprowadzanie wirusów komputerowych.
Środowiskowe i kryminalne determinanty powstawania zagrożeń:
1. KATAKLIZMY:
» ogień, który zależnie od swego zasięgu może zniszczyć część lub całość zasobów
» woda, zwłaszcza jeśli sprzęt komputerowy, kable, urządzenia przekaźnikowe i dokumenty zlokalizowane są w pobliżu ujęć wody
» trzęsienie ziemi, huragany, itd.
2. PRZESTĘPCZOŚĆ:
» włamania,
» napady,
» wymuszenia,
» agresja fizyczna,
» oddziaływania zorganizowanych grup przestępczych,
3. TERRORYZM:
» ataki na spójność baz komputerowych,
» ładunki wybuchowe
WIEDZA A DANE, INFORMACJA I MĄDROŚL.Heracleous, Long Range Planing, February 1998
ŹRÓDŁA WIEDZY INFORMACYJNej
Neumann Management Review 2000
CECHY INFORMACJI - SYSTEMU INFORMACYJNEGO
• poufność - właściwość zapewniająca, że informacja nie jest udostępniana lub ujawniana nieautoryzowanym osobom, podmiotom lub procesom;
• integralność - właściwość zapewniająca, że dane nie zostały zmienione lub zniszczone w sposób nieautoryzowany;
• dostępność - właściwość systemu w zakresie dostępności i możliwości wykorzystania przez autoryzowany podmiot przy zachowaniu określonych rygorów czasowych;
• rozliczalność - właściwość umożliwiająca określenie i weryfikowanie odpowiedzialności za działania, usługi i funkcje realizowane za pośrednictwem systemu;
• autentyczność - właściwość umożliwiająca weryfikację tożsamości podmiotów lub prawdziwość aktywów systemu informacyjnego;
• niezawodność - właściwość gwarantująca odpowiednie zachowania się systemu informacyjnego i otrzymanych wyników.
OGÓLNY PODZIAŁ INFORMACJI
Informacje ogólne
np. upowszechniane w środkach przekazu
Informacje szczególne
np. dane osobowe
Informacje wrażliwe
np. tajemnice zawodowe
Informacje niejawne
wynikające z ustawy
II. Odpowiedzialność karna, służbowa i dyscyplinarna
Odpowiedzialności karnej podlega ten tylko, kto popełnił czynθ zabroniony pod groźbą kary przez ustawę obowiązującą w czasie jego popełnienia
(art. 1 § 1 kk.)
Odpowiedzialność karna za popełnienie przestępstw przeciwko ochronieθ informacji niejawnych została określona w art. 265 - 269 b kk.
Przestępstwo ujawnienia informacji stanowiących tajemnicę państwową
Art. 265 § 1 kk.
θ Strona przedmiotowa - ujawnienie informacji niejawnych stanowiących tajemnicę państwową
wykorzystanie wbrew przepisom ustawy informacji niejawnych stanowiących tajemnicę państwową
θ Podmiot - powszechny
θ Sankcja - kara pozbawienia wolności od 3 miesięcy do lat 5
Art. 265 § 2 kk.
Strona przedmiotowa - ujawnienie informacji stanowiącej tajemnicęθ państwową osobie działającej w imieniu lub na rzecz podmiotu zagranicznego
θ Podmiot - powszechny
θ Sankcja - kara pozbawienia wolności od 6 miesięcy do lat 8
Art. 265 § 3 kk.
θ Strona przedmiotowa - nieumyślne ujawnienie informacji stanowiącej tajemnicę państwową
Podmiot - osoba, która zapoznała się z informacjami stanowiącymiθ TP w związku z pełnieniem funkcji publicznej lub otrzymanym upoważnieniem
θ Sankcja - grzywna, kara ograniczenia wolności albo pozbawienia wolności do 1 roku
Wyłączenie odpowiedzialności karnej za ujawnienie tajemnicy państwowej
Nie podlegają odpowiedzialności karnej:
osoby, które z mocy prawa są upoważnione do udostępniania informacji stanowiących TP określonym podmiotom (art. 49 ust. 1 i 3)
osoby zwolnione z obowiązku zachowania TP (art. 179 kodeksu postępowania karnego)
Przestępstwo ujawnienia informacji stanowiących tajemnicę służbową
Art. 266 § 2 kk.
