https://wikisofia.cz/w/api.php?action=feedcontributions&user=Michaela.Pappova&feedformat=atomWikisofia - Příspěvky uživatele [cs]2024-03-28T20:22:53ZPříspěvky uživateleMediaWiki 1.33.0https://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=21655Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-07-04T09:23:33Z<p>Michaela.Pappova: </p>
<hr />
<div><br />
'''Informační bezpečnost''' zahrnuje ochranu všech [[informace|informací]] bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''.<ref>ČANDÍK, Marek. Informační bezpečnost. Praha, 2010. Dostupné z: http://www.cybersecurity.cz/data/candik2.pdf</ref><br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a vyvrcholil za 2. světové války šifrovacími stroji jako byla Enigma. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec [[Claude Shannon]] během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]] (data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tematikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k [[Internet|Internetu]]. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]<ref>BUDÍN, Emil. Využití automatizovaných nástrojů pro řízení bezpečnosti informací dle norem řady ČSN ISO/IEC 27000. Brmo, 2014. Dostupné z: https://is.muni.cz/th/212378/ff_m/Diplomova_prace.pdf. Diplomová práce. Masarykova univerzita v Brně. Vedoucí práce Petr Škyřík.</ref>==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie -Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
==Zranitelnost informačních systémů==<br />
Zranitelnost je obecnou vlastností informačních systémů. Dá se posuzovat ze dvou hledisek: z hlediska organizačního a logického prostředí. Zjednodušeně řečeno se jedná o lidské zdroje a samotné technické zdroje (hardware i software). Je určena mírou rizika, jež se rovná pravděpodobnosti uplatnění některých ze zranitelných či obecných rizik.<br />
<br />
===Rizika informačních systémů===<br />
Nejpravděpodobnější hrozba pramení z hrozby organizačního prostředí. Systém je buď dodán, instalován nebo používán způsobem, který není bezpečný.<br />
<br />
'''Napadení informačního systému'''<br />
* Nedostupnost služby - tzv. DoS útoky (Denial of Service) - způsobí, že případná služba, na kterou byl prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod.<br />
* Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení.<br />
* Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a hesel apod. <br />
<br />
==Zabezpečení informačního systému==<br />
Při ochraně informací využíváme základní bezpečností mechanismy<ref>ČANDÍK, Marek. Bezpečnost informačních technologií. Praha, 2010. Dostupné z: http://www.cybersecurity.cz/data/candik.pdf</ref>:<br />
* '''Logické bezpečnostní mechanismy''' (softwarové bezpečnostní mechanismy) - princip řízení přístupu v daném operačním systému, kryptografie, standardy pro návrh, kódování, testování, údržbu programů, ochranné nástroje v operačních systémech, např. ochrana paměti, ochrana souborů řízením přístupu, obecná ochrana objektů (přístupové matice, přístupové seznamy, hesla, autentizace přístupu k terminálu, mechanismy určené pro autentizaci zpráv).<br />
* '''Technické bezpečnostní mechanismy''' (hardwarové bezpečnostní mechanismy) - šifrovače a autentizační a identifikační karty.<br />
* Fyzické bezpečnostní mechanismy - stínění, trezory, zámky, protipožární ochrana, generátory náhradní energie, chráněná místa pro záložní kopie dat a programů.<br />
* '''Organizační bezpečnostní mechanismy''' - výběr důvěryhodných osob, hesla, právní normy, zákony, vyhlášky, předpisy.<br />
<br />
Mezi bezpečnostní mechanismy patří i ochranné nástroje v aplikačních systémech.<br />
<br />
===Logické a technické bezpečnostní mechanismy===<br />
Prevence a minimalizace technických a logických rizik je nejdůležitější podmínkou jejich zvládnutí. K tomtu účelu slouží řada automatizovaných nástrojů:<br />
* Antivirus - bezpečnostní software určený pro boj s malwarem (škodlivý programový kód).<br />
* Firewall - technický prvek informační infrastruktury, který je určen k bezpečnému propojení dvou a více počítačových sítí.<br />
** Web Application Firewall (WAF) - ochrana síťového provozu na protokolech HTTP a HTTPS.<br />
* Systém prevence úniku (Intrusion Prevention System) - nástroje určené pro detekci neautorizovaných a škodlivých aktivit v síťové infrastruktuře organizace a na obranu proti nim.<br />
* Analýza chování sítě (Network Behavior Analysis) - detekce nežádoucích vzorů chování na síti slouží k odhalování útoků proti sítím a systémům za použití inteligentní analýzy statistik síťového provozu.<br />
<br />
===Organizační bezpečnostní mechanismy===<br />
V rámci dobře zabezpečeného informačního systému je nutné myslet i na lidský faktor, kvůli kterému vzniká mnoho bezpečnostních problémů. Kontrolu nad uživateli hrajícími libovolnou roli lze nejsnadněji dosáhnout pomocí přesně stanovené odpovědnosti včetně jejich oprávnění pro přístup do systému a postupy schvalování mimořádných požadavků a událostí. <br />
Řízení přístupu k datům - klíčové faktory<ref>TOMEK, Michal. Lidský faktor v bezpečnosti IS. System online: S přehledem ve světě informačních technologií [online]. 2004, (3) [cit. 2015-06-14]. Dostupné z: http://www.systemonline.cz/clanky/lidsky-faktor-v-bezpecnosti-is.htm</ref>:<br />
* identifikace uživatele skrze jeho autentizaci<br />
* autorizace zajišťující kontrolu oprávnění daného uživatele k provedení určité operace s daty<br />
<br />
'''Hrozby ze strany lidských zdrojů'''<ref>STOKLÁSKA, Ondřej. <i>Lidský faktor v bezpečnosti IS/IT a sociotechnika</i>. Praha, 2006. Dostupné z: https://www.vse.cz/vskp/320_lidsky_faktor_v_bezpecnosti_is_it_a_sociotechnika. Bakalářská práce. Vysoká škola ekonomická v Praze. Vedoucí práce Petr Doucek.</ref>:<br />
* Nespokojení zaměstnanci - tito uživatelé jsou náchylní, jak k cíleným kolapsům tak k prozrazením citlivých informací třetí straně.<br />
* Nedostatečně kvalifikovaní zaměstnanci.<br />
* Outsourcing - v případě využívání externích firem je třeba dbát zvýšené pozornosti a omezení informačních toků na minimum<br />
* [[Útoky s využitím sociálního inženýrství|Sociální inženýrství]] - podvodný způsob manipulace lidí za účelem provedení určité akce nebo získání informace.<br />
** Phising - rozesílání podvodných e-mailových zpráv tvářících se důvěryhodně.<br />
** Pretexting - technika využívající částečně pravdivé informace za účelem vymámení osobních údajů.<br />
** Baiting - umístění média s infikovaným obsahem na veřejně dostupném místě (tato technika se spoléhá na zvědavost, kdy uživatel dané médium spustí a infikuje tak svůj přístroj či celou síť).<br />
** Quid pro quo - vytáčení náhodných čísel a představování se např. jako pracovník technické podpory.<br />
<br />
==Zdroje==<br />
<br />
===Reference===<br />
<br />
<references><br />
<br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=21654Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-07-04T09:21:56Z<p>Michaela.Pappova: </p>
<hr />
<div><br />
'''Informační bezpečnost''' zahrnuje ochranu všech [[informace|informací]] bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''.<ref>ČANDÍK, Marek. Informační bezpečnost. Praha, 2010. Dostupné z: http://www.cybersecurity.cz/data/candik2.pdf</ref><br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a vyvrcholil za 2. světové války šifrovacími stroji jako byla Enigma. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec [[Claude Shannon]] během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]] (data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tematikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k [[Internet|Internetu]]. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]<ref>BUDÍN, Emil. Využití automatizovaných nástrojů pro řízení bezpečnosti informací dle norem řady ČSN ISO/IEC 27000. Brmo, 2014. Dostupné z: https://is.muni.cz/th/212378/ff_m/Diplomova_prace.pdf. Diplomová práce. Masarykova univerzita v Brně. Vedoucí práce Petr Škyřík.</ref>==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie -Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
==Zranitelnost informačních systémů==<br />
Zranitelnost je obecnou vlastností informačních systémů. Dá se posuzovat ze dvou hledisek: z hlediska organizačního a logického prostředí. Zjednodušeně řečeno se jedná o lidské zdroje a samotné technické zdroje (hardware i software). Je určena mírou rizika, jež se rovná pravděpodobnosti uplatnění některých ze zranitelných či obecných rizik.<br />
<br />
===Rizika informačních systémů===<br />
Nejpravděpodobnější hrozba pramení z hrozby organizačního prostředí. Systém je buď dodán, instalován nebo používán způsobem, který není bezpečný.<br />
<br />
'''Napadení informačního systému'''<br />
* Nedostupnost služby - tzv. DoS útoky (Denial of Service) - způsobí, že případná služba, na kterou byl prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod.<br />
* Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení.<br />
* Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a hesel apod. <br />
<br />
==Zabezpečení informačního systému==<br />
Při ochraně informací využíváme základní bezpečností mechanismy<ref>ČANDÍK, Marek. Bezpečnost informačních technologií. Praha, 2010. Dostupné z: http://www.cybersecurity.cz/data/candik.pdf</ref>:<br />
* '''Logické bezpečnostní mechanismy''' (softwarové bezpečnostní mechanismy) - princip řízení přístupu v daném operačním systému, kryptografie, standardy pro návrh, kódování, testování, údržbu programů, ochranné nástroje v operačních systémech, např. ochrana paměti, ochrana souborů řízením přístupu, obecná ochrana objektů (přístupové matice, přístupové seznamy, hesla, autentizace přístupu k terminálu, mechanismy určené pro autentizaci zpráv).<br />
* '''Technické bezpečnostní mechanismy''' (hardwarové bezpečnostní mechanismy) - šifrovače a autentizační a identifikační karty.<br />
* Fyzické bezpečnostní mechanismy - stínění, trezory, zámky, protipožární ochrana, generátory náhradní energie, chráněná místa pro záložní kopie dat a programů.<br />
* '''Organizační bezpečnostní mechanismy''' - výběr důvěryhodných osob, hesla, právní normy, zákony, vyhlášky, předpisy.<br />
<br />
Mezi bezpečnostní mechanismy patří i ochranné nástroje v aplikačních systémech.<br />
<br />
===Logické a technické bezpečnostní mechanismy===<br />
Prevence a minimalizace technických a logických rizik je nejdůležitější podmínkou jejich zvládnutí. K tomtu účelu slouží řada automatizovaných nástrojů:<br />
* Antivirus - bezpečnostní software určený pro boj s malwarem (škodlivý programový kód).<br />
* Firewall - technický prvek informační infrastruktury, který je určen k bezpečnému propojení dvou a více počítačových sítí.<br />
** Web Application Firewall (WAF) - ochrana síťového provozu na protokolech HTTP a HTTPS.<br />
* Systém prevence úniku (Intrusion Prevention System) - nástroje určené pro detekci neautorizovaných a škodlivých aktivit v síťové infrastruktuře organizace a na obranu proti nim.<br />
* Analýza chování sítě (Network Behavior Analysis) - detekce nežádoucích vzorů chování na síti slouží k odhalování útoků proti sítím a systémům za použití inteligentní analýzy statistik síťového provozu.<br />
<br />
===Organizační bezpečnostní mechanismy===<br />
V rámci dobře zabezpečeného informačního systému je nutné myslet i na lidský faktor, kvůli kterému vzniká mnoho bezpečnostních problémů. Kontrolu nad uživateli hrajícími libovolnou roli lze nejsnadněji dosáhnout pomocí přesně stanovené odpovědnosti včetně jejich oprávnění pro přístup do systému a postupy schvalování mimořádných požadavků a událostí. <br />
Řízení přístupu k datům - klíčové faktory<ref>TOMEK, Michal. Lidský faktor v bezpečnosti IS. System online: S přehledem ve světě informačních technologií [online]. 2004, (3) [cit. 2015-06-14]. Dostupné z: http://www.systemonline.cz/clanky/lidsky-faktor-v-bezpecnosti-is.htm</ref>:<br />
* identifikace uživatele skrze jeho autentizaci<br />
* autorizace zajišťující kontrolu oprávnění daného uživatele k provedení určité operace s daty<br />
<br />
'''Hrozby ze strany lidských zdrojů'''<ref>STOKLÁSKA, Ondřej. <i>Lidský faktor v bezpečnosti IS/IT a sociotechnika</i>. Praha, 2006. Dostupné z: https://www.vse.cz/vskp/320_lidsky_faktor_v_bezpecnosti_is_it_a_sociotechnika. Bakalářská práce. Vysoká škola ekonomická v Praze. Vedoucí práce Petr Doucek.</ref>:<br />
* Nespokojení zaměstnanci - tito uživatelé jsou náchylní, jak k cíleným kolapsům tak k prozrazením citlivých informací třetí straně.<br />
* Nedostatečně kvalifikovaní zaměstnanci.<br />
* Outsourcing - v případě využívání externích firem je třeba dbát zvýšené pozornosti a omezení informačních toků na minimum<br />
* [[Útoky s využitím sociálního inženýrství|Sociální inženýrství]] - podvodný způsob manipulace lidí za účelem provedení určité akce nebo získání informace.<br />
** Phising - rozesílání podvodných e-mailových zpráv tvářících se důvěryhodně.<br />
** Pretexting - technika využívající částečně pravdivé informace za účelem vymámení osobních údajů.<br />
** Baiting - umístění média s infikovaným obsahem na veřejně dostupném místě (tato technika se spoléhá na zvědavost, kdy uživatel dané médium spustí a infikuje tak svůj přístroj či celou síť).<br />
** Quid pro quo - vytáčení náhodných čísel a představování se např. jako pracovník technické podpory.<br />
<br />
===Zdroje===<br />
<br />
<references><br />
<br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=21653Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-07-04T09:20:11Z<p>Michaela.Pappova: </p>
<hr />
<div><br />
'''Informační bezpečnost''' zahrnuje ochranu všech [[informace|informací]] bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''.<ref>ČANDÍK, Marek. Informační bezpečnost. Praha, 2010. Dostupné z: http://www.cybersecurity.cz/data/candik2.pdf</ref><br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a vyvrcholil za 2. světové války šifrovacími stroji jako byla Enigma. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec [[Claude Shannon]] během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]] (data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tematikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k [[Internet|Internetu]]. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]<ref>BUDÍN, Emil. Využití automatizovaných nástrojů pro řízení bezpečnosti informací dle norem řady ČSN ISO/IEC 27000. Brmo, 2014. Dostupné z: https://is.muni.cz/th/212378/ff_m/Diplomova_prace.pdf. Diplomová práce. Masarykova univerzita v Brně. Vedoucí práce Petr Škyřík.</ref>==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie -Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
==Zranitelnost informačních systémů==<br />
Zranitelnost je obecnou vlastností informačních systémů. Dá se posuzovat ze dvou hledisek: z hlediska organizačního a logického prostředí. Zjednodušeně řečeno se jedná o lidské zdroje a samotné technické zdroje (hardware i software). Je určena mírou rizika, jež se rovná pravděpodobnosti uplatnění některých ze zranitelných či obecných rizik.<br />
<br />
===Rizika informačních systémů===<br />
Nejpravděpodobnější hrozba pramení z hrozby organizačního prostředí. Systém je buď dodán, instalován nebo používán způsobem, který není bezpečný.<br />
<br />
'''Napadení informačního systému'''<br />
* Nedostupnost služby - tzv. DoS útoky (Denial of Service) - způsobí, že případná služba, na kterou byl prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod.<br />
* Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení.<br />
* Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a hesel apod. <br />
<br />
==Zabezpečení informačního systému==<br />
Při ochraně informací využíváme základní bezpečností mechanismy<ref>ČANDÍK, Marek. Bezpečnost informačních technologií. Praha, 2010. Dostupné z: http://www.cybersecurity.cz/data/candik.pdf</ref>:<br />
* '''Logické bezpečnostní mechanismy''' (softwarové bezpečnostní mechanismy) - princip řízení přístupu v daném operačním systému, kryptografie, standardy pro návrh, kódování, testování, údržbu programů, ochranné nástroje v operačních systémech, např. ochrana paměti, ochrana souborů řízením přístupu, obecná ochrana objektů (přístupové matice, přístupové seznamy, hesla, autentizace přístupu k terminálu, mechanismy určené pro autentizaci zpráv).<br />
* '''Technické bezpečnostní mechanismy''' (hardwarové bezpečnostní mechanismy) - šifrovače a autentizační a identifikační karty.<br />
* Fyzické bezpečnostní mechanismy - stínění, trezory, zámky, protipožární ochrana, generátory náhradní energie, chráněná místa pro záložní kopie dat a programů.<br />
* '''Organizační bezpečnostní mechanismy''' - výběr důvěryhodných osob, hesla, právní normy, zákony, vyhlášky, předpisy.<br />
<br />
Mezi bezpečnostní mechanismy patří i ochranné nástroje v aplikačních systémech.<br />
<br />
===Logické a technické bezpečnostní mechanismy===<br />
Prevence a minimalizace technických a logických rizik je nejdůležitější podmínkou jejich zvládnutí. K tomtu účelu slouží řada automatizovaných nástrojů:<br />
* Antivirus - bezpečnostní software určený pro boj s malwarem (škodlivý programový kód).<br />
* Firewall - technický prvek informační infrastruktury, který je určen k bezpečnému propojení dvou a více počítačových sítí.<br />
