Bezpečnost informačních systémů - principy

1. Bezpečnost informačních systémů - principy • oblasti řešení bezpečnosti, • obsah řešení bezpečnosti, • digitální podpis, • firewally, • antivirové programy Systémové pojetí hospodářské organizace

2. Objektová bezpečnost Informační bezpečnost Bezpečnost a ochrana zdraví při práci Bezpečnost IS/ICT Oblasti řešení bezpečnosti Systémové pojetí hospodářské organizace

3. Bezpečností politika je soubor zásad a pravidel, s jejichž pomocí organizace chrání svá aktiva. Bezpečnostní politika je kontinuálně aktualizována v souladu se změnami prostředí a může zahrnovat: • politiku přípustného užívání aktiv, • specifikaci vzdělávacího procesu svých zaměstnanců v oblasti ochrany aktiv, • objasnění způsobu uskutečňování a vynucování bezpečnostních opatření, • proceduru vyhodnocení účinnosti politiky vedoucí k provedení její změny. Systémové pojetí hospodářské organizace

4. Obecné typy bezpečnostní politiky • promiskuitní bezpečnostní politika, která ve svých pravidlech nikoho neomezuje a povoluje subjektům realizovat vše, včetně toho, co by neměli konat, • liberální - ve svých pravidlech umožňuje realizovat vše, až na výjimky, které jsou explicitně vyjmenované, • opatrná - ve svých pravidlech zakazuje vše s výjimkou toho, co je explicitně vyjmenováno, • paranoidní - zakazuje dělat vše, co je potenciálně nebezpečné, tedy i to co by nemuselo být explicitně zakázáno. Systémové pojetí hospodářské organizace

5. Systémové pojetí hospodářské organizace

6. Bezpečnost informačního systému Vlastnosti systému ovlivňující jeho bezpečnost • zajištění prokazatelnosti („authentication“), kdy lze vysledovat jakoukoliv akci, která v systému proběhla s tím, že lze zjistit původce takové akce, • zajištění nepopíratelnosti („non-repudiation“), kdy subjekt nemůže odmítnout svoji účast na provádění nějaké akce, • zachování spolehlivosti („reliability“), kdy reálné chování systému je konsistentní s chováním systému, tak jak je dokumentováno. Systémové pojetí hospodářské organizace

7. Potenciální hrozby • přírodní a fyzické (živelné pohromy a nehody, jako jsou např. poruchy v dodávce elektrického proudu, požáry, povodně apod.), • technické (poruchy nosičů a počítačů, poruchy sítí), • technologické (poruchy způsobené programy – viry, trojské koně, apod.), • lidské, tj.neúmyslné a úmyslné Systémové pojetí hospodářské organizace

8. Základní hrozby na definovaných aktivech • prozrazení tajných informací - bezpečný systém nemůže povolit přístup nikomu (osobě, programu, zařízení), aniž by proběhla jejich autorizace, • upravení - bezpečný systém pak musí zajistit, že nedojde k porušení integrity dat neautorizovaným, náhodným nebo úmyslným způsobem, • zničení - bezpečný systém nesmí dovolit neautorizované zničení informací, • bránění v dostupnosti informačního systému autorizovaným uživatelům - bezpečný systém nesmí dovolit, aby bylo autorizovaným uživatelům bráněno ve využití informačního systému a jeho zdrojů. Systémové pojetí hospodářské organizace

9. Útoky v síťovém prostředí (1) • odposlech - je útok v síti směrovaný na zcizení informace, kterou může být číslo kreditní karty, číslo účtu zákazníka, stav účtu zákazníka, platební příkaz, heslo, apod. Pro sledování a analýzu provozu útočníkem, tzv. „čmuchání“ se používá termín „sniffing“ • vyhledávání hesel - odhalení hesla umožní druhé straně přístup k systému, jeho zdrojům a informacím. Ke známým útokům patří: • využití „trojského koně“ – kde trojským koněm je program se skrytou, nedokumentovanou funkcí či efektem, který může zachytit a uložit na místo přístupné útočníkovi zadané autentizační informace, • útok hrubou silou – kdy útočník se postupně pokouší zadat všechny možné kombinace hesel, a to tak dlouho, dokud správné autentizační informace nenalezne, Systémové pojetí hospodářské organizace

10. Útoky v síťovém prostředí (2) • slovníkový útok – kdy útočník používá při útoku na hesla slov, která se vyskytují v jazykových slovnících, • útok na heslo související s uživatelem (tzv. sociální inženýrství) – kdy se útočník pokouší při útoku na hesla použít informace, které jsou spojeny s uživatelem, jako např. jméno, datum narození, SPZ automobilu apod. • modifikace dat - útok, kdy dochází k modifikaci obsahu určitých transakcí či změně uložených informací. • podvody - při tomto útoku využívá jedna strana principu „maškarády“, tj. vydává se za někoho jiného. Takto lze získat významné citlivé informace od důvěřivých zákazníků. Pro tento typ útoku se používá termín „spoofing“. Systémové pojetí hospodářské organizace