Strona przedmiotowa - ujawnienie osobie nieuprawnionej informacjiθ stanowiącej tajemnicę służbową (TS) lub informacji uzyskanej w związku z wykonywaniem czynności służbowych, a której ujawnienie może narazić na szkodę prawnie chroniony interes
θ Podmiot - funkcjonariusz publiczny
θ Sankcja - kara pozbawienia wolności do lat 3
Wyłączenie odpowiedzialności karnej za ujawnienie tajemnicy służbowej
Nie podlegają odpowiedzialności karnej:
osoby, które z mocy prawa są upoważnione do udostępniania informacji stanowiących TS
(art. 49 ust. 2 i 3)
osoby zwolnione z obowiązku zachowania TS (art. 180 § 1 kpk).
Przestępstwo nieuprawnionego uzyskania informacji
Art. 267 § 1 kk.
Strona przedmiotowa - bezprawne zapoznanie się z treściąθ informacji poprzez: otwarcie zamkniętego pisma, podłączenie się do przewodu służącego do przekazywania informacji lub przełamanie zabezpieczeń: elektronicznych, magnetycznych albo innych szczególnych
θ Podmiot - powszechny
θ Sankcja - grzywna, kara ograniczenia wolności albo pozbawienie wolności do lat 2
Art. 267 § 2 kk.
Strona przedmiotowa - bezprawne zapoznanie się z treściąθ informacji poprzez zakładanie lub posługiwanie się urządzeniem podsłuchowym, wizualnym albo innym urządzeniem specjalnym
θ Podmiot - powszechny
θ Sankcja - grzywna, kara ograniczenia wolności albo pozbawienie wolności do lat 2
Art. 267 § 3 kk.
θ Strona przedmiotowa - ujawnienie innej osobie bezprawnie uzyskanej informacji, w sposób opisany w art. 267 § 1 i 2
θ Podmiot - powszechny
θ Sankcja - grzywna, kara ograniczenia wolności albo pozbawienie wolności do lat 2
Przestępstwo niszczenia informacji
Art. 268 § 1 kk.
Strona przedmiotowa - nieuprawnione niszczenie, uszkadzanie,θ usuwanie lub zmiana zapisu istotnej informacji albo w inny sposób udaremnianie lub znaczne utrudnianie osobie uprawnionej zapoznanie się z tą informacją
θ Podmiot - powszechny
θ Sankcja - grzywna, kara ograniczenia wolności albo pozbawienia wolności do lat 2
Art. 268 § 2 kk.
θ Strona przedmiotowa - nieuprawnione niszczenie informacji na nośniku komputerowym
θ Podmiot - powszechny
θ Sankcja - kara pozbawienia wolności do lat 3
Art. 268 § 3 kk.
θ Strona przedmiotowa - znaczna szkoda majątkowa powstała w wyniku zniszczenia informacji
θ Podmiot - powszechny
θ Sankcja - kara pozbawienia wolności 3 mies. - 5 lat
Przestępstwo niszczenia danych informatycznych
Art. 268a § 1 kk.
θ Strona przedmiotowa - nieuprawnione niszczenie,
uszkadzanie, usuwanie, zmiana lub utrudnianie dostępu do
danych informatycznych albo zakłócanie lub uniemożliwianie
w istotnym stopniu automatycznego przetwarzania,
gromadzenia lub przekazywania takich danych
θ Podmiot - powszechny
θ Sankcja - kara pozbawienia wolności do lat 3
Art. 268a § 2 kk.
θ Strona przedmiotowa - znaczna szkoda majątkowa powstała
w wyniku dokonania czynów określonych w § 1
θ Podmiot - powszechny
θ Sankcja - kara pozbawienia wolności 3 mies. - 5 lat
Przestępstwo sabotażu komputerowego
Art. 269 § 1 kk.
Strona przedmiotowa - niszczenie, uszkadzanie, usuwanie lubθ zmiana zapisu na komputerowym nośniku informacji o szczególnym znaczeniu dla obronności kraju, bezpieczeństwa w komunikacji, funkcjonowania administracji rządowej, innego organu państwowego lub administracji samorządowej albo zakłócanie lub uniemożliwianie automatyczne gromadzenie lub przekazywanie takich informacji
θ Podmiot - powszechny
θ Sankcja - kara pozbawienia wolności od 6 miesięcy do lat 8
Art. 269 § 2 kk.