** Web Application Firewall (WAF) - ochrana síťového provozu na protokolech HTTP a HTTPS.<br />
* Systém prevence úniku (Intrusion Prevention System) - nástroje určené pro detekci neautorizovaných a škodlivých aktivit v síťové infrastruktuře organizace a na obranu proti nim.<br />
* Analýza chování sítě (Network Behavior Analysis) - detekce nežádoucích vzorů chování na síti slouží k odhalování útoků proti sítím a systémům za použití inteligentní analýzy statistik síťového provozu.<br />
<br />
===Organizační bezpečnostní mechanismy===<br />
V rámci dobře zabezpečeného informačního systému je nutné myslet i na lidský faktor, kvůli kterému vzniká mnoho bezpečnostních problémů. Kontrolu nad uživateli hrajícími libovolnou roli lze nejsnadněji dosáhnout pomocí přesně stanovené odpovědnosti včetně jejich oprávnění pro přístup do systému a postupy schvalování mimořádných požadavků a událostí. <br />
Řízení přístupu k datům - klíčové faktory<ref>TOMEK, Michal. Lidský faktor v bezpečnosti IS. System online: S přehledem ve světě informačních technologií [online]. 2004, (3) [cit. 2015-06-14]. Dostupné z: http://www.systemonline.cz/clanky/lidsky-faktor-v-bezpecnosti-is.htm</ref>:<br />
* identifikace uživatele skrze jeho autentizaci<br />
* autorizace zajišťující kontrolu oprávnění daného uživatele k provedení určité operace s daty<br />
<br />
'''Hrozby ze strany lidských zdrojů'''<ref>STOKLÁSKA, Ondřej. <i>Lidský faktor v bezpečnosti IS/IT a sociotechnika</i>. Praha, 2006. Dostupné z: https://www.vse.cz/vskp/320_lidsky_faktor_v_bezpecnosti_is_it_a_sociotechnika. Bakalářská práce. Vysoká škola ekonomická v Praze. Vedoucí práce Petr Doucek.</ref>:<br />
* Nespokojení zaměstnanci - tito uživatelé jsou náchylní, jak k cíleným kolapsům tak k prozrazením citlivých informací třetí straně.<br />
* Nedostatečně kvalifikovaní zaměstnanci.<br />
* Outsourcing - v případě využívání externích firem je třeba dbát zvýšené pozornosti a omezení informačních toků na minimum<br />
* [[Útoky s využitím sociálního inženýrství|Sociální inženýrství]] - podvodný způsob manipulace lidí za účelem provedení určité akce nebo získání informace.<br />
** Phising - rozesílání podvodných e-mailových zpráv tvářících se důvěryhodně.<br />
** Pretexting - technika využívající částečně pravdivé informace za účelem vymámení osobních údajů.<br />
** Baiting - umístění média s infikovaným obsahem na veřejně dostupném místě (tato technika se spoléhá na zvědavost, kdy uživatel dané médium spustí a infikuje tak svůj přístroj či celou síť).<br />
** Quid pro quo - vytáčení náhodných čísel a představování se např. jako pracovník technické podpory.<br />
<br />
<br />
<references><br />
<br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=21652Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-07-04T09:15:44Z<p>Michaela.Pappova: </p>
<hr />
<div><br />
'''Informační bezpečnost''' zahrnuje ochranu všech [[informace|informací]] bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''.<ref>ČANDÍK, Marek. Informační bezpečnost. Praha, 2010. Dostupné z: http://www.cybersecurity.cz/data/candik2.pdf</ref><br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a vyvrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec [[Claude Shannon]] během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]] (data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tematikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]<ref>BUDÍN, Emil. Využití automatizovaných nástrojů pro řízení bezpečnosti informací dle norem řady ČSN ISO/IEC 27000. Brmo, 2014. Dostupné z: https://is.muni.cz/th/212378/ff_m/Diplomova_prace.pdf. Diplomová práce. Masarykova univerzita v Brně. Vedoucí práce Petr Škyřík.</ref>==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie -Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
==Zranitelnost informačních systémů==<br />
Zranitelnost je obecnou vlastností informačních systémů. Dá se posuzovat ze dvou hledisek: z hlediska organizačního a logického prostředí. Zjednodušeně řečeno se jedná o lidské zdroje a samotné technické zdroje (hardware i software). Je určena mírou rizika, jež se rovná pravděpodobnosti uplatnění některých ze zranitelných či obecných rizik.<br />
<br />
===Rizika informačních systémů===<br />
Nejpravděpodobnější hrozba pramení z hrozby organizačního prostředí. Systém je buď dodán, instalován nebo používán způsobem, který není bezpečný.<br />
<br />
'''Napadení informačního systému'''<br />
* Nedostupnost služby - tzv. DoS útoky (Denial of Service) - způsobí, že případná služba, na kterou byl prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod.<br />
* Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení.<br />
* Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a hesel apod. <br />
<br />
==Zabezpečení informačního systému==<br />
Při ochraně informací využíváme základní bezpečností mechanismy<ref>ČANDÍK, Marek. Bezpečnost informačních technologií. Praha, 2010. Dostupné z: http://www.cybersecurity.cz/data/candik.pdf</ref>:<br />
* '''logické bezpečnostní mechanismy''' (softwarové bezpečnostní mechanismy) - princip řízení přístupu v daném operačním systému, kryptografie, standardy pro návrh, kódování, testování, údržbu programů, ochranné nástroje v operačních systémech, např. ochrana paměti, ochrana souborů řízením přístupu, obecná ochrana objektů (přístupové matice, přístupové seznamy, hesla, autentizace přístupu k terminálu, mechanismy určené pro autentizaci zpráv)<br />
* '''technické bezpečnostní mechanismy''' (hardwarové bezpečnostní mechanismy) - šifrovače a autentizační a identifikační karty<br />
* fyzické bezpečnostní mechanismy - stínění, trezory, zámky, protipožární ochrana, generátory náhradní energie, chráněná místa pro záložní kopie dat a programů<br />
* '''organizační bezpečnostní mechanismy''' - výběr důvěryhodných osob, hesla, právní normy, zákony, vyhlášky, předpisy<br />
<br />
Mezi bezpečnostní mechanismy patří i ochranné nástroje v aplikačních systémech.<br />
<br />
===Logické a technické bezpečnostní mechanismy===<br />
Prevence a minimalizace technických a logických rizik je nejdůležitější podmínkou jejich zvládnutí. K tomtu účelu slouží řada automatizovaných nástrojů:<br />
* Antivirus - bezpečnostní software určený pro boj s malwarem (škodlivý programový kód)<br />
* Firewall - technický prvek informační infrastruktury, který je určen k bezpečnému propojení dvou a více počítačových sítí<br />
** Web Application Firewall (WAF) - ochrana síťového provozu na protokolech HTTP a HTTPS<br />
* Systém prevence úniku (Intrusion Prevention System) - nástroje určené pro detekci neautorizovaných a škodlivých aktivit v síťové infrastruktuře organizace a na obranu proti nim<br />
* Analýza chování sítě (Network Behavior Analysis) - detekce nežádoucích vzorů chování na síti slouží k odhalování útoků proti sítím a systémům za použití inteligentní analýzy statistik síťového provozu<br />
<br />
===Organizační bezpečnostní mechanismy===<br />
V rámci dobře zabezpečeného informačního systému je nutné myslet i na lidský faktor, kvůli kterému vzniká mnoho bezpečnostních problémů. Kontrolu nad uživateli hrajícími libovolnou roli lze nejsnadněji dosáhnout pomocí přesně stanovené odpovědnosti včetně jejich oprávnění pro přístup do systému a postupy schvalování mimořádných požadavků a událostí. <br />
Řízení přístupu k datům - klíčové faktory<ref>TOMEK, Michal. Lidský faktor v bezpečnosti IS. System online: S přehledem ve světě informačních technologií [online]. 2004, (3) [cit. 2015-06-14]. Dostupné z: http://www.systemonline.cz/clanky/lidsky-faktor-v-bezpecnosti-is.htm</ref>:<br />
* identifikace uživatele skrze jeho autentizaci<br />
* autorizace zajišťující kontrolu oprávnění daného uživatele k provedení určité operace s daty<br />
<br />
'''Hrozby ze strany lidských zdrojů'''<ref>STOKLÁSKA, Ondřej. <i>Lidský faktor v bezpečnosti IS/IT a sociotechnika</i>. Praha, 2006. Dostupné z: https://www.vse.cz/vskp/320_lidsky_faktor_v_bezpecnosti_is_it_a_sociotechnika. Bakalářská práce. Vysoká škola ekonomická v Praze. Vedoucí práce Petr Doucek.</ref>:<br />
* Nespokojení zaměstnanci - tito uživatelé jsou náchylní, jak k cíleným kolapsům tak k prozrazením citlivých informací třetí straně<br />
* Nedostatečně kvalifikovaní zaměstnanci<br />
* Outsourcing - v případě využívání externích firem je třeba dbát zvýšené pozornosti a omezení informačních toků na minimum<br />
* [[Útoky s využitím sociálního inženýrství|Sociální inženýrství]] - podvodný způsob manipulace lidí za účelem provedení určité akce nebo získání informace<br />
** Phising - rozesílání podvodných e-mailových zpráv tvářících se důvěryhodně<br />
** Pretexting - technika využívající částečně pravdivé informace za účelem vymámení osobních údajů<br />
** Baiting - umístění média s infikovaným obsahem na veřejně dostupném místě (tato technika se spoléhá na zvědavost, kdy uživatel dané médium spustí a infikuje tak svůj přístroj či celou síť)<br />
** Quid pro quo - vytáčení náhodných čísel a představování se např. jako pracovník technické podpory<br />
<br />
<br />
<references><br />
<br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=21651Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-07-04T09:13:49Z<p>Michaela.Pappova: </p>
<hr />
<div><br />
'''Informační bezpečnost''' zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''.<ref>ČANDÍK, Marek. Informační bezpečnost. Praha, 2010. Dostupné z: http://www.cybersecurity.cz/data/candik2.pdf</ref><br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a vyvrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]] (data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tematikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]<ref>BUDÍN, Emil. Využití automatizovaných nástrojů pro řízení bezpečnosti informací dle norem řady ČSN ISO/IEC 27000. Brmo, 2014. Dostupné z: https://is.muni.cz/th/212378/ff_m/Diplomova_prace.pdf. Diplomová práce. Masarykova univerzita v Brně. Vedoucí práce Petr Škyřík.</ref>==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie -Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
==Zranitelnost informačních systémů==<br />
Zranitelnost je obecnou vlastností informačních systémů. Dá se posuzovat ze dvou hledisek: z hlediska organizačního a logického prostředí. Zjednodušeně řečeno se jedná o lidské zdroje a samotné technické zdroje (hardware i software). Je určena mírou rizika, jež se rovná pravděpodobnosti uplatnění některých ze zranitelných či obecných rizik.<br />
<br />
===Rizika informačních systémů===<br />
Nejpravděpodobnější hrozba pramení z hrozby organizačního prostředí. Systém je buď dodán, instalován nebo používán způsobem, který není bezpečný.<br />
<br />
'''Napadení informačního systému'''<br />
* Nedostupnost služby - tzv. DoS útoky (Denial of Service) - způsobí, že případná služba, na kterou byl prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod.<br />
* Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení.<br />
* Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a hesel apod. <br />
<br />
==Zabezpečení informačního systému==<br />
Při ochraně informací využíváme základní bezpečností mechanismy<ref>ČANDÍK, Marek. Bezpečnost informačních technologií. Praha, 2010. Dostupné z: http://www.cybersecurity.cz/data/candik.pdf</ref>:<br />
* '''logické bezpečnostní mechanismy''' (softwarové bezpečnostní mechanismy) - princip řízení přístupu v daném operačním systému, kryptografie, standardy pro návrh, kódování, testování, údržbu programů, ochranné nástroje v operačních systémech, např. ochrana paměti, ochrana souborů řízením přístupu, obecná ochrana objektů (přístupové matice, přístupové seznamy, hesla, autentizace přístupu k terminálu, mechanismy určené pro autentizaci zpráv)<br />
* '''technické bezpečnostní mechanismy''' (hardwarové bezpečnostní mechanismy) - šifrovače a autentizační a identifikační karty<br />
* fyzické bezpečnostní mechanismy - stínění, trezory, zámky, protipožární ochrana, generátory náhradní energie, chráněná místa pro záložní kopie dat a programů<br />
* '''organizační bezpečnostní mechanismy''' - výběr důvěryhodných osob, hesla, právní normy, zákony, vyhlášky, předpisy<br />
<br />
Mezi bezpečnostní mechanismy patří i ochranné nástroje v aplikačních systémech.<br />
<br />
===Logické a technické bezpečnostní mechanismy===<br />
Prevence a minimalizace technických a logických rizik je nejdůležitější podmínkou jejich zvládnutí. K tomtu účelu slouží řada automatizovaných nástrojů:<br />
* Antivirus - bezpečnostní software určený pro boj s malwarem (škodlivý programový kód)<br />
* Firewall - technický prvek informační infrastruktury, který je určen k bezpečnému propojení dvou a více počítačových sítí<br />
** Web Application Firewall (WAF) - ochrana síťového provozu na protokolech HTTP a HTTPS<br />
* Systém prevence úniku (Intrusion Prevention System) - nástroje určené pro detekci neautorizovaných a škodlivých aktivit v síťové infrastruktuře organizace a na obranu proti nim<br />
* Analýza chování sítě (Network Behavior Analysis) - detekce nežádoucích vzorů chování na síti slouží k odhalování útoků proti sítím a systémům za použití inteligentní analýzy statistik síťového provozu<br />
<br />
===Organizační bezpečnostní mechanismy===<br />
V rámci dobře zabezpečeného informačního systému je nutné myslet i na lidský faktor, kvůli kterému vzniká mnoho bezpečnostních problémů. Kontrolu nad uživateli hrajícími libovolnou roli lze nejsnadněji dosáhnout pomocí přesně stanovené odpovědnosti včetně jejich oprávnění pro přístup do systému a postupy schvalování mimořádných požadavků a událostí. <br />
Řízení přístupu k datům - klíčové faktory<ref>TOMEK, Michal. Lidský faktor v bezpečnosti IS. System online: S přehledem ve světě informačních technologií [online]. 2004, (3) [cit. 2015-06-14]. Dostupné z: http://www.systemonline.cz/clanky/lidsky-faktor-v-bezpecnosti-is.htm</ref>:<br />
* identifikace uživatele skrze jeho autentizaci<br />
* autorizace zajišťující kontrolu oprávnění daného uživatele k provedení určité operace s daty<br />
<br />
'''Hrozby ze strany lidských zdrojů'''<ref>STOKLÁSKA, Ondřej. <i>Lidský faktor v bezpečnosti IS/IT a sociotechnika</i>. Praha, 2006. Dostupné z: https://www.vse.cz/vskp/320_lidsky_faktor_v_bezpecnosti_is_it_a_sociotechnika. Bakalářská práce. Vysoká škola ekonomická v Praze. Vedoucí práce Petr Doucek.</ref>:<br />
* Nespokojení zaměstnanci - tito uživatelé jsou náchylní, jak k cíleným kolapsům tak k prozrazením citlivých informací třetí straně<br />
* Nedostatečně kvalifikovaní zaměstnanci<br />
* Outsourcing - v případě využívání externích firem je třeba dbát zvýšené pozornosti a omezení informačních toků na minimum<br />
* [[Útoky s využitím sociálního inženýrství|Sociální inženýrství]] - podvodný způsob manipulace lidí za účelem provedení určité akce nebo získání informace<br />
** Phising - rozesílání podvodných e-mailových zpráv tvářících se důvěryhodně<br />
** Pretexting - technika využívající částečně pravdivé informace za účelem vymámení osobních údajů<br />
** Baiting - umístění média s infikovaným obsahem na veřejně dostupném místě (tato technika se spoléhá na zvědavost, kdy uživatel dané médium spustí a infikuje tak svůj přístroj či celou síť)<br />
** Quid pro quo - vytáčení náhodných čísel a představování se např. jako pracovník technické podpory<br />
<br />
<br />
<references><br />
<br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20568Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-14T21:02:47Z<p>Michaela.Pappova: /* Zabezpečení informačního systému */</p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''<ref>ČANDÍK, Marek. Informační bezpečnost. Praha, 2010. Dostupné z: http://www.cybersecurity.cz/data/candik2.pdf</ref>. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]<ref>BUDÍN, Emil. Využití automatizovaných nástrojů pro řízení bezpečnosti informací dle norem řady ČSN ISO/IEC 27000. Brmo, 2014. Dostupné z: https://is.muni.cz/th/212378/ff_m/Diplomova_prace.pdf. Diplomová práce. Masarykova univerzita v Brně. Vedoucí práce Petr Škyřík.</ref>==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
==Zranitelnost informačních systémů==<br />
Zranitelnost je obecnou vlastností informačních systémů. Dá se posuzovat ze dvou hledisek: z hlediska organizačního a logického prostředí. Zjednodušeně řečeno se jedná o lidské zdroje a samotné technické zdroje (hardware i software). Je určena mírou rizika, jež se rovná pravděpodobnosti uplatnění některých ze zranitelných či obecných rizik.<br />
<br />
===Rizika informačních systémů===<br />
Nejpravděpodobnější hrozba pramení z hrozby organizačního prostředí. Systém je buď dodán, instalován nebo používán způsobem, který není bezpečný.<br />
<br />
'''Napadení informačního systému'''<br />
* Nedostupnost služby - tzv. DoS útoky (Denial of Service) -způsobí, že případná služba), na kterou byl prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod.<br />
* Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení.<br />
* Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a hesel apod. <br />
<br />
==Zabezpečení informačního systému==<br />