11. Útoky v síťovém prostředí (3) Odmítnutí, popření - při tomto útoku jedna strana popírá či odmítá svoji účast na provedené transakci - Denial of Service (DoS): • E-mail bomba • Ping of Death • Zombies • Hogging Systémové pojetí hospodářské organizace

12. Škodlivé kódy („malware,malicious software“) - 1 jejich úkolem je poškodit zařízení, data a programy, vyčerpat systémové zdroje, zcizit informace apod. • viry - Počítačový virus je taková forma počítačové infiltrace, která má schopnost vlastního množení a infikování dalších systémů bez vědomí uživatele - viz [www.viry.cz ]. • Trojští koně („trojan horses“) – jsou obvykle programy s užitečnou nebo přitažlivou tématikou nebo krátké obslužné programy. • červi („worms“) - jsou narozdíl od trojského koně sebereplikující programy. Systémové pojetí hospodářské organizace

13. Škodlivé kódy („malware, malicious software“) - 2 • poplašné zprávy („hoax“) – jsou emailové zprávy, které většinou upozorňují na velmi nebezpečné, ve skutečnosti neexistující viry. • spyware – je programový kód orientovaný na sledování činnosti počítače a uživatele • další parazitující programy - např. zadní vrátka („backdoor“), únosce prohlížečů („browser hijackers“), přesměrovače telefonního připojení („dialer“) apod. Systémové pojetí hospodářské organizace

14. Protiopatření vůči průběhu bezpečnostního incidentu • preventivní - účelem je minimalizovat již příčiny možného vzniku bezpečnostního incidentu, • dynamická (proaktivní) - účelem je minimalizovat možné dopady aktuálně probíhajícího bezpečnostního incidentu, včetně včasného zachycení vzniku takového incidentu, • následná (reaktivní) - účelem je minimalizovat možné dopady proběhnuvšího bezpečnostního incidentu. Systémové pojetí hospodářské organizace

15. Formy protiopatření (1) • fyzická - účelem je fyzicky zajistit aktiva tak, aby byly minimalizovány podmínky vzniku a průběhu bezpečnostních incidentů, včetně jejich dopadů [uzamčení, průmyslové kamery, ...] • technologická - účelem je technologicky (hardwarově a softwarově) zajistit aktiva tak, aby byly minimalizovány podmínky vzniku a průběhu bezpečnostních incidentů, včetně jejich dopadů [user_name/password, firewall, přístupová práva, ...] • administrativní - účelem je nastavovat administrativní a organizační pravidla vedoucí k minimalizaci vzniku a průběhu bezpečnostních incidentů, včetně jejich dopadů, [pracovní smlouvy, podnikové směrnice, přidělování přístupových práv, ...] Systémové pojetí hospodářské organizace

16. Formy protiopatření (2) • právní - účelem je zajistit právní podmínky přístupu k informacím a k ochraně informací podle zákonných norem a vedoucí k minimalizaci vzniku a průběhu bezpečnostních incidentů, [Ústava, trestní zákoník, zákon o ochraně osobních údajů, směrnice EU, ...] • etické – účelem je uplatnit etické zásady v informatické praxi, především při sdílení informačních zdrojů, zachování důvěrnosti přístupu do sítě, v informačních procesech, v respektování ochrany soukromých údajů a pod. Systémové pojetí hospodářské organizace

17. Digitální podpis s dodatkem ke zprávě Systémové pojetí hospodářské organizace

18. Firewall je hardwarový a softwarový prostředek s vlastní bezpečnostní politikou, autentizačními mechanismy, aplikační bránou(ami) a filtr(y) paketů, který logicky a fyzicky odděluje bezpečnou síť, resp. důvěryhodnou síť (zpravidla lokální síť organizace) od nezabezpečené, nedůvěryhodné sítě. Systémové pojetí hospodářské organizace

19. Zásady pro použití firewall • pomocí firewall by měla být chráněna každá vnitřní síť, • s rozvojem použití trvalého připojení stanic prostřednictvím ADSL nebo WI-FI by u samostatných počítačů měl být instalován a konfigurován personální firewall, • firewall je programový prostředek a jako takový může být napaden škodlivými programy nebo také mohou obsahovat chybu („bezpečnostní díru“) a proto je nutné jeho funkce kontrolovat a pravidelně programy aktualizovat. Systémové pojetí hospodářské organizace

20. Značky firewall a produktů ochrany sítí a PC http://www.cisco.cz/ http://www.kerio.cz/kwf_home.html AVG: http://www.grisoft.cz/ http://www.lupa.cz/clanky/vybirame-osobni-firewall-1/ http://www.stahuj.centrum.cz/internet_a_site/bezpecnost/proxy_a_firewall/ Systémové pojetí hospodářské organizace