Strona przedmiotowa - niszczenie lub wymiana nośnika informacji lubθ niszczenie albo uszkadzanie urządzeń służących automatycznemu przetwarzaniu, gromadzeniu lub przesyłaniu informacji
θ Podmiot - powszechny
θ Sankcja - kara pozbawienia wolności od 6 miesięcy do lat 8
Przestępstwo komputerowe
Art. 269a kk.
θ Strona przedmiotowa - zakłócanie w istotnym stopniu
pracy systemu komputerowego lub sieci
teleinformatycznej, w sposób nieuprawniony, poprzez
transmisję, zniszczenie, usunięcie, uszkodzenie lub zmianę
danych informatycznych
θ Podmiot - powszechny
θ Sankcja - kara pozbawienia wolności od 3 mies. do lat 5
Art. 269b § 1 kk.
θ Strona przedmiotowa - wytwarzanie, pozyskiwanie,
zbywanie lub udostępnianie innym osobom urządzeń lub
programów komputerowych przystosowanych do
popełnienia przestępstw określonych w art. 165 § 1 pkt 4,
art. 267 § 2, art. 268a § 1 albo § 2 w związku z § 1, art.
269 §2 albo art. 269a, a także haseł komputerowych,
kodów dostępu lub innych danych umożliwiających
dostęp do informacji przechowywanych w systemie
komputerowym lub sieci teleinformatycznej
θ Podmiot - powszechny
θ Sankcja - kara pozbawienia wolności do lat 3
Inne przestępstwa przeciwko ochronie informacji
Art. 231 kk. - przestępstwo nadużycia funkcji
θ Strona przedmiotowa - przekroczenie uprawnień lub niedopełnienie ustawowych obowiązków
θ Podmiot - funkcjonariusz publiczny
θ Sankcja - kara do 10 lat pozbawienia wolności kiedy nadużycie funkcji ma na celu osiągnięcie korzyści majątkowej lub osobistej
Art. 228 kk. - przestępstwo biernego przekupstwa
θ Strona przedmiotowa - przyjęcie korzyści majątkowej lub osobistej albo jej obietnicy lub żądanie takiej korzyści
θ Podmiot - funkcjonariusz publiczny
θ Sankcja - kara do 10 pozbawienia wolności jeżeli czyn został popełniony w związku z naruszeniem przepisów prawa
Art. 271 kk. - przestępstwo poświadczenia nieprawdy
θ Strona przedmiotowa - potwierdzenie faktów lub okoliczności niezgodnych z prawdą
θ Podmiot - funkcjonariusz publiczny oraz osoba upoważniona do wystawienia dokumentu
Sankcja - kara do 10 lat pozbawienia wolności, jeżeli czyn zostałθ popełniony w celu osiągnięcia korzyści majątkowej lub osobistej
Odpowiedzialność dyscyplinarna
Podmiot odpowiedzialności - pracownicy, których stosunek pracy zostałθ nawiązany w drodze mianowania, a ich uprawnienia i obowiązki wynikają z oddzielnych pragmatyk
Przedmiot odpowiedzialności - przewinienia dyscyplinarne będąceθ w istocie niewykonaniem obowiązków wynikających z ustaw, a także za popełnione przestępstwa.
Organy właściwe do orzekania w sprawach dyscyplinarnych - komisjeθ dyscyplinarne działające w systemie II - instancyjnym oraz przełożeni służbowi (dotyczy funkcjonariuszy służb zmilitaryzowanych).
Kary dyscyplinarne - upomnienie, nagana, przeniesienie na niższeθ stanowisko, nagana z pozbawieniem możliwości awansowania, obniżenie kategorii urzędniczej, wydalenie z pracy.
Odpowiedzialność służbowa
θ Podmiot odpowiedzialności - wszyscy pracownicy, bez względu na sposób nawiązania stosunku pracy
θ Przedmiot odpowiedzialności - przewinienia służbowe (np. niewłaściwe przechowywanie dokumentów klasyfikowanych)
θ Kary - pozbawienie pracownika premii, negatywna opinia, zwolnienie z pracy
θ Pracownicy ponoszą odpowiedzialność służbową przed przełożonymi służbowymi