Při ochraně informací využíváme základní bezpečností mechanismy<ref>ČANDÍK, Marek. Bezpečnost informačních technologií. Praha, 2010. Dostupné z: http://www.cybersecurity.cz/data/candik.pdf</ref>:<br />
* '''logické bezpečnostní mechanismy''' (softwarové bezpečnostní mechanismy) - princip řízení přístupu v daném operačním systému, kryptografie, standardy pro návrh, kódování, testování, údržbu programů, ochranné nástroje v operačních systémech, např.ochrana paměti, ochrana souborů řízením přístupu, obecná ochrana objektů (přístupové matice, přístupové seznamy, hesla, autentizace přístupu k terminálu, mechanismy určené pro autentizaci zpráv)<br />
* '''technické bezpečnostní mechanismy''' (hardwarové bezpečnostní mechanismy) - šifrovače a autentizační a identifikační karty<br />
* fyzické bezpečnostní mechanismy - stínění, trezory, zámky, protipožární ochrana, generátory náhradní energie, chráněná místa pro záložní kopie dat a programů<br />
* '''organizační bezpečnostní mechanismy''' - výběr důvěryhodných osob, hesla, právní normy, zákony, vyhlášky, předpisy<br />
<br />
Mezi bezpečnostní mechanismy patří i ochranné nástroje v aplikačních systémech.<br />
<br />
===Logické a technické bezpečnostní mechanismy===<br />
Prevence a minimalizace technických a logických rizik je nejdůležitější podmínkou jejich zvládnutí. K tomtu účelu slouží řada automatizovaných nástrojů:<br />
* Antivirus - bezpečnostní software určený pro boj s malwarem (škodlivý programový kód)<br />
* Firewall - technický prvek informační infrastruktury, který je určen k bezpečnému propojení dvou a více počítačových sítí<br />
** Web Application Firewall (WAF) - ochrana síťového provozu na protokolech HTTP a HTTPS<br />
* Systém prevence úniku (Intrusion Prevention System) - nástroje určené pro detekci neautorizovaných a škodlivých aktivit v síťové infrastruktuře organizace a na obranu proti nim<br />
* Analýza chování sítě (Network Behavior Analysis) - detekce nežádoucích vzorů chování na síti slouží k odhalování útoků proti sítím a systémům za použití inteligentní analýzy statistik síťového provozu<br />
<br />
===Organizační bezpečnostní mechanismy===<br />
V rámci dobře zabezpečeného informačního systému je nutné myslet i na lidský faktor, kvůli kterému vzniká mnoho bezpečnostních problémů. Kontrolu nad uživateli hrajícími libovolnou roli lze nejsnadněji dosáhnout pomocí přesně stanovené odpovědnosti včetně jejich oprávnění pro přístup do systému a postupy schvalování mimořádných požadavků a událostí. <br />
Řízení přístupu k datům - klíčové faktory<ref>TOMEK, Michal. Lidský faktor v bezpečnosti IS. System online: S přehledem ve světě informačních technologií [online]. 2004, (3) [cit. 2015-06-14]. Dostupné z: http://www.systemonline.cz/clanky/lidsky-faktor-v-bezpecnosti-is.htm</ref>:<br />
* identifikace uživatele skrze jeho autentizaci<br />
* autorizace zajišťující kontrolu oprávnění daného uživatele k provedení určité operace s daty<br />
<br />
'''Hrozby ze strany lidských zdrojů'''<ref>STOKLÁSKA, Ondřej. <i>Lidský faktor v bezpečnosti IS/IT a sociotechnika</i>. Praha, 2006. Dostupné z: https://www.vse.cz/vskp/320_lidsky_faktor_v_bezpecnosti_is_it_a_sociotechnika. Bakalářská práce. Vysoká škola ekonomická v Praze. Vedoucí práce Petr Doucek.</ref>:<br />
* Nespokojení zaměstnanci - tito uživatelé jsou náchylní, jak k cíleným kolapsům tak k prozrazením citlivých informací třetí straně<br />
* Nedostatečně kvalifikovaní zaměstnanci)<br />
* Outsourcing - v případě využívání externích firem je třeba dbát zvýšené pozornosti a omezení informačních toků na minimum<br />
* [[Útoky s využitím sociálního inženýrství|Sociální inženýrství]] - podvodný způsob manipulace lidí za účelem provedení určité akce nebo získání informace<br />
** Phising - rozesílání podvodných e-mailových zpráv tvářících se důvěryhodně<br />
** Pretexting - technika využívající částečně pravdivé informace za účelem vymámení osobních údajů<br />
** Baiting - umístění média s infikovaným obsahem na veřejně dostupném místě (tato technika se spoléhá na zvědavost, kdy uživatel dané médium spustí a infikuje tak svůj přístroj či celou síť)<br />
** Quid pro quo - vytáčení náhodných čísel a představování se např. jako pracovník technické podpory<br />
<br />
<br />
<references><br />
<br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20567Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-14T20:57:36Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''<ref>ČANDÍK, Marek. Informační bezpečnost. Praha, 2010. Dostupné z: http://www.cybersecurity.cz/data/candik2.pdf</ref>. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]<ref>BUDÍN, Emil. Využití automatizovaných nástrojů pro řízení bezpečnosti informací dle norem řady ČSN ISO/IEC 27000. Brmo, 2014. Dostupné z: https://is.muni.cz/th/212378/ff_m/Diplomova_prace.pdf. Diplomová práce. Masarykova univerzita v Brně. Vedoucí práce Petr Škyřík.</ref>==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
==Zranitelnost informačních systémů==<br />
Zranitelnost je obecnou vlastností informačních systémů. Dá se posuzovat ze dvou hledisek: z hlediska organizačního a logického prostředí. Zjednodušeně řečeno se jedná o lidské zdroje a samotné technické zdroje (hardware i software). Je určena mírou rizika, jež se rovná pravděpodobnosti uplatnění některých ze zranitelných či obecných rizik.<br />
<br />
===Rizika informačních systémů===<br />
Nejpravděpodobnější hrozba pramení z hrozby organizačního prostředí. Systém je buď dodán, instalován nebo používán způsobem, který není bezpečný.<br />
<br />
'''Napadení informačního systému'''<br />
* Nedostupnost služby - tzv. DoS útoky (Denial of Service) -způsobí, že případná služba), na kterou byl prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod.<br />
* Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení.<br />
* Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a hesel apod. <br />
<br />
==Zabezpečení informačního systému==<br />
Při ochraně informací využíváme základní bezpečností mechanismy:<br />
* '''logické bezpečnostní mechanismy''' (softwarové bezpečnostní mechanismy) - princip řízení přístupu v daném operačním systému, kryptografie, standardy pro návrh, kódování, testování, údržbu programů, ochranné nástroje v operačních systémech, např.ochrana paměti, ochrana souborů řízením přístupu, obecná ochrana objektů (přístupové matice, přístupové seznamy, hesla, autentizace přístupu k terminálu, mechanismy určené pro autentizaci zpráv)<br />
* '''technické bezpečnostní mechanismy''' (hardwarové bezpečnostní mechanismy) - šifrovače a autentizační a identifikační karty<br />
* fyzické bezpečnostní mechanismy - stínění, trezory, zámky, protipožární ochrana, generátory náhradní energie, chráněná místa pro záložní kopie dat a programů<br />
* '''organizační bezpečnostní mechanismy''' - výběr důvěryhodných osob, hesla, právní normy, zákony, vyhlášky, předpisy<br />
<br />
Mezi bezpečnostní mechanismy patří i ochranné nástroje v aplikačních systémech.<br />
<br />
===Logické a technické bezpečnostní mechanismy===<br />
Prevence a minimalizace technických a logických rizik je nejdůležitější podmínkou jejich zvládnutí. K tomtu účelu slouží řada automatizovaných nástrojů:<br />
* Antivirus - bezpečnostní software určený pro boj s malwarem (škodlivý programový kód)<br />
* Firewall - technický prvek informační infrastruktury, který je určen k bezpečnému propojení dvou a více počítačových sítí<br />
** Web Application Firewall (WAF) - ochrana síťového provozu na protokolech HTTP a HTTPS<br />
* Systém prevence úniku (Intrusion Prevention System) - nástroje určené pro detekci neautorizovaných a škodlivých aktivit v síťové infrastruktuře organizace a na obranu proti nim<br />
* Analýza chování sítě (Network Behavior Analysis) - detekce nežádoucích vzorů chování na síti slouží k odhalování útoků proti sítím a systémům za použití inteligentní analýzy statistik síťového provozu<br />
<br />
===Organizační bezpečnostní mechanismy===<br />
V rámci dobře zabezpečeného informačního systému je nutné myslet i na lidský faktor, kvůli kterému vzniká mnoho bezpečnostních problémů. Kontrolu nad uživateli hrajícími libovolnou roli lze nejsnadněji dosáhnout pomocí přesně stanovené odpovědnosti včetně jejich oprávnění pro přístup do systému a postupy schvalování mimořádných požadavků a událostí. <br />
Řízení přístupu k datům - klíčové faktory<ref>TOMEK, Michal. Lidský faktor v bezpečnosti IS. System online: S přehledem ve světě informačních technologií [online]. 2004, (3) [cit. 2015-06-14]. Dostupné z: http://www.systemonline.cz/clanky/lidsky-faktor-v-bezpecnosti-is.htm</ref>:<br />
* identifikace uživatele skrze jeho autentizaci<br />
* autorizace zajišťující kontrolu oprávnění daného uživatele k provedení určité operace s daty<br />
<br />
'''Hrozby ze strany lidských zdrojů'''<ref>STOKLÁSKA, Ondřej. <i>Lidský faktor v bezpečnosti IS/IT a sociotechnika</i>. Praha, 2006. Dostupné z: https://www.vse.cz/vskp/320_lidsky_faktor_v_bezpecnosti_is_it_a_sociotechnika. Bakalářská práce. Vysoká škola ekonomická v Praze. Vedoucí práce Petr Doucek.</ref>:<br />
* Nespokojení zaměstnanci - tito uživatelé jsou náchylní, jak k cíleným kolapsům tak k prozrazením citlivých informací třetí straně<br />
* Nedostatečně kvalifikovaní zaměstnanci)<br />
* Outsourcing - v případě využívání externích firem je třeba dbát zvýšené pozornosti a omezení informačních toků na minimum<br />
* [[Útoky s využitím sociálního inženýrství|Sociální inženýrství]] - podvodný způsob manipulace lidí za účelem provedení určité akce nebo získání informace<br />
** Phising - rozesílání podvodných e-mailových zpráv tvářících se důvěryhodně<br />
** Pretexting - technika využívající částečně pravdivé informace za účelem vymámení osobních údajů<br />
** Baiting - umístění média s infikovaným obsahem na veřejně dostupném místě (tato technika se spoléhá na zvědavost, kdy uživatel dané médium spustí a infikuje tak svůj přístroj či celou síť)<br />
** Quid pro quo - vytáčení náhodných čísel a představování se např. jako pracovník technické podpory<br />
<br />
<br />
<references><br />
<br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20566Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-14T20:53:27Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
==Zranitelnost informačních systémů==<br />
Zranitelnost je obecnou vlastností informačních systémů. Dá se posuzovat ze dvou hledisek: z hlediska organizačního a logického prostředí. Zjednodušeně řečeno se jedná o lidské zdroje a samotné technické zdroje (hardware i software). Je určena mírou rizika, jež se rovná pravděpodobnosti uplatnění některých ze zranitelných či obecných rizik.<br />
<br />
===Rizika informačních systémů===<br />
Nejpravděpodobnější hrozba pramení z hrozby organizačního prostředí. Systém je buď dodán, instalován nebo používán způsobem, který není bezpečný.<br />
<br />
'''Napadení informačního systému'''<br />
* Nedostupnost služby - tzv. DoS útoky (Denial of Service) -způsobí, že případná služba), na kterou byl prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod.<br />
* Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení.<br />
* Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a hesel apod. <br />
<br />
==Zabezpečení informačního systému==<br />
Při ochraně informací využíváme základní bezpečností mechanismy:<br />
* '''logické bezpečnostní mechanismy''' (softwarové bezpečnostní mechanismy) - princip řízení přístupu v daném operačním systému, kryptografie, standardy pro návrh, kódování, testování, údržbu programů, ochranné nástroje v operačních systémech, např.ochrana paměti, ochrana souborů řízením přístupu, obecná ochrana objektů (přístupové matice, přístupové seznamy, hesla, autentizace přístupu k terminálu, mechanismy určené pro autentizaci zpráv)<br />
* '''technické bezpečnostní mechanismy''' (hardwarové bezpečnostní mechanismy) - šifrovače a autentizační a identifikační karty<br />
* fyzické bezpečnostní mechanismy - stínění, trezory, zámky, protipožární ochrana, generátory náhradní energie, chráněná místa pro záložní kopie dat a programů<br />
* '''organizační bezpečnostní mechanismy''' - výběr důvěryhodných osob, hesla, právní normy, zákony, vyhlášky, předpisy<br />
<br />
Mezi bezpečnostní mechanismy patří i ochranné nástroje v aplikačních systémech.<br />
<br />
===Logické a technické bezpečnostní mechanismy===<br />
Prevence a minimalizace technických a logických rizik je nejdůležitější podmínkou jejich zvládnutí. K tomtu účelu slouží řada automatizovaných nástrojů:<br />
* Antivirus - bezpečnostní software určený pro boj s malwarem (škodlivý programový kód)<br />
* Firewall - technický prvek informační infrastruktury, který je určen k bezpečnému propojení dvou a více počítačových sítí<br />
** Web Application Firewall (WAF) - ochrana síťového provozu na protokolech HTTP a HTTPS<br />
* Systém prevence úniku (Intrusion Prevention System) - nástroje určené pro detekci neautorizovaných a škodlivých aktivit v síťové infrastruktuře organizace a na obranu proti nim<br />
* Analýza chování sítě (Network Behavior Analysis) - detekce nežádoucích vzorů chování na síti slouží k odhalování útoků proti sítím a systémům za použití inteligentní analýzy statistik síťového provozu<br />
<br />
===Organizační bezpečnostní mechanismy===<br />
V rámci dobře zabezpečeného informačního systému je nutné myslet i na lidský faktor, kvůli kterému vzniká mnoho bezpečnostních problémů. Kontrolu nad uživateli hrajícími libovolnou roli lze nejsnadněji dosáhnout pomocí přesně stanovené odpovědnosti včetně jejich oprávnění pro přístup do systému a postupy schvalování mimořádných požadavků a událostí. <br />
Řízení přístupu k datům - klíčové faktory<ref>TOMEK, Michal. Lidský faktor v bezpečnosti IS. System online: S přehledem ve světě informačních technologií [online]. 2004, (3) [cit. 2015-06-14]. Dostupné z: http://www.systemonline.cz/clanky/lidsky-faktor-v-bezpecnosti-is.htm</ref>:<br />
* identifikace uživatele skrze jeho autentizaci<br />
* autorizace zajišťující kontrolu oprávnění daného uživatele k provedení určité operace s daty<br />
<br />
'''Hrozby ze strany lidských zdrojů'''<ref>STOKLÁSKA, Ondřej. <i>Lidský faktor v bezpečnosti IS/IT a sociotechnika</i>. Praha, 2006. Dostupné z: https://www.vse.cz/vskp/320_lidsky_faktor_v_bezpecnosti_is_it_a_sociotechnika. Bakalářská práce. Vysoká škola ekonomická v Praze. Vedoucí práce Petr Doucek.</ref>:<br />
* Nespokojení zaměstnanci - tito uživatelé jsou náchylní, jak k cíleným kolapsům tak k prozrazením citlivých informací třetí straně<br />
* Nedostatečně kvalifikovaní zaměstnanci)<br />
* Outsourcing - v případě využívání externích firem je třeba dbát zvýšené pozornosti a omezení informačních toků na minimum<br />
* [[Útoky s využitím sociálního inženýrství|Sociální inženýrství]] - podvodný způsob manipulace lidí za účelem provedení určité akce nebo získání informace<br />
** Phising - rozesílání podvodných e-mailových zpráv tvářících se důvěryhodně<br />
** Pretexting - technika využívající částečně pravdivé informace za účelem vymámení osobních údajů<br />
** Baiting - umístění média s infikovaným obsahem na veřejně dostupném místě (tato technika se spoléhá na zvědavost, kdy uživatel dané médium spustí a infikuje tak svůj přístroj či celou síť)<br />
** Quid pro quo - vytáčení náhodných čísel a představování se např. jako pracovník technické podpory<br />
<br />
<br />
<references><br />
ČANDÍK, Marek. Informační bezpečnost. Praha, 2010. Dostupné z: http://www.cybersecurity.cz/data/candik2.pdf<br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20565Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-14T20:42:05Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
==Zranitelnost informačních systémů==<br />
Zranitelnost je obecnou vlastností informačních systémů. Dá se posuzovat ze dvou hledisek: z hlediska organizačního a logického prostředí. Zjednodušeně řečeno se jedná o lidské zdroje a samotné technické zdroje (hardware i software). Je určena mírou rizika, jež se rovná pravděpodobnosti uplatnění některých ze zranitelných či obecných rizik.<br />
<br />
===Rizika informačních systémů===<br />
Nejpravděpodobnější hrozba pramení z hrozby organizačního prostředí. Systém je buď dodán, instalován nebo používán způsobem, který není bezpečný.<br />
<br />
'''Napadení informačního systému'''<br />
* Nedostupnost služby - tzv. DoS útoky (Denial of Service) -způsobí, že případná služba), na kterou byl prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod.<br />
* Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení.<br />
* Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a hesel apod. <br />
<br />
==Zabezpečení informačního systému==<br />
Při ochraně informací využíváme základní bezpečností mechanismy:<br />
* '''logické bezpečnostní mechanismy''' (softwarové bezpečnostní mechanismy) - princip řízení přístupu v daném operačním systému, kryptografie, standardy pro návrh, kódování, testování, údržbu programů, ochranné nástroje v operačních systémech, např.ochrana paměti, ochrana souborů řízením přístupu, obecná ochrana objektů (přístupové matice, přístupové seznamy, hesla, autentizace přístupu k terminálu, mechanismy určené pro autentizaci zpráv)<br />
* '''technické bezpečnostní mechanismy''' (hardwarové bezpečnostní mechanismy) - šifrovače a autentizační a identifikační karty<br />
