Co je to infomační bezpečnost? Popište problematiku a z technického i sociologického hlediska

Verze z 6. 3. 2016, 17:32, kterou vytvořil Denis.Skopan (diskuse | příspěvky) (Založena nová stránka s textem „'''Informační bezpečnost''' je komplex opatření, který zahrnuje proces navrhování, schvalování a implementaci softwarových, hardwarových, techn…“)
(rozdíl) ← Starší verze | zobrazit aktuální verzi (rozdíl) | Novější verze → (rozdíl)

Informační bezpečnost je komplex opatření, který zahrnuje proces navrhování, schvalování a implementaci softwarových, hardwarových, technických, personálních ochranných opatření spojených s minimalizací možných ztrát, vzniklých v důsledku poškození, zničení nebo zneužití informačních systémů.

Předmětem ochrany z pohledu informační bezpečnosti jsou informace bez ohledu na to, zda jsou uloženy v informačním systému, vytištěny na papíře nebo existují pouze v něčí mysli.

Cílem informační bezpečnosti je zajištění následujících atributů chráněných informací:

  • Confidentiality (důvěrnost): K informacím má přístup pouze oprávněná osoba nebo osoby
  • Integrity (celistvost): Jsou jasně stanovena práva pro pozměňování a případné zničení informací
  • Availability (dostupnost): Zajištění dostupnosti informací

V praxi je důležité zajistit také:

  • autentizaci (ověření, že subjekt je tím, za koho se vydává)
  • autorizaci (omezení dostupnosti operací, jakými jsou například čtení nebo zápis informací, jen pro oprávněné uživatele)
  • nepopiratelnost (vyloučení možnosti popřít dřívější provedení nějaké operace)

Standardní kroky řešení bezpečnosti

Řešení bezpečnosti je obvykle rozpracováno do těchto kroků:

  • studie informační bezpečnosti
  • riziková analýza
  • tvorba bezpečnostní politiky
  • bezpečnostní standardy
  • bezpečnostní projekt
  • implementace bezpečnosti
  • monitoring a audit

Studie informační bezpečnosti

Jako první krok se obvykle provádí studie informační bezpečnosti. To je zmapování výchozího stavu bezpečnosti v organizaci, ze kterého se vychází.

V této fázi musí být také stanoveny cíle a strategie řešení bezpečnosti IS. Někteří autoři doporučují již v tomto bodě vycházet ze stanovené celkové bezpečnostní politiky (CBP), která by tedy měla být vytvořena předtím.

CBP je základní dokument, ve kterém je popsán základní rámec, ve kterém řešení probíhá, tj. jsou určeny jak legislativní hranice řešení, tak hranice IS apod. Jiní ale uvádějí, že CBP je výsledkem teprve provedené rizikové analýzy.

Riziková analýza

Pro fungování a přežití organizace je nutné poznat, jaká hrozí rizika, tato rizika vyhodnotit a buď je snížit, nebo zcela odstranit, anebo je, pokud jsou přijatelná, akceptovat. Toto se týká všech oblastí působení organizace, tedy i informačního systému.

Proti některým rizikům se může organizace pojistit (povodeň), proti jiným ne. Proto je nezbytným a zcela zásadním krokem analýza rizik, neboli riziková analýza, která musí poskytnout odpověď na tyto otázky:

  • Jaké hrozí riziko při nechránění informačních aktiv, tedy co se může stát?
  • Jak, kým, jakým způsobem může být bezpečnost informací porušena?
  • Jaká je pravděpodobnost, že se tak stane?

Pro analýzu rizik existují specializované programy, nástroje a postupy, např. Cobra, CRAMM, NetRecon, RiskWatch aj.

Poradenské firmy mají často vyvinuty svoje vlastní nástroje, ty obvykle spočívají v množství dotazů, které konzultant pokládá a daný softwarový nástroj pomůže odpovědi vyhodnotit.

Analýzu rizik je nutno pravidelně opakovat, a to z toho důvodu, že situace v organizaci i bezpečnostní situace se stále mění.

Tvorba bezpečnostní politiky

Z analýzy rizik vychází tvorba bezpečnostní politiky (BP). Obvykle se rozlišují dva druhy bezpečnostní politiky, a to celková BP (CPB) a systémová BP (SPB).

Rozdíl mezi nimi je ten, že CBP je stručný dokument, který shrnuje hlavní zásady, co se bude chránit, kdo za to nese odpovědnost, jakým způsobem se bude postupovat při budování bezpečnosti.

Systémová bezpečnostní politika definuje způsob implementace v konkrétním prostředí daného systému.

Výsledkem bezpečnostních politik jsou strategická opatření na úrovni IS.

Bezpečnostní standardy

Bezpečnostní politika vytyčí cíle, kterých by mělo být dosaženo. Pro jejich naplnění jsou vytvořeny bezpečnostní standardy a detailní procedury.

Standardy mají pokrývat jak počítačovou bezpečnost, tak i fyzickou, personální bezpečnost, klasifikaci informací atd. Často se však tato část rovnou spojuje s bezpečnostním projektem.

