Systémové pojetí hospodářské organizace 1 Bezpečnost informačních systémů - principy oblasti řešení bezpečnosti, obsah řešení bezpečnosti, digitální podpis,

Prezentace na téma: "Systémové pojetí hospodářské organizace 1 Bezpečnost informačních systémů - principy oblasti řešení bezpečnosti, obsah řešení bezpečnosti, digitální podpis,"— Transkript prezentace:

1 Systémové pojetí hospodářské organizace 1 Bezpečnost informačních systémů - principy oblasti řešení bezpečnosti, obsah řešení bezpečnosti, digitální podpis, firewally, antivirové programy

2 Systémové pojetí hospodářské organizace 2 Informační bezpečnost Bezpečnost a ochrana zdraví při práci Objektová bezpečnost Bezpečnost IS/ICT Oblasti řešení bezpečnosti

3 Systémové pojetí hospodářské organizace 3 Bezpečností politika je soubor zásad a pravidel, s jejichž pomocí organizace chrání svá aktiva. Bezpečnostní politika je kontinuálně aktualizována v souladu se změnami prostředí a může zahrnovat: politiku přípustného užívání aktiv, specifikaci vzdělávacího procesu svých zaměstnanců v oblasti ochrany aktiv, objasnění způsobu uskutečňování a vynucování bezpečnostních opatření, proceduru vyhodnocení účinnosti politiky vedoucí k provedení její změny.

4 Systémové pojetí hospodářské organizace 4 Obecné typy bezpečnostní politiky promiskuitní bezpečnostní politika, která ve svých pravidlech nikoho neomezuje a povoluje subjektům realizovat vše, včetně toho, co by neměli konat, liberální - ve svých pravidlech umožňuje realizovat vše, až na výjimky, které jsou explicitně vyjmenované, opatrná - ve svých pravidlech zakazuje vše s výjimkou toho, co je explicitně vyjmenováno, paranoidní - zakazuje dělat vše, co je potenciálně nebezpečné, tedy i to co by nemuselo být explicitně zakázáno.

5 Systémové pojetí hospodářské organizace 5

6 6 Bezpečnost informačního systému Vlastnosti systému ovlivňující jeho bezpečnost zajištění prokazatelnosti („authentication“), kdy lze vysledovat jakoukoliv akci, která v systému proběhla s tím, že lze zjistit původce takové akce, zajištění nepopíratelnosti („non-repudiation“), kdy subjekt nemůže odmítnout svoji účast na provádění nějaké akce, zachování spolehlivosti („reliability“), kdy reálné chování systému je konsistentní s chováním systému, tak jak je dokumentováno.

7 Systémové pojetí hospodářské organizace 7 Potenciální hrozby přírodní a fyzické (živelné pohromy a nehody, jako jsou např. poruchy v dodávce elektrického proudu, požáry, povodně apod.), technické (poruchy nosičů a počítačů, poruchy sítí), technologické (poruchy způsobené programy – viry, trojské koně, apod.), lidské, tj.neúmyslné a úmyslné

8 Systémové pojetí hospodářské organizace 8 Základní hrozby na definovaných aktivech prozrazení tajných informací - bezpečný systém nemůže povolit přístup nikomu (osobě, programu, zařízení), aniž by proběhla jejich autorizace, upravení - bezpečný systém pak musí zajistit, že nedojde k porušení integrity dat neautorizovaným, náhodným nebo úmyslným způsobem, zničení - bezpečný systém nesmí dovolit neautorizované zničení informací, bránění v dostupnosti informačního systému autorizovaným uživatelům - bezpečný systém nesmí dovolit, aby bylo autorizovaným uživatelům bráněno ve využití informačního systému a jeho zdrojů.

9 Systémové pojetí hospodářské organizace 9 Útoky v síťovém prostředí (1) odposlech - je útok v síti směrovaný na zcizení informace, kterou může být číslo kreditní karty, číslo účtu zákazníka, stav účtu zákazníka, platební příkaz, heslo, apod. Pro sledování a analýzu provozu útočníkem, tzv. „čmuchání“ se používá termín „sniffing“ vyhledávání hesel - odhalení hesla umožní druhé straně přístup k systému, jeho zdrojům a informacím. Ke známým útokům patří: –využití „trojského koně“ – kde trojským koněm je program se skrytou, nedokumentovanou funkcí či efektem, který může zachytit a uložit na místo přístupné útočníkovi zadané autentizační informace, –útok hrubou silou – kdy útočník se postupně pokouší zadat všechny možné kombinace hesel, a to tak dlouho, dokud správné autentizační informace nenalezne,

10 Systémové pojetí hospodářské organizace 10 Útoky v síťovém prostředí (2) –slovníkový útok – kdy útočník používá při útoku na hesla slov, která se vyskytují v jazykových slovnících, –útok na heslo související s uživatelem (tzv. sociální inženýrství) – kdy se útočník pokouší při útoku na hesla použít informace, které jsou spojeny s uživatelem, jako např. jméno, datum narození, SPZ automobilu apod. modifikace dat - útok, kdy dochází k modifikaci obsahu určitých transakcí či změně uložených informací. podvody - při tomto útoku využívá jedna strana principu „maškarády“, tj. vydává se za někoho jiného. Takto lze získat významné citlivé informace od důvěřivých zákazníků. Pro tento typ útoku se používá termín „spoofing“.