* fyzické bezpečnostní mechanismy - stínění, trezory, zámky, protipožární ochrana, generátory náhradní energie, chráněná místa pro záložní kopie dat a programů<br />
* '''organizační bezpečnostní mechanismy''' - výběr důvěryhodných osob, hesla, právní normy, zákony, vyhlášky, předpisy<br />
<br />
Mezi bezpečnostní mechanismy patří i ochranné nástroje v aplikačních systémech.<br />
<br />
===Logické a technické bezpečnostní mechanismy===<br />
Prevence a minimalizace technických a logických rizik je nejdůležitější podmínkou jejich zvládnutí. K tomtu účelu slouží řada automatizovaných nástrojů:<br />
* Antivirus - bezpečnostní software určený pro boj s malwarem (škodlivý programový kód)<br />
* Firewall - technický prvek informační infrastruktury, který je určen k bezpečnému propojení dvou a více počítačových sítí<br />
** Web Application Firewall (WAF) - ochrana síťového provozu na protokolech HTTP a HTTPS<br />
* Systém prevence úniku (Intrusion Prevention System) - nástroje určené pro detekci neautorizovaných a škodlivých aktivit v síťové infrastruktuře organizace a na obranu proti nim<br />
* Analýza chování sítě (Network Behavior Analysis) - detekce nežádoucích vzorů chování na síti slouží k odhalování útoků proti sítím a systémům za použití inteligentní analýzy statistik síťového provozu<br />
<br />
===Organizační bezpečnostní mechanismy===<br />
V rámci dobře zabezpečeného informačního systému je nutné myslet i na lidský faktor, kvůli kterému vzniká mnoho bezpečnostních problémů. Kontrolu nad uživateli hrajícími libovolnou roli lze nejsnadněji dosáhnout pomocí přesně stanovené odpovědnosti včetně jejich oprávnění pro přístup do systému a postupy schvalování mimořádných požadavků a událostí. <br />
Řízení přístupu k datům - klíčové faktory<ref>TOMEK, Michal. Lidský faktor v bezpečnosti IS. System online: S přehledem ve světě informačních technologií [online]. 2004, (3) [cit. 2015-06-14]. Dostupné z: http://www.systemonline.cz/clanky/lidsky-faktor-v-bezpecnosti-is.htm</ref>:<br />
* identifikace uživatele skrze jeho autentizaci<br />
* autorizace zajišťující kontrolu oprávnění daného uživatele k provedení určité operace s daty<br />
<br />
Hrozby ze strany lidských zdrojů<ref>STOKLÁSKA, Ondřej. <i>Lidský faktor v bezpečnosti IS/IT a sociotechnika</i>. Praha, 2006. Dostupné z: https://www.vse.cz/vskp/320_lidsky_faktor_v_bezpecnosti_is_it_a_sociotechnika. Bakalářská práce. Vysoká škola ekonomická v Praze. Vedoucí práce Petr Doucek.</ref>:<br />
* Nespokojení zaměstnanci - tito uživatelé jsou náchylní, jak k cíleným kolapsům tak k prozrazením citlivých informací třetí straně<br />
* Nedostatečně kvalifikovaní zaměstnanci)<br />
* Outsourcing - v případě využívání externích firem je třeba dbát zvýšené pozornosti a omezení informačních toků na minimum<br />
* [[Útoky s využitím sociálního inženýrství|Sociální inženýrství]] - podvodný způsob manipulace lidí za účelem provedení určité akce nebo získání informace<br />
** Phising - rozesílání podvodných e-mailových zpráv tvářících se důvěryhodně<br />
** Pretexting - technika využívající částečně pravdivé informace za účelem vymámení osobních údajů<br />
** Baiting - umístění média s infikovaným obsahem na veřejně dostupném místě (tato technika se spoléhá na zvědavost, kdy uživatel dané médium spustí a infikuje tak svůj přístroj či celou síť)<br />
** Quid pro quo - vytáčení náhodných čísel a představování se např. jako pracovník technické podpory<br />
<br />
<br />
<references><br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20564Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-14T20:39:19Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
==Zranitelnost informačních systémů==<br />
Zranitelnost je obecnou vlastností informačních systémů. Dá se posuzovat ze dvou hledisek: z hlediska organizačního a logického prostředí. Zjednodušeně řečeno se jedná o lidské zdroje a samotné technické zdroje (hardware i software). Je určena mírou rizika, jež se rovná pravděpodobnosti uplatnění některých ze zranitelných či obecných rizik.<br />
<br />
===Rizika informačních systémů===<br />
Nejpravděpodobnější hrozba pramení z hrozby organizačního prostředí. Systém je buď dodán, instalován nebo používán způsobem, který není bezpečný.<br />
<br />
'''Napadení informačního systému'''<br />
* Nedostupnost služby - tzv. DoS útoky (Denial of Service) -způsobí, že případná služba), na kterou byl prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod.<br />
* Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení.<br />
* Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a hesel apod. <br />
<br />
==Zabezpečení informačního systému==<br />
Při ochraně informací využíváme základní bezpečností mechanismy:<br />
* '''logické bezpečnostní mechanismy''' (softwarové bezpečnostní mechanismy) - princip řízení přístupu v daném operačním systému, kryptografie, standardy pro návrh, kódování, testování, údržbu programů, ochranné nástroje v operačních systémech, např.ochrana paměti, ochrana souborů řízením přístupu, obecná ochrana objektů (přístupové matice, přístupové seznamy, hesla, autentizace přístupu k terminálu, mechanismy určené pro autentizaci zpráv)<br />
* '''technické bezpečnostní mechanismy''' (hardwarové bezpečnostní mechanismy) - šifrovače a autentizační a identifikační karty<br />
* fyzické bezpečnostní mechanismy - stínění, trezory, zámky, protipožární ochrana, generátory náhradní energie, chráněná místa pro záložní kopie dat a programů<br />
* '''organizační bezpečnostní mechanismy''' - výběr důvěryhodných osob, hesla, právní normy, zákony, vyhlášky, předpisy<br />
<br />
Mezi bezpečnostní mechanismy patří i ochranné nástroje v aplikačních systémech.<br />
<br />
===Logické a technické bezpečnostní mechanismy===<br />
Prevence a minimalizace technických a logických rizik je nejdůležitější podmínkou jejich zvládnutí. K tomtu účelu slouží řada automatizovaných nástrojů:<br />
* Antivirus - bezpečnostní software určený pro boj s malwarem (škodlivý programový kód)<br />
* Firewall - technický prvek informační infrastruktury, který je určen k bezpečnému propojení dvou a více počítačových sítí<br />
** Web Application Firewall (WAF) - ochrana síťového provozu na protokolech HTTP a HTTPS<br />
* Systém prevence úniku (Intrusion Prevention System) - nástroje určené pro detekci neautorizovaných a škodlivých aktivit v síťové infrastruktuře organizace a na obranu proti nim<br />
* Analýza chování sítě (Network Behavior Analysis) - detekce nežádoucích vzorů chování na síti slouží k odhalování útoků proti sítím a systémům za použití inteligentní analýzy statistik síťového provozu<br />
<br />
===Organizační bezpečnostní mechanismy===<br />
V rámci dobře zabezpečeného informačního systému je nutné myslet i na lidský faktor, kvůli kterému vzniká mnoho bezpečnostních problémů. Kontrolu nad uživateli hrajícími libovolnou roli lze nejsnadněji dosáhnout pomocí přesně stanovené odpovědnosti včetně jejich oprávnění pro přístup do systému a postupy schvalování mimořádných požadavků a událostí. <br />
Řízení přístupu k datům - klíčové faktory<ref>TOMEK, Michal. Lidský faktor v bezpečnosti IS. System online: S přehledem ve světě informačních technologií [online]. 2004, (3) [cit. 2015-06-14]. Dostupné z: http://www.systemonline.cz/clanky/lidsky-faktor-v-bezpecnosti-is.htm</ref>:<br />
* identifikace uživatele skrze jeho autentizaci<br />
* autorizace zajišťující kontrolu oprávnění daného uživatele k provedení určité operace s daty<br />
<br />
Hrozby ze strany lidských zdrojů.<br />
* Nespokojení zaměstnanci - tito uživatelé jsou náchylní, jak k cíleným kolapsům tak k prozrazením citlivých informací třetí straně<br />
* Nedostatečně kvalifikovaní zaměstnanci)<br />
* Outsourcing - v případě využívání externích firem je třeba dbát zvýšené pozornosti a omezení informačních toků na minimum<br />
* [[Útoky s využitím sociálního inženýrství|Sociální inženýrství]] - podvodný způsob manipulace lidí za účelem provedení určité akce nebo získání informace<br />
** Phising - rozesílání podvodných e-mailových zpráv tvářících se důvěryhodně<br />
** Pretexting - technika využívající částečně pravdivé informace za účelem vymámení osobních údajů<br />
** Baiting - umístění média s infikovaným obsahem na veřejně dostupném místě (tato technika se spoléhá na zvědavost, kdy uživatel dané médium spustí a infikuje tak svůj přístroj či celou síť)<br />
** Quid pro quo - vytáčení náhodných čísel a představování se např. jako pracovník technické podpory<br />
<br />
<br />
<references><br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20563Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-14T20:19:02Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
==Zranitelnost informačních systémů==<br />
Zranitelnost je obecnou vlastností informačních systémů. Dá se posuzovat ze dvou hledisek: z hlediska organizačního a logického prostředí. Zjednodušeně řečeno se jedná o lidské zdroje a samotné technické zdroje (hardware i software). Je určena mírou rizika, jež se rovná pravděpodobnosti uplatnění některých ze zranitelných či obecných rizik.<br />
<br />
===Rizika informačních systémů===<br />
Nejpravděpodobnější hrozba pramení z hrozby organizačního prostředí. Systém je buď dodán, instalován nebo používán způsobem, který není bezpečný.<br />
<br />
'''Napadení informačního systému'''<br />
* Nedostupnost služby - tzv. DoS útoky (Denial of Service) -způsobí, že případná služba), na kterou byl prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod.<br />
* Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení.<br />
* Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a hesel apod. <br />
<br />
==Zabezpečení informačního systému==<br />
Při ochraně informací využíváme základní bezpečností mechanismy:<br />
* '''logické bezpečnostní mechanismy''' (softwarové bezpečnostní mechanismy) - princip řízení přístupu v daném operačním systému, kryptografie, standardy pro návrh, kódování, testování, údržbu programů, ochranné nástroje v operačních systémech, např.ochrana paměti, ochrana souborů řízením přístupu, obecná ochrana objektů (přístupové matice, přístupové seznamy, hesla, autentizace přístupu k terminálu, mechanismy určené pro autentizaci zpráv)<br />
* '''technické bezpečnostní mechanismy''' (hardwarové bezpečnostní mechanismy) - šifrovače a autentizační a identifikační karty<br />
* fyzické bezpečnostní mechanismy - stínění, trezory, zámky, protipožární ochrana, generátory náhradní energie, chráněná místa pro záložní kopie dat a programů<br />
* '''organizační bezpečnostní mechanismy''' - výběr důvěryhodných osob, hesla, právní normy, zákony, vyhlášky, předpisy<br />
<br />
Mezi bezpečnostní mechanismy patří i ochranné nástroje v aplikačních systémech.<br />
<br />
===Logické a technické bezpečnostní mechanismy===<br />
Prevence a minimalizace technických a logických rizik je nejdůležitější podmínkou jejich zvládnutí. K tomtu účelu slouží řada automatizovaných nástrojů:<br />
* Antivirus - bezpečnostní software určený pro boj s malwarem (škodlivý programový kód)<br />
* Firewall - technický prvek informační infrastruktury, který je určen k bezpečnému propojení dvou a více počítačových sítí<br />
** Web Application Firewall (WAF) - ochrana síťového provozu na protokolech HTTP a HTTPS<br />
* Systém prevence úniku (Intrusion Prevention System) - nástroje určené pro detekci neautorizovaných a škodlivých aktivit v síťové infrastruktuře organizace a na obranu proti nim<br />
* Analýza chování sítě (Network Behavior Analysis) - detekce nežádoucích vzorů chování na síti slouží k odhalování útoků proti sítím a systémům za použití inteligentní analýzy statistik síťového provozu<br />
<br />
===Organizační bezpečnostní mechanismy===<br />
V rámci dobře zabezpečeného informačního systému je nutné myslet i na lidský faktor, kvůli kterému vzniká mnoho bezpečnostních problémů. Kontrolu nad uživateli hrajícími libovolnou roli lze nejsnadněji dosáhnout pomocí přesně stanovené odpovědnosti včetně jejich oprávnění pro přístup do systému a postupy schvalování mimořádných požadavků a událostí. <br />
Řízení přístupu k datům - klíčové faktory<ref>TOMEK, Michal. Lidský faktor v bezpečnosti IS. System online: S přehledem ve světě informačních technologií [online]. 2004, (3) [cit. 2015-06-14]. Dostupné z: http://www.systemonline.cz/clanky/lidsky-faktor-v-bezpecnosti-is.htm</ref>:<br />
* identifikace uživatele skrze jeho autentizaci<br />
* autorizace zajišťující kontrolu oprávnění daného uživatele k provedení určité operace s daty<br />
<br />
Hrozby ze strany lidských zdrojů.<br />
* Nespokojení zaměstnanci - tito uživatelé jsou náchylní, jak k cíleným kolapsům tak k prozrazením citlivých informací třetí straně<br />
* Nedostatečně kvalifikovaní zaměstnanci)<br />
* Outsourcing - v případě využívání externích firem je třeba dbát zvýšené pozornosti a omezení infromačních toků na minimum<br />
* [[Útoky s využitím sociálního inženýrství|Sociální inženýrství]] - podvodný způsob manipulace lidí za účelem provedení určité akce nebo získání informace<br />
** Phising<br />
<br />
==Bezpečnost na internetu==<br />
====Digitální stopa====<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<references><br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20562Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-14T19:45:27Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
==Zranitelnost informačních systémů==<br />
Zranitelnost je obecnou vlastností informačních systémů. Dá se posuzovat ze dvou hledisek: z hlediska organizačního a logického prostředí. Zjednodušeně řečeno se jedná o lidské zdroje a samotné technické zdroje (hardware i software). Je určena mírou rizika, jež se rovná pravděpodobnosti uplatnění některých ze zranitelných či obecných rizik.<br />
<br />
===Rizika informačních systémů===<br />
Nejpravděpodobnější hrozba pramení z hrozby organizačního prostředí. Systém je buď dodán, instalován nebo používán způsobem, který není bezpečný.<br />
<br />
'''Napadení informačního systému'''<br />
* Nedostupnost služby - tzv. DoS útoky (Denial of Service) -způsobí, že případná služba), na kterou byl prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod.<br />
* Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení.<br />
* Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a hesel apod. <br />
<br />
==Zabezpečení informačního systému==<br />
Při ochraně informací využíváme základní bezpečností mechanismy:<br />
* '''logické bezpečnostní mechanismy''' (softwarové bezpečnostní mechanismy) - princip řízení přístupu v daném operačním systému, kryptografie, standardy pro návrh, kódování, testování, údržbu programů, ochranné nástroje v operačních systémech, např.ochrana paměti, ochrana souborů řízením přístupu, obecná ochrana objektů (přístupové matice, přístupové seznamy, hesla, autentizace přístupu k terminálu, mechanismy určené pro autentizaci zpráv)<br />
* '''technické bezpečnostní mechanismy''' (hardwarové bezpečnostní mechanismy) - šifrovače a autentizační a identifikační karty<br />
* fyzické bezpečnostní mechanismy - stínění, trezory, zámky, protipožární ochrana, generátory náhradní energie, chráněná místa pro záložní kopie dat a programů<br />
* '''organizační bezpečnostní mechanismy''' - výběr důvěryhodných osob, hesla, právní normy, zákony, vyhlášky, předpisy<br />
<br />
Mezi bezpečnostní mechanismy patří i ochranné nástroje v aplikačních systémech.<br />
<br />
===Logické a technické bezpečnostní mechanismy===<br />
Prevence a minimalizace technických a logických rizik je nejdůležitější podmínkou jejich zvládnutí. K tomtu účelu slouží řada automatizovaných nástrojů:<br />
* Antivirus - bezpečnostní software určený pro boj s malwarem (škodlivý programový kód)<br />
* Firewall - technický prvek informační infrastruktury, který je určen k bezpečnému propojení dvou a více počítačových sítí<br />
** Web Application Firewall (WAF) - ochrana síťového provozu na protokolech HTTP a HTTPS<br />
* Systém prevence úniku (Intrusion Prevention System) - nástroje určené pro detekci neautorizovaných a škodlivých aktivit v síťové infrastruktuře organizace a na obranu proti nim<br />
* Analýza chování sítě (Network Behavior Analysis) - detekce nežádoucích vzorů chování na síti slouží k odhalování útoků proti sítím a systémům za použití inteligentní analýzy statistik síťového provozu<br />
<br />
===Organizační bezpečnostní mechanismy===<br />
V rámci dobře zabezpečeného informačního systému je nutné myslet i na lidský faktor, kvůli kterému vzniká mnoho bezpečnostních problémů. Kontrolu nad uživateli hrajícími libovolnou roli lze nejsnadněji dosáhnout pomocí přesně stanovené odpovědnosti včetně jejich oprávnění pro přístup do systému a postupy schvalování mimořádných požadavků a událostí. <br />
Řízení přístupu k datům - klíčové faktory<ref>TOMEK, Michal. Lidský faktor v bezpečnosti IS. System online: S přehledem ve světě informačních technologií [online]. 2004, (3) [cit. 2015-06-14]. Dostupné z: http://www.systemonline.cz/clanky/lidsky-faktor-v-bezpecnosti-is.htm</ref>:<br />
* identifikace uživatele skrze jeho autentizaci<br />
* autorizace zajišťující kontrolu oprávnění daného uživatele k provedení určité operace s daty<br />