Bezpečnostní projekt

Další fáze tvorby bezpečnosti již zahrnuje zcela konkrétní opatření, tj. technická opatření hardwarového nebo softwarového typu, různé prostředky bezpečnosti, různé postupy (např. změna hesel), směrnice, normy apod. Některé projekty si můžeme snadněji představit i realizovat, např. projekt fyzické ochrany (zámky, mříže atd.).

Při realizaci bezpečnostních opatření je nutno dbát na to, aby byla vyvážená - nemá smysl drahý trezor dávat do místnosti vybudované z lehkých příček.

Obvykle se bezpečnostní projekt člení na bezpečnost administrativní, personální, technickou, objektovou, bezpečnost informačního systému a kryptografickou ochranu informací.

Implementace bezpečnosti

Je to konkrétní nasazení výše uvedených bezpečnostních technologií, norem atd. v dané organizaci.

Může to trvat i roky - pilotní projekt obvykle dopadá dobře, a přesto se řadu konečných řešení již nikdy nepodaří realizovat.

Monitoring a audit

Po vybudování bezpečnostních mechanismů je třeba neustále prověřovat, zda odpovídají dané situaci, jsou dobře nastaveny, zda se podmínky nezměnily tak, že již nevyhovují atd.

Je nutno mít takové mechanismy, které jednak detekují případné bezpečnostní incidenty (výskyt virů, pokus o průnik zvenku i zvenčí apod.), jednak v sobě případně rovnou mohou obsahovat nápravné kontrolní mechanismy.

Takové mechanismy a prostředky se řadí do kategorie monitoring a audit. Vzhledem k tomu, že budování bezpečnosti je nikdy nekončící proces, jde vlastně stále o opakování kroků:

  • maximální prevence bezpečnostních incidentů,
  • detekce incidentů,
  • zlepšení prevence, obnova stavu před incidentem, např. zálohování.

Technické metody pro bezpečnost informací

Šifrování dat aneb Kryptografie

Kryptografie neboli šifrování je nauka o metodách utajování smyslu zpráv převodem do podoby, která je čitelná jen se speciální znalostí.

Kryptologie zahrnuje kryptografii a kryptoanalýzu, neboli luštění zašifrovaných zpráv.

Celé období kryptografie můžeme rozdělit do dvou částí. Tou první je klasická kryptografie, která přibližně trvala do poloviny 20. stol.

První část se vyznačovala tím, že k šifrování stačila pouze tužka a papír, případně jiné jednoduché pomůcky. Během 1. poloviny 20. stol. ale začaly vznikat různé sofistikované přístroje, které umožňovaly složitější postup při šifrování.

Tím přibližně začala druhá část, kterou nazýváme moderní kryptografie. V dnešní době se k šifrování zpravidla nepoužívají žádné zvlášť vytvářené přístroje, ale klasické počítače.

Klasické metody kryptografie

  • Steganografie - Starší sestrou kryptografie je steganografie neboli ukrývání zprávy jako takové. Sem patří různé neviditelné inkousty, vyrývání zprávy do dřevěné tabulky, která se zalije voskem apod. V moderní době lze tajné texty ukrývat například do souborů s hudbou či obrázky namísto náhodného šumu.
  • Substituční šifry - Substituční šifra obecně spočívá v nahrazení každého znaku zprávy jiným znakem podle nějakého pravidla. Pravděpodobně nejstarší popis substituční šifry je v Kámasútře, která se datuje do 4. století, ovšem její autor čerpal z pramenů až o 800 let starších.
  • Aditivní šifry - Caesarova šifra je pojmenovaná po Juliu Caesarovi, který ji pravděpodobně používal jako první. Každé písmeno tajné zprávy je posunuto v abecedě o pevný počet pozic. Šifra je z dnešního pohledu velmi snadno luštitelná, protože je jen málo možných klíčů. Ve své době ale představovala nevídanou metodu a osvědčila se velmi dobře.
  • Transpoziční mřížka - Tabulka, v níž jsou některá políčka vystřižena a do těchto je vpisován otevřený text. Po zaplnění všech políček je tabulka otočena o 90° a postup se opakuje. Tuto šifru použil Jules Verne ve své knize Matyáš Sandorf (Nový hrabě Monte Christo). Jsou možné i jiné tvary tabulky než čtverec. Například lze použít šestiúhelník se šestiúhelníkovými políčky, který se 5× otáčí o 60°. Klíčem této šifry je rozložení vystříhaných políček.


Moderní metody kryptografie

symetrické šifry (klíč k zašifrování i k dešifrování je stejný)

  • První standardizovaná symetrická šifra DES (Data Encryption Standard)
  • Současný kryptografický standard AES (Advanced Encryption Standard), jinak také Rijndael (rozdíl je v tom, že AES podporuje jen některé délky bloku a klíče)
  • Finalisté soutěže o návrh standardu AES (Advanced Encryption Standard) - Twofish, RC6, Serpent, Mars a Rijndael, který soutěž vyhrál a byl přijat za standard AES

asymetrické šifry (klíč k zašifrování je jiný než k dešifrování, jednocestné matematické funkce)

  • Asymetrická kryptografie – používá soukromý a veřejný klíč
  • RSA, nejpoužívanější asymetrická šifra
  • Phil Zimmermann, PGP a OpenPGP
  • hašovací funkce
  • digitální podpis