11 Systémové pojetí hospodářské organizace 11 Útoky v síťovém prostředí (3) Odmítnutí, popření - při tomto útoku jedna strana popírá či odmítá svoji účast na provedené transakci - Denial of Service (DoS): E-mail bomba Ping of Death Zombies Hogging

12 Systémové pojetí hospodářské organizace 12 Škodlivé kódy („malware,malicious software“) - 1 jejich úkolem je poškodit zařízení, data a programy, vyčerpat systémové zdroje, zcizit informace apod. viry - Počítačový virus je taková forma počítačové infiltrace, která má schopnost vlastního množení a infikování dalších systémů bez vědomí uživatele - viz [www.viry.cz ].www.viry.cz Trojští koně („trojan horses“) – jsou obvykle programy s užitečnou nebo přitažlivou tématikou nebo krátké obslužné programy. červi („worms“) - jsou narozdíl od trojského koně sebereplikující programy.

13 Systémové pojetí hospodářské organizace 13 Škodlivé kódy („malware, malicious software“) - 2 poplašné zprávy („hoax“) – jsou emailové zprávy, které většinou upozorňují na velmi nebezpečné, ve skutečnosti neexistující viry. spyware – je programový kód orientovaný na sledování činnosti počítače a uživatele další parazitující programy - např. zadní vrátka („backdoor“), únosce prohlížečů („browser hijackers“), přesměrovače telefonního připojení („dialer“) apod.

14 Systémové pojetí hospodářské organizace 14 Protiopatření vůči průběhu bezpečnostního incidentu preventivní - účelem je minimalizovat již příčiny možného vzniku bezpečnostního incidentu, dynamická (proaktivní) - účelem je minimalizovat možné dopady aktuálně probíhajícího bezpečnostního incidentu, včetně včasného zachycení vzniku takového incidentu, následná (reaktivní) - účelem je minimalizovat možné dopady proběhnuvšího bezpečnostního incidentu.

15 Systémové pojetí hospodářské organizace 15 Formy protiopatření (1) fyzická - účelem je fyzicky zajistit aktiva tak, aby byly minimalizovány podmínky vzniku a průběhu bezpečnostních incidentů, včetně jejich dopadů [uzamčení, průmyslové kamery,...] technologická - účelem je technologicky (hardwarově a softwarově) zajistit aktiva tak, aby byly minimalizovány podmínky vzniku a průběhu bezpečnostních incidentů, včetně jejich dopadů [user_name/password, firewall, přístupová práva,...] administrativní - účelem je nastavovat administrativní a organizační pravidla vedoucí k minimalizaci vzniku a průběhu bezpečnostních incidentů, včetně jejich dopadů, [pracovní smlouvy, podnikové směrnice, přidělování přístupových práv,...]

16 Systémové pojetí hospodářské organizace 16 Formy protiopatření (2) právní - účelem je zajistit právní podmínky přístupu k informacím a k ochraně informací podle zákonných norem a vedoucí k minimalizaci vzniku a průběhu bezpečnostních incidentů, [Ústava, trestní zákoník, zákon o ochraně osobních údajů, směrnice EU,...] etické – účelem je uplatnit etické zásady v informatické praxi, především při sdílení informačních zdrojů, zachování důvěrnosti přístupu do sítě, v informačních procesech, v respektování ochrany soukromých údajů a pod.

17 Systémové pojetí hospodářské organizace 17 Digitální podpis s dodatkem ke zprávě

18 Systémové pojetí hospodářské organizace 18 Firewall je hardwarový a softwarový prostředek s vlastní bezpečnostní politikou, autentizačními mechanismy, aplikační bránou(ami) a filtr(y) paketů, který logicky a fyzicky odděluje bezpečnou síť, resp. důvěryhodnou síť (zpravidla lokální síť organizace) od nezabezpečené, nedůvěryhodné sítě.

19 Systémové pojetí hospodářské organizace 19 Zásady pro použití firewall pomocí firewall by měla být chráněna každá vnitřní síť, s rozvojem použití trvalého připojení stanic prostřednictvím ADSL nebo WI-FI by u samostatných počítačů měl být instalován a konfigurován personální firewall, firewall je programový prostředek a jako takový může být napaden škodlivými programy nebo také mohou obsahovat chybu („bezpečnostní díru“) a proto je nutné jeho funkce kontrolovat a pravidelně programy aktualizovat.

20 Systémové pojetí hospodářské organizace 20 Značky firewall a produktů ochrany sítí a PC http://www.cisco.cz/ http://www.kerio.cz/kwf_home.html AVG: http://www.grisoft.cz/http://www.grisoft.cz/ http://www.lupa.cz/clanky/vybirame-osobni- firewall-1/ http://www.stahuj.centrum.cz/internet_a_site/bezp ecnost/proxy_a_firewall/