<br />
<br />
<br />
==Bezpečnost na internetu==<br />
====Digitální stopa====<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<references><br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20561Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-14T19:36:59Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
==Zranitelnost informačních systémů==<br />
Zranitelnost je obecnou vlastností informačních systémů. Dá se posuzovat ze dvou hledisek: z hlediska organizačního a logického prostředí. Zjednodušeně řečeno se jedná o lidské zdroje a samotné technické zdroje (hardware i software). Je určena mírou rizika, jež se rovná pravděpodobnosti uplatnění některých ze zranitelných či obecných rizik.<br />
<br />
===Rizika informačních systémů===<br />
Nejpravděpodobnější hrozba pramení z hrozby organizačního prostředí. Systém je buď dodán, instalován nebo používán způsobem, který není bezpečný.<br />
<br />
'''Napadení informačního systému'''<br />
* Nedostupnost služby - tzv. DoS útoky (Denial of Service) -způsobí, že případná služba), na kterou byl prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod.<br />
* Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení.<br />
* Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a hesel apod. <br />
<br />
==Zabezpečení informačního systému==<br />
Při ochraně informací využíváme základní bezpečností mechanismy:<br />
* '''logické bezpečnostní mechanismy''' (softwarové bezpečnostní mechanismy) - princip řízení přístupu v daném operačním systému, kryptografie, standardy pro návrh, kódování, testování, údržbu programů, ochranné nástroje v operačních systémech, např.ochrana paměti, ochrana souborů řízením přístupu, obecná ochrana objektů (přístupové matice, přístupové seznamy, hesla, autentizace přístupu k terminálu, mechanismy určené pro autentizaci zpráv)<br />
* '''technické bezpečnostní mechanismy''' (hardwarové bezpečnostní mechanismy) - šifrovače a autentizační a identifikační karty<br />
* fyzické bezpečnostní mechanismy - stínění, trezory, zámky, protipožární ochrana, generátory náhradní energie, chráněná místa pro záložní kopie dat a programů<br />
* '''organizační bezpečnostní mechanismy''' - výběr důvěryhodných osob, hesla, právní normy, zákony, vyhlášky, předpisy<br />
<br />
Mezi bezpečnostní mechanismy patří i ochranné nástroje v aplikačních systémech.<br />
<br />
===Logické a technické bezpečnostní mechanismy===<br />
Prevence a minimalizace technických a logických rizik je nejdůležitější podmínkou jejich zvládnutí. K tomtu účelu slouží řada automatizovaných nástrojů:<br />
* Antivirus - bezpečnostní software určený pro boj s malwarem (škodlivý programový kód)<br />
* Firewall - technický prvek informační infrastruktury, který je určen k bezpečnému propojení dvou a více počítačových sítí<br />
** Web Application Firewall (WAF) - ochrana síťového provozu na protokolech HTTP a HTTPS<br />
* Systém prevence úniku (Intrusion Prevention System) - nástroje určené pro detekci neautorizovaných a škodlivých aktivit v síťové infrastruktuře organizace a na obranu proti nim<br />
* Analýza chování sítě (Network Behavior Analysis) - detekce nežádoucích vzorů chování na síti slouží k odhalování útoků proti sítím a systémům za použití inteligentní analýzy statistik síťového provozu<br />
<br />
===Organizační bezpečnostní mechanismy===<br />
V rámci dobře zabezpečeného informačního systému je nutné myslet i na lidský faktor, kvůli kterému vzniká mnoho bezpečnostních problémů. Kontrolu nad uživateli hrajícími libovolnou roli lze nejsnadněji dosáhnout pomocí přesně stanovené odpovědnosti včetně jejich oprávnění pro přístup do systému a postupy schvalování mimořádných požadavků a událostí. <br />
Řízení přístupu k datům - klíčové faktory:<br />
* identifikace uživatele skrze jeho autentizaci<br />
* autorizace zajišťující kontrolu oprávnění daného uživatele k provedení určité operace s daty<br />
<br />
<br />
<br />
==Bezpečnost na internetu==<br />
====Digitální stopa====<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<references><br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20469Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-14T10:58:59Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
==Zranitelnost informačních systémů==<br />
Zranitelnost je obecnou vlastností informačních systémů. Dá se posuzovat ze dvou hledisek: z hlediska organizačního a logického prostředí. Zjednodušeně řečeno se jedná o lidské zdroje a samotné technické zdroje (hardware i software). Je určena mírou rizika, jež se rovná pravděpodobnosti uplatnění některých ze zranitelných či obecných rizik.<br />
<br />
===Rizika informačních systémů===<br />
Nejpravděpodobnější hrozba pramení z hrozby organizačního prostředí. Systém je buď dodán, instalován nebo používán způsobem, který není bezpečný.<br />
<br />
'''Napadení informačního systému'''<br />
* Nedostupnost služby - tzv. DoS útoky (Denial of Service) -způsobí, že případná služba), na kterou byl prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod.<br />
* Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení.<br />
* Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a hesel apod. <br />
<br />
==Zabezpečení informačního systému==<br />
Při ochraně informací využíváme základní bezpečností mechanismy:<br />
* '''logické bezpečnostní mechanismy''' (softwarové bezpečnostní mechanismy) - princip řízení přístupu v daném operačním systému, kryptografie, standardy pro návrh, kódování, testování, údržbu programů, ochranné nástroje v operačních systémech, např.ochrana paměti, ochrana souborů řízením přístupu, obecná ochrana objektů (přístupové matice, přístupové seznamy, hesla, autentizace přístupu k terminálu, mechanismy určené pro autentizaci zpráv)<br />
* '''technické bezpečnostní mechanismy''' (hardwarové bezpečnostní mechanismy) - šifrovače a autentizační a identifikační karty<br />
* fyzické bezpečnostní mechanismy - stínění, trezory, zámky, protipožární ochrana, generátory náhradní energie, chráněná místa pro záložní kopie dat a programů<br />
* '''organizační bezpečnostní mechanismy''' - výběr důvěryhodných osob, hesla, právní normy, zákony, vyhlášky, předpisy<br />
<br />
Mezi bezpečnostní mechanismy patří i ochranné nástroje v aplikačních systémech.<br />
<br />
===Logické a technické bezpečnostní mechanismy===<br />
Prevence a minimalizace technických a logických rizik je nejdůležitější podmínkou jejich zvládnutí. K tomtu účelu slouží řada automatizovaných nástrojů:<br />
* Antivirus - bezpečnostní software určený pro boj s malwarem (škodlivý programový kód)<br />
* Firewall - technický prvek informační infrastruktury, který je určen k bezpečnému propojení dvou a více počítačových sítí<br />
** Web Application Firewall (WAF) - ochrana síťového provozu na protokolech HTTP a HTTPS<br />
* Systém prevence úniku (Intrusion Prevention System) - nástroje určené pro detekci neautorizovaných a škodlivých aktivit v síťové infrastruktuře organizace a na obranu proti nim<br />
* Analýza chování sítě (Network Behavior Analysis) - detekce nežádoucích vzorů chování na síti slouží k odhalování útoků proti sítím a systémům za použití inteligentní analýzy statistik síťového provozu<br />
<br />
===Organizační bezpečnostní mechanismy===<br />
<br />
<br />
==Bezpečnost na internetu==<br />
====Digitální stopa====<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<references><br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20468Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-14T10:44:07Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
==Zranitelnost informačních systémů==<br />
Zranitelnost je obecnou vlastností informačních systémů. Dá se posuzovat ze dvou hledisek: z hlediska organizačního a logického prostředí. Zjednodušeně řečeno se jedná o lidské zdroje a samotné technické zdroje (hardware i software). Je určena mírou rizika, jež se rovná pravděpodobnosti uplatnění některých ze zranitelných či obecných rizik.<br />
<br />
===Rizika informačních systémů===<br />
Nejpravděpodobnější hrozba pramení z hrozby organizačního prostředí. Systém je buď dodán, instalován nebo používán způsobem, který není bezpečný.<br />
<br />
'''Napadení informačního systému'''<br />
* Nedostupnost služby - tzv. DoS útoky (Denial of Service) -způsobí, že případná služba), na kterou byl prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod.<br />
* Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení.<br />
* Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a hesel apod. <br />
<br />
==Zabezpečení informačního systému==<br />
Při ochraně informací využíváme základní bezpečností mechanismy:<br />
* '''logické bezpečnostní mechanismy''' (softwarové bezpečnostní mechanismy) - princip řízení přístupu v daném operačním systému, kryptografie, standardy pro návrh, kódování, testování, údržbu programů, ochranné nástroje v operačních systémech, např.ochrana paměti, ochrana souborů řízením přístupu, obecná ochrana objektů (přístupové matice, přístupové seznamy, hesla, autentizace přístupu k terminálu, mechanismy určené pro autentizaci zpráv)<br />
* '''technické bezpečnostní mechanismy''' (hardwarové bezpečnostní mechanismy) - šifrovače a autentizační a identifikační karty<br />
* fyzické bezpečnostní mechanismy - stínění, trezory, zámky, protipožární ochrana, generátory náhradní energie, chráněná místa pro záložní kopie dat a programů<br />
* administrativní bezpečnostní mechanismy - výběr důvěryhodných osob, hesla, právní normy, zákony, vyhlášky, předpisy<br />
<br />
Mezi bezpečnostní mechanismy patří i ochranné nástroje v aplikačních systémech.<br />
<br />
===Bezpečnost z hlediska lidských zdrojů===<br />
<br />
==Bezpečnost na internetu==<br />
====Digitální stopa====<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<references><br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20467ISMS2015-06-14T10:31:22Z<p>Michaela.Pappova: </p>
<hr />
<div>Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System).<br />
<br />
ISMS je systém ve své struktuře určený normou ISO 27001. Ta poskytuje model ustavení, implementování, zpracovávání, monitorování, přezkoumávání, udržování a zlepšování ochrany informačních aktiv, aby byly dosaženy cíle organizace na základě posouzení rizik a úrovní akceptace rizik organizace navržených k efektivnímu ošetření a řízení rizik ztráty či poškození informace.<ref>ISO 27001 Online. ISO 27001 Security. [online].[Cit. 2008-01-20] Dostupné online: http://www.27001-online.com/</ref><br />
<br />
Hlavním úkolem ISMS je provádět vhodná opatření za účelem potlačení či minimalizace hrozeb informační bezpečnosti. Opatření jsou závislá na velikosti organizace a počtem aktivit, jež vykonává, přičemž se bere ohled na reálnou rizikovost aktivit organizace. Tato rizikovost je odvislá od toho, v jaké míře organizace zpracovává osobní či důvěrné údaje. '''Komplexní řešení informační bezpečnosti se týká především velkých organizací jako jsou banky, zdravotnické instituce a státní orgány.'''<br />
<br />
==Vývoj rámce ISMS<ref>NOVÁK, Luděk; POŽÁR, Josef. Systém řízení informační bezpečnosti. In Pracovní příručka bezpečnostního manažera. 1. vydání. Praha: Policejní akademie ČR v Praze a Česká pobočka AFCEA, 2011, s. 104. ISBN: 978-80-7251-364-2.</ref>==<br />
* Vymezení působnosti ISMS<br />
* definice bezpečnostní politiky<br />
* hodnocení rizika (jako součást Risk Management)<br />
* management řízení rizik<br />
* výběr vhodných opatření<br />
* prohlášení o aplikovatelnosti<br />
<br />
==Model ISMS==<br />
[[Soubor:Model ISMS.png|náhled]]<br />
<br />
ISMS je stejně jako jiné systémy řízení veden ve čtyřech krocích PDCA (Plánuj – Dělej – Kontroluj – Jednej). V případě ISMS jsou tyto kroky:<br />
* Ustanovení<br />
* Zavádění a provoz<br />
* Monitoring<br />
* Údržba a zlepšování<br />
<br />
===Ustanovení ISMS<ref>HRŮZA, Petr. INFORMAČNÍ MANAGEMENT [online]. [cit. 2015-06-14]. Dostupné z: https://moodle.unob.cz/pluginfile.php/26399/mod_resource/content/1/Informa%C4%8Dn%C3%AD%20management.pdf</ref>===<br />
Během ustanovení jsou vybrány vhodné formy řešení bezpečnosti informací. V této fázi probíhá analýza rizik. <br />
*definice rozsahu, hranic a vazeb ISMS<br />
* definice a odsouhlasení Prohlášení o politice ISMS<br />
* analýza a zvládání rizik<br />
** definice přístupu organizace k hodnocení rizik<br />
** identifikace rizika včetně určení aktiv a jejich vlastníků<br />
** analýza a vyhodnocení rizik<br />
** identifikace a ohodnocení variant pro zvládání rizik<br />
** výběr cílů opatření a jednotlivých opatření pro zvládání rizik<br />
** souhlas vedení organizace s navrhovanými zbytkovými riziky a se zavedením ISMS<br />
* Prohlášení o aplikovatelnosti<br />
<br />
Tato etapa je klíčová pro běh celého procesu, je nutné vybrat způsob, jakým se budou řešit rizika. Riziku je možné se vyhnout (vyřešením bezpečnostní mezery), přenést jej (např. pojištěním) nebo jej akceptovat.<br />
<br />
===Zavedení a provoz===<br />
V této etapě jsou prováděna opatření naplánovaná během ustanovení. Především jsou určovány jednotlivé plány, termíny a zodpovědné osoby. Formuluje se dokument Plán zvládání rizik a začíná se zavádět. Zavádí se rovněž jednotlivá bezpečnostní opatření a určují se implementační, výkonnostní a dopadové metriky.<br />
Metriky se týkají vyškolení personálu, kvality hesel, účinností opatření, závazku managementu, ochrany proti škodlivému kódu, kontroly fyzického přístupu, vyhodnocení logů, řízení údržby a bezpečnosti z hlediska třetích stran.<br />
<br />
===Monitorování a přezkoumání===<br />
Provádí se prověření všech mechanismů a audit, je zavedena zpětná vazba.<br />
<br />
===Údržba a zlepšování===<br />
Během této fáze dochází ke sběru podnětů ke zlepšení ISMS a k nápravě všech nedostatků tzv. neshod, které se v ISMS objevují. Provádí se nápravná i preventivní opatření.<br />
<br />
<references></references></div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20466ISMS2015-06-14T10:30:42Z<p>Michaela.Pappova: </p>
<hr />
<div>Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System).<br />
<br />
ISMS je systém ve své struktuře určený normou ISO 27001. Ta poskytuje model ustavení, implementování, zpracovávání, monitorování, přezkoumávání, udržování a zlepšování ochrany informačních aktiv, aby byly dosaženy cíle organizace na základě posouzení rizik a úrovní akceptace rizik organizace navržených k efektivnímu ošetření a řízení rizik ztráty či poškození informace.<ref>ISO 27001 Online. ISO 27001 Security. [online].[Cit. 2008-01-20] Dostupné online: http://www.27001-online.com/</ref><br />
<br />
Hlavním úkolem ISMS je provádět vhodná opatření za účelem potlačení či minimalizace hrozeb informační bezpečnosti. Opatření jsou závislá na velikosti organizace a počtem aktivit, jež vykonává, přičemž se bere ohled na reálnou rizikovost aktivit organizace. Tato rizikovost je odvislá od toho, v jaké míře organizace zpracovává osobní či důvěrné údaje. '''Komplexní řešení informační bezpečnosti se týká především velkých organizací jako jsou banky, zdravotnické instituce a státní orgány.'''<br />
<br />
==Vývoj rámce ISMS<ref>NOVÁK, Luděk; POŽÁR, Josef. Systém řízení informační bezpečnosti. In Pracovní příručka bezpečnostního manažera. 1. vydání. Praha: Policejní akademie ČR v Praze a Česká pobočka AFCEA, 2011, s. 104. ISBN: 978-80-7251-364-2.</ref>== :<br />
* Vymezení působnosti ISMS<br />
* definice bezpečnostní politiky<br />
* hodnocení rizika (jako součást Risk Management)<br />
* management řízení rizik<br />
* výběr vhodných opatření<br />
* prohlášení o aplikovatelnosti<br />
<br />
==Model ISMS==<br />
[[Soubor:Model ISMS.png|náhled]]<br />
<br />
ISMS je stejně jako jiné systémy řízení veden ve čtyřech krocích PDCA (Plánuj – Dělej – Kontroluj – Jednej). V případě ISMS jsou tyto kroky:<br />
* Ustanovení<br />
* Zavádění a provoz<br />
* Monitoring<br />
* Údržba a zlepšování<br />
<br />
===Ustanovení ISMS<ref>HRŮZA, Petr. INFORMAČNÍ MANAGEMENT [online]. [cit. 2015-06-14]. Dostupné z: https://moodle.unob.cz/pluginfile.php/26399/mod_resource/content/1/Informa%C4%8Dn%C3%AD%20management.pdf</ref>===<br />
Během ustanovení jsou vybrány vhodné formy řešení bezpečnosti informací. V této fázi probíhá analýza rizik. <br />
*definice rozsahu, hranic a vazeb ISMS<br />
* definice a odsouhlasení Prohlášení o politice ISMS<br />
* analýza a zvládání rizik<br />
** definice přístupu organizace k hodnocení rizik<br />
** identifikace rizika včetně určení aktiv a jejich vlastníků<br />
** analýza a vyhodnocení rizik<br />
** identifikace a ohodnocení variant pro zvládání rizik<br />
** výběr cílů opatření a jednotlivých opatření pro zvládání rizik<br />
** souhlas vedení organizace s navrhovanými zbytkovými riziky a se zavedením ISMS<br />
* Prohlášení o aplikovatelnosti<br />
<br />
Tato etapa je klíčová pro běh celého procesu, je nutné vybrat způsob, jakým se budou řešit rizika. Riziku je možné se vyhnout (vyřešením bezpečnostní mezery), přenést jej (např. pojištěním) nebo jej akceptovat.<br />
<br />
===Zavedení a provoz===<br />
V této etapě jsou prováděna opatření naplánovaná během ustanovení. Především jsou určovány jednotlivé plány, termíny a zodpovědné osoby. Formuluje se dokument Plán zvládání rizik a začíná se zavádět. Zavádí se rovněž jednotlivá bezpečnostní opatření a určují se implementační, výkonnostní a dopadové metriky.<br />
Metriky se týkají vyškolení personálu, kvality hesel, účinností opatření, závazku managementu, ochrany proti škodlivému kódu, kontroly fyzického přístupu, vyhodnocení logů, řízení údržby a bezpečnosti z hlediska třetích stran.<br />
<br />
===Monitorování a přezkoumání===<br />
Provádí se prověření všech mechanismů a audit, je zavedena zpětná vazba.<br />
<br />
===Údržba a zlepšování===<br />
Během této fáze dochází ke sběru podnětů ke zlepšení ISMS a k nápravě všech nedostatků tzv. neshod, které se v ISMS objevují. Provádí se nápravná i preventivní opatření.<br />
<br />
<references></references></div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20465Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-14T10:29:30Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
==Zranitelnost informačních systémů==<br />
Zranitelnost je obecnou vlastností informačních systémů. Dá se posuzovat ze dvou hledisek: z hlediska organizačního a logického prostředí. Zjednodušeně řečeno se jedná o lidské zdroje a samotné technické zdroje (hardware i software). Je určena mírou rizika, jež se rovná pravděpodobnosti uplatnění některých ze zranitelných či obecných rizik.<br />
<br />
===Rizika informačních systémů===<br />
Nejpravděpodobnější hrozba pramení z hrozby organizačního prostředí. Systém je dodán, instalován nebo používán způsobem, který není bezpečný.<br />
<br />
Napadení informačního systému<br />
* Nedostupnost služby - tzv. DoS útoky (Denial of Service) -způsobí, že případná služba (http, ftp…), na kterou byl<br />
prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod.<br />
* Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení.<br />
* Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a<br />
hesel apod. <br />
<br />
===Zabezpečení počítače===<br />
<br />
===Bezpečnost z hlediska lidských zdrojů===<br />
<br />
==Bezpečnost na internetu==<br />
====Digitální stopa====<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<references><br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20463Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-14T10:04:41Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením '''integrity, důvěrnosti či dostupnosti informace'''. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
===Zabezpečení počítače===<br />
<br />
<br />
===Bezpečnost z hlediska lidských zdrojů===<br />
<br />
==Bezpečnost na internetu==<br />
====Digitální stopa====<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<references><br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20462Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-14T10:04:12Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením 'integrity, důvěrnosti či dostupnosti informace'. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféry i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací ([[ISMS]], z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
<br />
===Zabezpečení počítače===<br />
<br />
<br />
===Bezpečnost z hlediska lidských zdrojů===<br />
<br />
==Bezpečnost na internetu==<br />
====Digitální stopa====<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<references><br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20460ISMS2015-06-14T09:47:31Z<p>Michaela.Pappova: Michaela.Pappova přesunul stránku Organizace informační bezpečnosti na ISMS: výstižnější název</p>
<hr />
<div>Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System).<br />
<br />
ISMS je systém ve své struktuře určený normou ISO 27001. Ta poskytuje model ustavení, implementování, zpracovávání, monitorování, přezkoumávání, udržování a zlepšování ochrany informačních aktiv, aby byly dosaženy cíle organizace na základě posouzení rizik a úrovní akceptace rizik organizace navržených k efektivnímu ošetření a řízení rizik ztráty či poškození informace.<ref>ISO 27001 Online. ISO 27001 Security. [online].[Cit. 2008-01-20] Dostupné online: http://www.27001-online.com/</ref><br />
<br />
Hlavním úkolem ISMS je provádět vhodná opatření za účelem potlačení či minimalizace hrozeb informační bezpečnosti. Opatření jsou závislá na velikosti organizace a počtem aktivit, jež vykonává, přičemž se bere ohled na reálnou rizikovost aktivit organizace. Tato rizikovost je odvislá od toho, v jaké míře organizace zpracovává osobní či důvěrné údaje. '''Komplexní řešení informační bezpečnosti se týká především velkých organizací jako jsou banky, zdravotnické instituce a státní orgány.'''<br />
<br />
==Vývoj rámce ISMS==<ref>NOVÁK, Luděk; POŽÁR, Josef. Systém řízení informační bezpečnosti. In Pracovní příručka bezpečnostního manažera. 1. vydání. Praha: Policejní akademie ČR v Praze a Česká pobočka AFCEA, 2011, s. 104. ISBN: 978-80-7251-364-2.</ref>:<br />
* Vymezení působnosti ISMS<br />
* definice bezpečnostní politiky<br />
* hodnocení rizika (jako součást Risk Management)<br />
* management řízení rizik<br />
* výběr vhodných opatření<br />
* prohlášení o aplikovatelnosti<br />
<br />
==Model ISMS==<br />
[[Soubor:Model ISMS.png|náhled]]<br />
<br />
ISMS je stejně jako jiné systémy řízení veden ve čtyřech krocích PDCA (Plánuj – Dělej – Kontroluj – Jednej). V případě ISMS jsou tyto kroky:<br />
* Ustanovení<br />
* Zavádění a provoz<br />
* Monitoring<br />
* Údržba a zlepšování<br />
<br />
===Ustanovení ISMS<ref>HRŮZA, Petr. INFORMAČNÍ MANAGEMENT [online]. [cit. 2015-06-14]. Dostupné z: https://moodle.unob.cz/pluginfile.php/26399/mod_resource/content/1/Informa%C4%8Dn%C3%AD%20management.pdf</ref>===<br />
Během ustanovení jsou vybrány vhodné formy řešení bezpečnosti informací. V této fázi probíhá analýza rizik. <br />
*definice rozsahu, hranic a vazeb ISMS<br />
* definice a odsouhlasení Prohlášení o politice ISMS<br />
* analýza a zvládání rizik<br />
** definice přístupu organizace k hodnocení rizik<br />
** identifikace rizika včetně určení aktiv a jejich vlastníků<br />
** analýza a vyhodnocení rizik<br />
** identifikace a ohodnocení variant pro zvládání rizik<br />
** výběr cílů opatření a jednotlivých opatření pro zvládání rizik<br />
** souhlas vedení organizace s navrhovanými zbytkovými riziky a se zavedením ISMS<br />
* Prohlášení o aplikovatelnosti<br />
<br />
Tato etapa je klíčová pro běh celého procesu, je nutné vybrat způsob, jakým se budou řešit rizika. Riziku je možné se vyhnout (vyřešením bezpečnostní mezery), přenést jej (např. pojištěním) nebo jej akceptovat.<br />
<br />
===Zavedení a provoz===<br />
V této etapě jsou prováděna opatření naplánovaná během ustanovení. Především jsou určovány jednotlivé plány, termíny a zodpovědné osoby. Formuluje se dokument Plán zvládání rizik a začíná se zavádět. Zavádí se rovněž jednotlivá bezpečnostní opatření a určují se implementační, výkonnostní a dopadové metriky.<br />
Metriky se týkají vyškolení personálu, kvality hesel, účinností opatření, závazku managementu, ochrany proti škodlivému kódu, kontroly fyzického přístupu, vyhodnocení logů, řízení údržby a bezpečnosti z hlediska třetích stran.<br />
<br />
===Monitorování a přezkoumání===<br />
Provádí se prověření všech mechanismů a audit, je zavedena zpětná vazba.<br />
<br />
===Údržba a zlepšování===<br />
Během této fáze dochází ke sběru podnětů ke zlepšení ISMS a k nápravě všech nedostatků tzv. neshod, které se v ISMS objevují. Provádí se nápravná i preventivní opatření.<br />
<br />
<references></references></div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Organizace_informa%C4%8Dn%C3%AD_bezpe%C4%8Dnosti&diff=20461Organizace informační bezpečnosti2015-06-14T09:47:31Z<p>Michaela.Pappova: Michaela.Pappova přesunul stránku Organizace informační bezpečnosti na ISMS: výstižnější název</p>
<hr />
<div>#PŘESMĚRUJ [[ISMS]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20459ISMS2015-06-14T09:46:18Z<p>Michaela.Pappova: </p>
<hr />
<div>Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System).<br />
<br />
ISMS je systém ve své struktuře určený normou ISO 27001. Ta poskytuje model ustavení, implementování, zpracovávání, monitorování, přezkoumávání, udržování a zlepšování ochrany informačních aktiv, aby byly dosaženy cíle organizace na základě posouzení rizik a úrovní akceptace rizik organizace navržených k efektivnímu ošetření a řízení rizik ztráty či poškození informace.<ref>ISO 27001 Online. ISO 27001 Security. [online].[Cit. 2008-01-20] Dostupné online: http://www.27001-online.com/</ref><br />
<br />
Hlavním úkolem ISMS je provádět vhodná opatření za účelem potlačení či minimalizace hrozeb informační bezpečnosti. Opatření jsou závislá na velikosti organizace a počtem aktivit, jež vykonává, přičemž se bere ohled na reálnou rizikovost aktivit organizace. Tato rizikovost je odvislá od toho, v jaké míře organizace zpracovává osobní či důvěrné údaje. '''Komplexní řešení informační bezpečnosti se týká především velkých organizací jako jsou banky, zdravotnické instituce a státní orgány.'''<br />
<br />
==Vývoj rámce ISMS==<ref>NOVÁK, Luděk; POŽÁR, Josef. Systém řízení informační bezpečnosti. In Pracovní příručka bezpečnostního manažera. 1. vydání. Praha: Policejní akademie ČR v Praze a Česká pobočka AFCEA, 2011, s. 104. ISBN: 978-80-7251-364-2.</ref>:<br />
* Vymezení působnosti ISMS<br />
* definice bezpečnostní politiky<br />
* hodnocení rizika (jako součást Risk Management)<br />
* management řízení rizik<br />
* výběr vhodných opatření<br />
* prohlášení o aplikovatelnosti<br />
<br />
==Model ISMS==<br />
[[Soubor:Model ISMS.png|náhled]]<br />
<br />
ISMS je stejně jako jiné systémy řízení veden ve čtyřech krocích PDCA (Plánuj – Dělej – Kontroluj – Jednej). V případě ISMS jsou tyto kroky:<br />
* Ustanovení<br />
* Zavádění a provoz<br />
* Monitoring<br />
* Údržba a zlepšování<br />
<br />
===Ustanovení ISMS<ref>HRŮZA, Petr. INFORMAČNÍ MANAGEMENT [online]. [cit. 2015-06-14]. Dostupné z: https://moodle.unob.cz/pluginfile.php/26399/mod_resource/content/1/Informa%C4%8Dn%C3%AD%20management.pdf</ref>===<br />
Během ustanovení jsou vybrány vhodné formy řešení bezpečnosti informací. V této fázi probíhá analýza rizik. <br />
*definice rozsahu, hranic a vazeb ISMS<br />
* definice a odsouhlasení Prohlášení o politice ISMS<br />
* analýza a zvládání rizik<br />
** definice přístupu organizace k hodnocení rizik<br />
** identifikace rizika včetně určení aktiv a jejich vlastníků<br />
** analýza a vyhodnocení rizik<br />
** identifikace a ohodnocení variant pro zvládání rizik<br />
** výběr cílů opatření a jednotlivých opatření pro zvládání rizik<br />
** souhlas vedení organizace s navrhovanými zbytkovými riziky a se zavedením ISMS<br />
* Prohlášení o aplikovatelnosti<br />
<br />
Tato etapa je klíčová pro běh celého procesu, je nutné vybrat způsob, jakým se budou řešit rizika. Riziku je možné se vyhnout (vyřešením bezpečnostní mezery), přenést jej (např. pojištěním) nebo jej akceptovat.<br />
<br />
===Zavedení a provoz===<br />
V této etapě jsou prováděna opatření naplánovaná během ustanovení. Především jsou určovány jednotlivé plány, termíny a zodpovědné osoby. Formuluje se dokument Plán zvládání rizik a začíná se zavádět. Zavádí se rovněž jednotlivá bezpečnostní opatření a určují se implementační, výkonnostní a dopadové metriky.<br />
Metriky se týkají vyškolení personálu, kvality hesel, účinností opatření, závazku managementu, ochrany proti škodlivému kódu, kontroly fyzického přístupu, vyhodnocení logů, řízení údržby a bezpečnosti z hlediska třetích stran.<br />
<br />
===Monitorování a přezkoumání===<br />
Provádí se prověření všech mechanismů a audit, je zavedena zpětná vazba.<br />
<br />
===Údržba a zlepšování===<br />
Během této fáze dochází ke sběru podnětů ke zlepšení ISMS a k nápravě všech nedostatků tzv. neshod, které se v ISMS objevují. Provádí se nápravná i preventivní opatření.<br />
<br />
<references></references></div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20348ISMS2015-06-13T10:52:06Z<p>Michaela.Pappova: </p>
<hr />
<div>Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System).<br />
<br />
ISMS je systém ve své struktuře určený normou ISO 27001. Ta poskytuje model ustavení, implementování, zpracovávání, monitorování, přezkoumávání, udržování a zlepšování ochrany informačních aktiv, aby byly dosaženy cíle organizace na základě posouzení rizik a úrovní akceptace rizik organizace navržených k efektivnímu ošetření a řízení rizik ztráty či poškození informace.<ref>ISO 27001 Online. ISO 27001 Security. [online].[Cit. 2008-01-20] Dostupné online: http://www.27001-online.com/</ref><br />
<br />
Hlavním úkolem ISMS je provádět vhodná opatření za účelem potlačení či minimalizace hrozeb informační bezpečnosti. Opatření jsou závislá na velikosti organizace a počtem aktivit, jež vykonává, přičemž se bere ohled na reálnou rizikovost aktivit organizace. Tato rizikovost je odvislá od toho, v jaké míře organizace zpracovává osobní či důvěrné údaje. '''Komplexní řešení informační bezpečnosti se týká především velkých organizací jako jsou banky, zdravotnické instituce a státní orgány.'''<br />
<br />
==Vývoj rámce ISMS==<ref>NOVÁK, Luděk; POŽÁR, Josef. Systém řízení informační bezpečnosti. In Pracovní příručka bezpečnostního manažera. 1. vydání. Praha: Policejní akademie ČR v Praze a Česká pobočka AFCEA, 2011, s. 104. ISBN: 978-80-7251-364-2.</ref>:<br />
* Vymezení působnosti ISMS<br />
* definice bezpečnostní politiky<br />
* hodnocení rizika (jako součást Risk Management)<br />
* management řízení rizik<br />
* výběr vhodných opatření<br />
* prohlášení o aplikovatelnosti<br />
<br />
==Model ISMS==<br />
[[Soubor:Model ISMS.png|náhled]]<br />
<br />
ISMS je stejně jako jiné systémy řízení veden ve čtyřech krocích PDCA (Plánuj – Dělej – Kontroluj – Jednej). V případě ISMS jsou tyto kroky:<br />
* Ustanovení<br />
* Zavádění a provoz<br />
* Monitoring<br />
* Údržba a zlepšování<br />
<br />
===Ustanovení ISMS===<br />
Během ustanovení jsou vybrány vhodné formy řešení bezpečnosti informací. V této fázi probíhá analýza rizik. <br />
*definice rozsahu, hranic a vazeb ISMS<br />
* definice a odsouhlasení Prohlášení o politice ISMS<br />
* analýza a zvládání rizik<br />
** definice přístupu organizace k hodnocení rizik<br />
** identifikace rizika včetně určení aktiv a jejich vlastníků<br />
** analýza a vyhodnocení rizik<br />
** identifikace a ohodnocení variant pro zvládání rizik<br />
** výběr cílů opatření a jednotlivých opatření pro zvládání rizik<br />
** souhlas vedení organizace s navrhovanými zbytkovými riziky a se zavedením ISMS<br />
* příprava Prohlášení o aplikovatelnosti<br />
<br />
Tato etapa je klíčová pro běh celého procesu, je nutné vybrat způsob, jakým se budou řešit rizika. Riziku je možné se vyhnout (vyřešením bezpečnostní mezery), přenést jej (např. pojištěním) nebo jej akceptovat.<br />
<br />
===Zavedení a provoz===<br />
<br />
<references></references></div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20346ISMS2015-06-13T10:47:54Z<p>Michaela.Pappova: </p>
<hr />
<div>Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System).<br />
<br />
ISMS je systém ve své struktuře určený normou ISO 27001. Ta poskytuje model ustavení, implementování, zpracovávání, monitorování, přezkoumávání, udržování a zlepšování ochrany informačních aktiv, aby byly dosaženy cíle organizace na základě posouzení rizik a úrovní akceptace rizik organizace navržených k efektivnímu ošetření a řízení rizik ztráty či poškození informace.<ref>ISO 27001 Online. ISO 27001 Security. [online].[Cit. 2008-01-20] Dostupné online: http://www.27001-online.com/</ref><br />
<br />
Hlavním úkolem ISMS je provádět vhodná opatření za účelem potlačení či minimalizace hrozeb informační bezpečnosti. Opatření jsou závislá na velikosti organizace a počtem aktivit, jež vykonává, přičemž se bere ohled na reálnou rizikovost aktivit organizace. Tato rizikovost je odvislá od toho, v jaké míře organizace zpracovává osobní či důvěrné údaje. '''Komplexní řešení informační bezpečnosti se týká především velkých organizací jako jsou banky, zdravotnické instituce a státní orgány.'''<br />
<br />
==Vývoj rámce ISMS==<ref>NOVÁK, Luděk; POŽÁR, Josef. Systém řízení informační bezpečnosti. In Pracovní příručka bezpečnostního manažera. 1. vydání. Praha: Policejní akademie ČR v Praze a Česká pobočka AFCEA, 2011, s. 104. ISBN: 978-80-7251-364-2.</ref>:<br />
* Vymezení působnosti ISMS<br />
* definice bezpečnostní politiky<br />
* hodnocení rizika (jako součást Risk Management)<br />
* management řízení rizik<br />
* výběr vhodných opatření<br />
* prohlášení o aplikovatelnosti<br />
<br />
==Model ISMS==<br />
[[Soubor:Model ISMS.png|náhled]]<br />
<br />
ISMS je stejně jako jiné systémy řízení veden ve čtyřech krocích PDCA (Plánuj – Dělej – Kontroluj – Jednej). V případě ISMS jsou tyto kroky:<br />
* Ustanovení<br />
* Zavádění a provoz<br />
* Monitoring<br />
* Údržba a zlepšování<br />
<br />
===Ustanovení ISMS===<br />
Během ustanovení jsou vybrány vhodné formy řešení bezpečnosti informací. V této fázi probíhá analýza rizik. <br />
*definice rozsahu, hranic a vazeb ISMS,<br />
* definice a odsouhlasení Prohlášení o politice ISMS,<br />
* analýza a zvládání rizik,<br />
** definice přístupu organizace k hodnocení rizik<br />
** identifikace rizika včetně určení aktiv a jejich vlastníků,<br />
** analýza a vyhodnocení rizik,<br />
** identifikace a ohodnocení variant pro zvládání rizik,<br />
** výběr cílů opatření a jednotlivých opatření pro zvládání rizik,<br />
** souhlas vedení organizace s navrhovanými zbytkovými riziky a se zavedením ISMS,<br />
* příprava Prohlášení o aplikovatelnosti<br />
<br />
<references></references></div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20345ISMS2015-06-13T10:43:20Z<p>Michaela.Pappova: </p>
<hr />
<div>Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System).<br />
<br />
ISMS je systém ve své struktuře určený normou ISO 27001. Ta poskytuje model ustavení, implementování, zpracovávání, monitorování, přezkoumávání, udržování a zlepšování ochrany informačních aktiv, aby byly dosaženy cíle organizace na základě posouzení rizik a úrovní akceptace rizik organizace navržených k efektivnímu ošetření a řízení rizik ztráty či poškození informace.<ref>ISO 27001 Online. ISO 27001 Security. [online].[Cit. 2008-01-20] Dostupné online: http://www.27001-online.com/</ref><br />
<br />
Hlavním úkolem ISMS je provádět vhodná opatření za účelem potlačení či minimalizace hrozeb informační bezpečnosti. Opatření jsou závislá na velikosti organizace a počtem aktivit, jež vykonává, přičemž se bere ohled na reálnou rizikovost aktivit organizace. Tato rizikovost je odvislá od toho, v jaké míře organizace zpracovává osobní či důvěrné údaje. '''Komplexní řešení informační bezpečnosti se týká především velkých organizací jako jsou banky, zdravotnické instituce a státní orgány.'''<br />
<br />
==Vývoj rámce ISMS==<ref>NOVÁK, Luděk; POŽÁR, Josef. Systém řízení informační bezpečnosti. In Pracovní příručka bezpečnostního manažera. 1. vydání. Praha: Policejní akademie ČR v Praze a Česká pobočka AFCEA, 2011, s. 104. ISBN: 978-80-7251-364-2.</ref>:<br />
* Vymezení působnosti ISMS<br />
* definice bezpečnostní politiky<br />
* hodnocení rizika (jako součást Risk Management)<br />
* management řízení rizik<br />
* výběr vhodných opatření<br />
* prohlášení o aplikovatelnosti<br />
<br />
==Model ISMS==<br />
[[Soubor:Model ISMS.png|náhled]]<br />
<br />
ISMS je stejně jako jiné systémy řízení veden ve čtyřech krocích PDCA (Plánuj – Dělej – Kontroluj – Jednej). V případě ISMS jsou tyto kroky:<br />
* Ustanovení<br />
* Zavádění a provoz<br />
* Monitoring<br />
* Údržba a zlepšování<br />
<br />
<references></references></div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20344ISMS2015-06-13T10:41:25Z<p>Michaela.Pappova: </p>
<hr />
<div>Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System).<br />
<br />
ISMS je systém ve své struktuře určený normou ISO 27001. Ta poskytuje model ustavení, implementování, zpracovávání, monitorování, přezkoumávání, udržování a zlepšování ochrany informačních aktiv, aby byly dosaženy cíle organizace na základě posouzení rizik a úrovní akceptace rizik organizace navržených k efektivnímu ošetření a řízení rizik ztráty či poškození informace.<ref>ISO 27001 Online. ISO 27001 Security. [online].[Cit. 2008-01-20] Dostupné online: http://www.27001-online.com/</ref><br />
<br />
Hlavním úkolem ISMS je provádět vhodná opatření za účelem potlačení či minimalizace hrozeb informační bezpečnosti. Opatření jsou závislá na velikosti organizace a počtem aktivit, jež vykonává, přičemž se bere ohled na reálnou rizikovost aktivit organizace. Tato rizikovost je odvislá od toho, v jaké míře organizace zpracovává osobní či důvěrné údaje. '''Komplexní řešení informační bezpečnosti se týká především velkých organizací jako jsou banky, zdravotnické instituce a státní orgány.'''<br />
<br />
==Vývoj rámce ISMS==<ref>NOVÁK, Luděk; POŽÁR, Josef. Systém řízení informační bezpečnosti. In Pracovní příručka bezpečnostního manažera. 1. vydání. Praha: Policejní akademie ČR v Praze a Česká pobočka AFCEA, 2011, s. 104. ISBN: 978-80-7251-364-2.</ref>:<br />
* Vymezení působnosti ISMS<br />
* definice bezpečnostní politiky<br />
* hodnocení rizika (jako součást Risk Management)<br />
* management řízení rizik<br />
* výběr vhodných opatření<br />
* prohlášení o aplikovatelnosti<br />
<br />
==Model ISMS==<br />
ISMS je stejně jako jiné systémy řízení veden ve čtyřech krocích PDCA (Plánuj – Dělej – Kontroluj – Jednej).<br />
[[Soubor:Model ISMS.png|náhled]]<br />
<br />
<references></references></div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Soubor:Model_ISMS.png&diff=20343Soubor:Model ISMS.png2015-06-13T10:40:24Z<p>Michaela.Pappova: </p>
<hr />
<div>== Licence ==<br />
{{cc-by-sa-3.0}}</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20341ISMS2015-06-13T10:38:47Z<p>Michaela.Pappova: </p>
<hr />
<div>Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System).<br />
<br />
ISMS je systém ve své struktuře určený normou ISO 27001. Ta poskytuje model ustavení, implementování, zpracovávání, monitorování, přezkoumávání, udržování a zlepšování ochrany informačních aktiv, aby byly dosaženy cíle organizace na základě posouzení rizik a úrovní akceptace rizik organizace navržených k efektivnímu ošetření a řízení rizik ztráty či poškození informace.<ref>ISO 27001 Online. ISO 27001 Security. [online].[Cit. 2008-01-20] Dostupné online: http://www.27001-online.com/</ref><br />
<br />
Hlavním úkolem ISMS je provádět vhodná opatření za účelem potlačení či minimalizace hrozeb informační bezpečnosti. Opatření jsou závislá na velikosti organizace a počtem aktivit, jež vykonává, přičemž se bere ohled na reálnou rizikovost aktivit organizace. Tato rizikovost je odvislá od toho, v jaké míře organizace zpracovává osobní či důvěrné údaje. '''Komplexní řešení informační bezpečnosti se týká především velkých organizací jako jsou banky, zdravotnické instituce a státní orgány.'''<br />
<br />
==Vývoj rámce ISMS==<ref>NOVÁK, Luděk; POŽÁR, Josef. Systém řízení informační bezpečnosti. In Pracovní příručka bezpečnostního manažera. 1. vydání. Praha: Policejní akademie ČR v Praze a Česká pobočka AFCEA, 2011, s. 104. ISBN: 978-80-7251-364-2.</ref>:<br />
* Vymezení působnosti ISMS<br />
* definice bezpečnostní politiky<br />
* hodnocení rizika (jako součást Risk Management)<br />
* management řízení rizik<br />
* výběr vhodných opatření<br />
* prohlášení o aplikovatelnosti<br />
<br />
==Model ISMS==<br />
ISMS je stejně jako jiné systémy řízení veden ve čtyřech krocích PDCA (Plánuj – Dělej – Kontroluj – Jednej).<br />
[[Soubor:Http://www.iso-27001.cz/assets/content/iso/iso27001v4.png|náhled|model isms]]<br />
<br />
<br />
<references></references></div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20339ISMS2015-06-13T10:35:21Z<p>Michaela.Pappova: </p>
<hr />
<div>Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System).<br />
<br />
ISMS je systém ve své struktuře určený normou ISO 27001. Ta poskytuje model ustavení, implementování, zpracovávání, monitorování, přezkoumávání, udržování a zlepšování ochrany informačních aktiv, aby byly dosaženy cíle organizace na základě posouzení rizik a úrovní akceptace rizik organizace navržených k efektivnímu ošetření a řízení rizik ztráty či poškození informace.<ref>ISO 27001 Online. ISO 27001 Security. [online].[Cit. 2008-01-20] Dostupné online: http://www.27001-online.com/</ref><br />
<br />
Hlavním úkolem ISMS je provádět vhodná opatření za účelem potlačení či minimalizace hrozeb informační bezpečnosti. Opatření jsou závislá na velikosti organizace a počtem aktivit, jež vykonává, přičemž se bere ohled na reálnou rizikovost aktivit organizace. Tato rizikovost je odvislá od toho, v jaké míře organizace zpracovává osobní či důvěrné údaje. '''Komplexní řešení informační bezpečnosti se týká především velkých organizací jako jsou banky, zdravotnické instituce a státní orgány.'''<br />
<br />
==Vývoj rámce ISMS==<ref>NOVÁK, Luděk; POŽÁR, Josef. Systém řízení informační bezpečnosti. In Pracovní příručka bezpečnostního manažera. 1. vydání. Praha: Policejní akademie ČR v Praze a Česká pobočka AFCEA, 2011, s. 104. ISBN: 978-80-7251-364-2.</ref>:<br />
* Vymezení působnosti ISMS<br />
* definice bezpečnostní politiky<br />
* hodnocení rizika (jako součást Risk Management)<br />
* management řízení rizik<br />
* výběr vhodných opatření<br />
* prohlášení o aplikovatelnosti<br />
<br />
==Model ISMS==<br />
ISMS je stejně jako jiné systémy řízení veden ve čtyřech krocích PDCA (Plánuj – Dělej – Kontroluj – Jednej).<br />
<gallery><br />
Soubor:http://www.iso-27001.cz/assets/content/iso/iso27001v4.png|Model ISMS<br />
</gallery><br />
<br />
<br />
<references></references></div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20338ISMS2015-06-13T10:34:12Z<p>Michaela.Pappova: </p>
<hr />
<div>Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System).<br />
<br />
ISMS je systém ve své struktuře určený normou ISO 27001. Ta poskytuje model ustavení, implementování, zpracovávání, monitorování, přezkoumávání, udržování a zlepšování ochrany informačních aktiv, aby byly dosaženy cíle organizace na základě posouzení rizik a úrovní akceptace rizik organizace navržených k efektivnímu ošetření a řízení rizik ztráty či poškození informace.<ref>ISO 27001 Online. ISO 27001 Security. [online].[Cit. 2008-01-20] Dostupné online: http://www.27001-online.com/</ref><br />
<br />
Hlavním úkolem ISMS je provádět vhodná opatření za účelem potlačení či minimalizace hrozeb informační bezpečnosti. Opatření jsou závislá na velikosti organizace a počtem aktivit, jež vykonává, přičemž se bere ohled na reálnou rizikovost aktivit organizace. Tato rizikovost je odvislá od toho, v jaké míře organizace zpracovává osobní či důvěrné údaje. '''Komplexní řešení informační bezpečnosti se týká především velkých organizací jako jsou banky, zdravotnické instituce a státní orgány.'''<br />
<br />
==Vývoj rámce ISMS==<ref>NOVÁK, Luděk; POŽÁR, Josef. Systém řízení informační bezpečnosti. In Pracovní příručka bezpečnostního manažera. 1. vydání. Praha: Policejní akademie ČR v Praze a Česká pobočka AFCEA, 2011, s. 104. ISBN: 978-80-7251-364-2.</ref>:<br />
* Vymezení působnosti ISMS<br />
* definice bezpečnostní politiky<br />
* hodnocení rizika (jako součást Risk Management)<br />
* management řízení rizik<br />
* výběr vhodných opatření<br />
* prohlášení o aplikovatelnosti<br />
<br />
==Model ISMS==<br />
ISMS je stejně jako jiné systémy řízení veden ve čtyřech krocích PDCA (Plánuj – Dělej – Kontroluj – Jednej).<br />
[[Soubor:Http://www.iso-27001.cz/assets/content/iso/iso27001v4.png|náhled|Model ISMS]]<br />
<br />
<br />
<references></references></div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20336ISMS2015-06-13T10:27:28Z<p>Michaela.Pappova: </p>
<hr />
<div>Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System).<br />
<br />
ISMS je systém ve své struktuře určený normou ISO 27001. Ta poskytuje model ustavení, implementování, zpracovávání, monitorování, přezkoumávání, udržování a zlepšování ochrany informačních aktiv, aby byly dosaženy cíle organizace na základě posouzení rizik a úrovní akceptace rizik organizace navržených k efektivnímu ošetření a řízení rizik ztráty či poškození informace.<ref>ISO 27001 Online. ISO 27001 Security. [online].[Cit. 2008-01-20] Dostupné online: http://www.27001-online.com/</ref><br />
<br />
Hlavním úkolem ISMS je provádět vhodná opatření za účelem potlačení či minimalizace hrozeb informační bezpečnosti. Opatření jsou závislá na velikosti organizace a počtem aktivit, jež vykonává, přičemž se bere ohled na reálnou rizikovost aktivit organizace. Tato rizikovost je odvislá od toho, v jaké míře organizace zpracovává osobní či důvěrné údaje. '''Komplexní řešení informační bezpečnosti se týká především velkých organizací jako jsou banky, zdravotnické instituce a státní orgány.'''<br />
<br />
Vymezení působnosti ISMS<ref>NOVÁK, Luděk; POŽÁR, Josef. Systém řízení informační bezpečnosti. In Pracovní příručka bezpečnostního manažera. 1. vydání. Praha: Policejní akademie ČR v Praze a Česká pobočka AFCEA, 2011, s. 104. ISBN: 978-80-7251-364-2.</ref>:<br />
* definice bezpečnostní politiky,<br />
* hodnocení rizika (jako součást Risk Management),<br />
* management řízení rizik,<br />
* výběr vhodných opatření a<br />
* prohlášení o aplikovatelnosti.<br />
<br />
<br />
<references></references></div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20333ISMS2015-06-13T10:22:37Z<p>Michaela.Pappova: </p>
<hr />
<div>Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System).<br />
<br />
ISMS je systém ve své struktuře určený normou ISO 27001. Ta poskytuje model ustavení, implementování, zpracovávání, monitorování, přezkoumávání, udržování a zlepšování ochrany informačních aktiv, aby byly dosaženy cíle organizace na základě posouzení rizik a úrovní akceptace rizik organizace navržených k efektivnímu ošetření a řízení rizik ztráty či poškození informace.<ref>ISO 27001 Online. ISO 27001 Security. [online].[Cit. 2008-01-20] Dostupné online: http://www.27001-online.com/</ref><br />
<br />
Hlavním úkolem ISMS je provádět vhodná opatření za účelem potlačení či minimalizace hrozeb informační bezpečnosti. Opatření jsou závislá na velikosti organizace a počtem aktivit, jež vykonává, přičemž se bere ohled na reálnou rizikovost aktivit organizace. Tato rizikovost je odvislá od toho, v jaké míře organizace zpracovává osobní či důvěrné údaje. Komplexní řešení informační bezpečnosti se týká především velkých organizací jako jsou banky, zdravotnické instituce a státní orgány. <br />
<br />
<references></references></div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20328Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-12T22:04:53Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením integrity, důvěrnosti či dostupnosti informace. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <ref>ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf</ref><br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféře i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací (ISMS, z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
===Zabezpečení počítače===<br />
===Bezpečnost z hlediska lidských zdrojů===<br />
<br />
==Bezpečnost na internetu==<br />
====Digitální stopa====<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<references><br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20327Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-12T22:03:57Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením integrity, důvěrnosti či dostupnosti informace. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféře i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací (ISMS, z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
===Zabezpečení počítače===<br />
===Bezpečnost z hlediska lidských zdrojů===<br />
<br />
==Bezpečnost na internetu==<br />
====Digitální stopa====<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<references><br />
ŽILKA, Radek. Bezpečnost informací. Dostupné z: http://www.vtpup.cz/cs/download/vavpropraxi/vav-prezentace/15-bezpecnost-informaci.pdf<br />
</references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20326ISMS2015-06-12T21:59:40Z<p>Michaela.Pappova: </p>
<hr />
<div>Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System).<br />
<br />
ISMS je systém ve své struktuře určený normou ISO 27001. Ta poskytuje model ustavení, implementování, zpracovávání, monitorování, přezkoumávání, udržování a zlepšování ochrany informačních aktiv, aby byly dosaženy cíle organizace na základě posouzení rizik a úrovní akceptace rizik organizace navržených k efektivnímu ošetření a řízení rizik ztráty či poškození informace.<ref>ISO 27001 Online. ISO 27001 Security. [online].[Cit. 2008-01-20] Dostupné online: http://www.27001-online.com/</ref><br />
<br />
<references></references></div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20325ISMS2015-06-12T21:59:06Z<p>Michaela.Pappova: </p>
<hr />
<div>Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System).<br />
<br />
ISMS je systém ve své struktuře určený normou ISO 27001. Ta poskytuje model ustavení, implementování, zpracovávání, monitorování, přezkoumávání, udržování a zlepšování ochrany informačních aktiv, aby byly dosaženy cíle organizace na základě posouzení rizik a úrovní akceptace rizik organizace navržených k efektivnímu ošetření a řízení rizik ztráty či poškození informace.<ref>ISO 27001 Online. ISO 27001 Security. [online].[Cit. 2008-01-20] Dostupné online: http://www.27001-online.com/</ref></div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20324ISMS2015-06-12T21:38:12Z<p>Michaela.Pappova: </p>
<hr />
<div>Informační bezpečnost je dnes již nezbytnou součástí každého informačního systému v každé organizaci. Jedná se o důležitou součást fungování podniku i státní sféry a její organizace se stává integrální součástí strategie každé složky. Organizace informační bezpečnosti se řídí systémem pro řízení informační bezpečnosti (ve zkratce ISMS z anglického Information Security Management System)</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=ISMS&diff=20315ISMS2015-06-11T21:15:31Z<p>Michaela.Pappova: Založena nová stránka s textem „ISMS - Information Security Management System“</p>
<hr />
<div>ISMS - Information Security Management System</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20314Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-11T21:14:52Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením integrity, důvěrnosti či dostupnosti informace. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
Na základě asymetrických algoritmů pracuje digitální (či elektronický) podpis, jež označuje specifická data, která v počítači nahrazují klasický vlastnoruční podpis. Je vytvořen pro konkrétní data a jeho součástí je i informace o tom, kdo jej vytvořil, a tedy je možná nepopiratelná identifikace. Vytváří se ve dvou krocích - nejdříve se vytvoří otisk (hash) dokumentu a poté je zašifrován autorovým privátním klíčem.<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféře i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací (ISMS, z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
===Zabezpečení počítače===<br />
===Bezpečnost z hlediska lidských zdrojů===<br />
<br />
==Bezpečnost na internetu==<br />
====Digitální stopa====<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<references></references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20313Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-11T20:57:47Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením integrity, důvěrnosti či dostupnosti informace. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
<br />
<br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféře i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací (ISMS, z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
===Zabezpečení počítače===<br />
===Bezpečnost z hlediska lidských zdrojů===<br />
<br />
==Bezpečnost na internetu==<br />
====Digitální stopa====<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<references></references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20312Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-11T20:52:57Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením integrity, důvěrnosti či dostupnosti informace. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféře i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací (ISMS, z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
===Zabezpečení počítače===<br />
===Bezpečnost z hlediska lidských zdrojů===<br />
<br />
==Bezpečnost na internetu==<br />
====Digitální stopa====<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<references></references><br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20311Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-11T20:52:16Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením integrity, důvěrnosti či dostupnosti informace. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <br />
<br />
==Šifrování==<br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou.<br />
<br />
==Další funkce pro převod dat==<br />
Během 50. let se začala používat tzv. hashovací funkce. Tato funkce využívá algoritmus pro převod vstupních dat do relativně malého čísla. Výstupem je výtah (fingerpritn či hash). Pro kryptografii se používají jednosměrné a bezkolizní funkce, u nichž není možné zjistit z hodnoty původní zprávu a zároveň je nemožné odvodit dvě původní zprávy.<ref>KLÍMA, V. Hašovací funkce, principy, příklady a kolize [Online] [Cit.: 11. 6. 2015]. Dostupné z: http:// cryptography.hyperlink.cz/2005/cryptofest_2005.htm.</ref> <br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféře i akademickým účelům. Spolu s rozmachem oboru se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
<br />
==[[Organizace informační bezpečnosti]]==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací (ISMS, z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
===Zabezpečení počítače===<br />
===Bezpečnost z hlediska lidských zdrojů===<br />
<br />
==Bezpečnost na internetu==<br />
====Digitální stopa====<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20310Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-11T20:26:04Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením integrity, důvěrnosti či dostupnosti informace. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou. <br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféře i akademickým účelům. Spolu s rozmachem obrou se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
<br />
==Organizace informační bezpečnosti==<br />
Efektivní organizace informační bezpečnosti v různě velkých právnických subjektech je možno dosáhnout za pomoci dodržování systému řízení bezpečnosti informací (ISMS, z anglického Information Security Management System). Základní model ISMS je popsán v normě ISO/IEC 27001. Interpretace a implementace jednotlivých doporučení se však může výrazně lišit podle rozsahu systému, počtu uživatelů, způsobu zpracování dat, jejich hodnoty a především podle reálných bezpečnostních rizik.<br />
===Zabezpečení počítače===<br />
====Šifrování====<br />
===Bezpečnost z hlediska lidských zdrojů===<br />
<br />
==Bezpečnost na internetu==<br />
====Digitální stopa====<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20287Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-11T17:28:41Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením integrity, důvěrnosti či dostupnosti informace. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <br />
<br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
<br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou. <br />
V devadesátých letech přišel velmi rychlý vývoj tohoto oboru, který se postupně začal ubírat směrem k Internetu. Počítačová bezpečnost se začala přesouvat do školství, soukromé sféře i akademickým účelům. Spolu s rozmachem obrou se začínají objevovat snahy o standardizaci. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Informační bezpečnost v současné době zaopatřuje řada norem ISO 27000. Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
<br />
==Organizace informační bezpečnosti==<br />
===Zabezpečení počítače===<br />
====Šifrování====<br />
====Digitální stopa====<br />
===Bezpečnost z hlediska lidských zdrojů===<br />
<br />
==Bezpečnost na internetu==<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20285Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-11T17:19:29Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením integrity, důvěrnosti či dostupnosti informace. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologických šifer]]. Rozvoj šifrování nastal po vynálezu telegrafu v roce 1845 a v\vrcholil za 2. světové války šifrovacími stroji jako byla [[Enigma]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). Symetrická kryptografie pracuje pouze s jedním klíčem, který se používá jak pro zašifrování, tak pro rozšifrování textu. <br />
V roce 1976 byla vynalezena metoda asymetrického šifrování Diffie-Helman, jež spočívala v matematickém propojení klíčů. Všechny komunikující strany zkonstruují jeden klíč a nikdy není poslán v otevřené formě. Takto se může první část klíče odtajnit bez rizika ohrožení informací. Tuto metodu využívá např. šifrování RSA (podle autorů Rivest, Shamir a Adleman).<br />
Vznik oboru informační bezpečnosti jako takového se datuje do 80. let, kdy se ještě obor jmenoval počítačová bezpečnost a jednalo se především o bezpečnost počítačových sítí. V této době také začínají v odborných periodikách vycházet články s touto tématikou. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
<br />
==Organizace informační bezpečnosti==<br />
===Zabezpečení počítače===<br />
====Šifrování====<br />
====Digitální stopa====<br />
===Bezpečnost z hlediska lidských zdrojů===<br />
<br />
==Bezpečnost na internetu==<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20283Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-11T16:51:13Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením integrity, důvěrnosti či dostupnosti informace. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací - především ve formě přeměny otevřeného textu na šifrovaný - začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologie]]. Výrazným milníkem byl vznik moderní [[Moderní použití kryptologie|kryptografie]], jejíž duchovní otec Claude Shannon během 2. světové války vypracoval za účelem bezpečnosti přenosu informací koncept matematické kryptografie. <br />
Během 70. let vznikají první symetrické (s privátním klíčem) šifrovací algoritmy jako [[DES]](data encryption standard), jež byl později nahrazen [[AES]] (Advanced encryption standard). <br />
avšak vznik oboru jako takového se datuje do 80. let v návaznosti na obecnější počítačovou bezpečnost. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
<br />
==Organizace informační bezpečnosti==<br />
===Zabezpečení počítače===<br />
====Šifrování====<br />
====Digitální stopa====<br />
===Bezpečnost z hlediska lidských zdrojů===<br />
<br />
==Bezpečnost na internetu==<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Informa%C4%8Dn%C3%AD_bezpe%C4%8Dnost_-_jej%C3%AD_kl%C3%AD%C4%8Dov%C3%A9_aspekty,_hrozby_a_minimalizace_rizika&diff=20282Informační bezpečnost - její klíčové aspekty, hrozby a minimalizace rizika2015-06-11T16:35:19Z<p>Michaela.Pappova: </p>
<hr />
<div>==Informační bezpečnost==<br />
Informační bezpečnost zahrnuje ochranu všech informací bez rozdílu nosiče po celý jejich životní cyklus. V současné době je spojována především s informacemi komunikovanými skrze informační technologie. Informační bezpečnost lze charakterizovat jako praktický obor, jež vznikl za účelem ochrany informací, kterých fyzická či právnická osoba využívá při své činnosti. Jedná se o ochranu před narušením integrity, důvěrnosti či dostupnosti informace. <br />
<br />
==Historie==<br />
Informační bezpečnost vzniká spolu s informacemi, které bylo potřeba chránit. Určité mechanismy ochrany informací začaly vznikat již v antice v podobě [[Historie kryptologie|kryptologie]]. Výrazným milníkem byl vznik moderní kryptografie avšak vznik oboru jako takového se datuje do 80. let v návaznosti na obecnější počítačovou bezpečnost. <br />
<br />
==[[Standardizace informační bezpečnosti]]==<br />
Základní normy informační bezpečnosti jsou: <br />
*ČSN ISO/IEC 27002:2014 Informační technologie Bezpečnostní techniky - Soubor postupů pro opatření bezpečnosti informací<br />
*ČSN ISO/IEC 27001:2014 Informační technologie - Bezpečnostní techniky - Systémy řízení bezpečnosti informací - Požadavky<br />
<br />
<br />
==Organizace informační bezpečnosti==<br />
===Zabezpečení počítače===<br />
====Šifrování====<br />
====Digitální stopa====<br />
===Bezpečnost z hlediska lidských zdrojů===<br />
<br />
==Bezpečnost na internetu==<br />
===Hrozby===<br />
===Bezpečnost na sociálních sítích===<br />
<br />
======<br />
<br />
<br />
[[Kategorie:Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Standardizace_informa%C4%8Dn%C3%AD_bezpe%C4%8Dnosti&diff=20281Standardizace informační bezpečnosti2015-06-11T16:08:18Z<p>Michaela.Pappova: </p>
<hr />
<div>Pokusy o jistou úroveň standardizace informační bezpečnosti a to především jejího hodnocení započaly již v 80. letech. V současnosti jsou ošetřena celou řadou ISO norem (ISO 27000).<br />
<br />
==Orange book==<br />
Jako první dokument popisující standarty informační bezpečnosti byla vydána norma ministerstva obrany Spojených států amerických TCSEC (Trusted computer system evaluation criteria). Tato norma (zvaná téže jako Orange book) stanoví základní požadavky pro hodnocení, klasifikaci a výběr počítačových systémů vhodných pro ukládání citlivých informací. Byla vydána v roce 1983, a v roce 1985 doplněna. Původně vznikla k vojenským účelům.<br />
<br />
==ITSEC==<br />
Evropským ekvivalentem TCSEC je ITSEC (Information Technology Security Evaluation Criteria). Byla vydána v roce 1990 ve Velké Británii, Nizozemsku, Francii a Německu. K této dohodě se posléze přidaly i další evropské země.<br />
<br />
==CTCPEC==<br />
<br />
CTCPEC (Canadian Trusted Computer Product Evaluation Criteria) je ekvivalent pro TCSEC a CTCPEC kanadské provenience.<br />
<br />
==Common criteria==<br />
Common criteria (celým názvem Common criteria for information technology security evaluation, zkracováno jako "CC") je mezinárodní standard (ISO/IEC 15408) určující certifikaci informační bezpečnosti. Vznikl jako výsledek harmonizace TCSEC, ITSEC a CTCPEC. <br />
Cílem CC je provádění bezpečnostních hodnocení informačních technologií, produktů a ochranných profilů na jednotné a vysoké úrovni. Princip hodnocení probíhá na přidělování úrovně bezpečnosti EAL (Evaluation Assurance Level). <ref>NATIONAL INFORMATION ASSURANCE PARTNERSHIP. Common Criteria [online]. 2015 [cit. 2015-06-09]. Dostupné z: https://www.commoncriteriaportal.org/</ref><br />
<br />
==Normy ISO/IEC 27000<ref>BUDÍN, Emil. Využití automatizovaných nástrojů pro řízení bezpečnosti informací dle norem<br />
řady ČSN ISO/IEC 27000. Brno, 2014. Diplomová práce. Masarykova univerzita, Filozofická<br />
fakulta, Ústav české literatury a knihovnictví, Kabinet informačních studií a knihovnictví.<br />
Vedoucí práce PhDr. Petr Škyřík, Ph.D</ref>==<br />
ISO normy upravující požadavky, návody a doporučení týkající se informační bezpečnosti jsou uspořádány v řadě 27000. <br />
Základní normy jsou č.1 a 2. Norma ISO 27001 ( Information technology - Security techniques - Information security management systems - Requirements) poskytuje model pro zavedení efektivního systému řízení bezpečnosti informací (ISMS) v organizaci a norma ISO 27002 (Information technology - Security techniques - Code of practice for information security management) ji doplňuje. Obě normy jsou úzce propojeny, každá z nich však plní jinou roli. Zatímco norma ISO 27002 poskytuje podrobný přehled (katalog) bezpečnostních opatření, které mohou být vybrány při budování ISMS, norma ISO 27001 specifikuje požadavky na to jak ISMS v organizaci správně zavést. Případná certifikace ISMS pak probíhá podle ISO 27001.<ref>Řada norem ISO/IEC 27000. <i>Řada norem ISO/IEC 27000</i> [online]. 2015 [cit. 2015-06-09]. Dostupné z: http://www.iso27000.cz/</ref><br />
<br />
<br />
<br />
<references></references><br />
<br />
[[Kategorie: Informační studia a knihovnictví]]</div>Michaela.Pappovahttps://wikisofia.cz/w/index.php?title=Standardizace_informa%C4%8Dn%C3%AD_bezpe%C4%8Dnosti&diff=20280Standardizace informační bezpečnosti2015-06-11T15:57:18Z<p>Michaela.Pappova: </p>
<hr />
<div><br />
<br />
==Orange book==<br />
Jako první dokument popisující standarty informační bezpečnosti byla vydána norma ministerstva obrany Spojených států amerických TCSEC (Trusted computer system evaluation criteria). Tato norma (zvaná téže jako Orange book) stanoví základní požadavky pro hodnocení, klasifikaci a výběr počítačových systémů vhodných pro ukládání citlivých informací. Byla vydána v roce 1983, a v roce 1985 doplněna. Původně vznikla k vojenským účelům.<br />
<br />
==ITSEC==<br />
Evropským ekvivalentem TCSEC je ITSEC (Information Technology Security Evaluation Criteria). Byla vydána v roce 1990 ve Velké Británii, Nizozemsku, Francii a Německu. K této dohodě se posléze přidaly i další evropské země.<br />
<br />
==CTCPEC==<br />
<br />
CTCPEC (Canadian Trusted Computer Product Evaluation Criteria) je ekvivalent pro TCSEC a CTCPEC kanadské provenience.<br />
<br />
==Common criteria==<br />
Common criteria (celým názvem Common criteria for information technology security evaluation, zkracováno jako "CC") je mezinárodní standard (ISO/IEC 15408) určující certifikaci informační bezpečnosti. Vznikl jako výsledek harmonizace TCSEC, ITSEC a CTCPEC. <br />
Cílem CC je provádění bezpečnostních hodnocení informačních technologií, produktů a ochranných profilů na jednotné a vysoké úrovni. Princip hodnocení probíhá na přidělování úrovně bezpečnosti EAL (Evaluation Assurance Level). <ref>NATIONAL INFORMATION ASSURANCE PARTNERSHIP. Common Criteria [online]. 2015 [cit. 2015-06-09]. Dostupné z: https://www.commoncriteriaportal.org/</ref><br />
<br />
==Normy ISO/IEC 27000<ref>BUDÍN, Emil. Využití automatizovaných nástrojů pro řízení bezpečnosti informací dle norem<br />
řady ČSN ISO/IEC 27000. Brno, 2014. Diplomová práce. Masarykova univerzita, Filozofická<br />
fakulta, Ústav české literatury a knihovnictví, Kabinet informačních studií a knihovnictví.<br />
Vedoucí práce PhDr. Petr Škyřík, Ph.D</ref>==<br />
ISO normy upravující požadavky, návody a doporučení týkající se informační bezpečnosti jsou uspořádány v řadě 27000. <br />
Základní normy jsou č.1 a 2. Norma ISO 27001 ( Information technology - Security techniques - Information security management systems - Requirements) poskytuje model pro zavedení efektivního systému řízení bezpečnosti informací (ISMS) v organizaci a norma ISO 27002 (Information technology - Security techniques - Code of practice for information security management) ji doplňuje. Obě normy jsou úzce propojeny, každá z nich však plní jinou roli. Zatímco norma ISO 27002 poskytuje podrobný přehled (katalog) bezpečnostních opatření, které mohou být vybrány při budování ISMS, norma ISO 27001 specifikuje požadavky na to jak ISMS v organizaci správně zavést. Případná certifikace ISMS pak probíhá podle ISO 27001.<ref>Řada norem ISO/IEC 27000. <i>Řada norem ISO/IEC 27000</i> [online]. 2015 [cit. 2015-06-09]. Dostupné z: http://www.iso27000.cz/</ref><br />
<br />
<br />
<br />
<references></references><br />
<br />
[[Kategorie: Informační studia a knihovnictví]]</div>Michaela.Pappova