INFORMATIKA Informační bezpečnost

INFORMATIKA Informační bezpečnost

Tato studijní opora je spolufinancována Evropským sociálním fondem a státním rozpočtem České republiky.

Na vzniku této studijní opory se podíleli: Studijní oporu zajišťuje:

Ing. Jan Ministr, Ph.D

Střední odborná škola ochrany osob a majetku s.r.o.

Karviná 2011 1

OBSAH

Strany SEZNAM POUŽITÝCH ZNAČEK, SYMBOLŮ A ZKRATEK .......................................... 1 ÚVOD .................................................................................................................................... 2 1

INFORMACE A INFORMAČNÍ PROCES ................................................................... 6 1.1 Úvod do informační bezpečnosti................................................................................ 6 1.2 Informace v informačním procesu ............................................................................. 8 1.3 Informace a data ....................................................................................................... 10 1.4 Informační systém .................................................................................................... 12 1.5 Informační proces ..................................................................................................... 13 1.5.1

Sběr informací ...................................................................................................... 14

1.5.2

Přenos informací .................................................................................................. 15

1.5.3

Registrace, evidence a ukládání informací ........................................................... 16

1.5.4

Zpracování a využívání informací ........................................................................ 16

SHRNUTÍ ................................................................................................................................ 17 KONTROLNÍ OTÁZKY ............................................................................................................. 18 POUŽITÁ LITERATURA ........................................................................................................... 18 2

ZÁKLADNÍ POJMY INFORMAČNÍ BEZPEČNOSTI .............................................. 19 2.1 Základní pojmy ........................................................................................................ 19 2.2 Bezpečnostní hrozby a rizika ................................................................................... 22 2.3 Bezpečnostní incidenty a jejich prevence ................................................................ 26 2.4 Hodnocení škod ........................................................................................................ 28 2.5 Úniky dat a informací – lidský faktor ...................................................................... 28 2.6 Úniky dat a informací – ostatní zdroje úniku ........................................................... 29 2.7 Úniky dat z IS ........................................................................................................... 30


INFORMAČNÍ BEZPEČNOST .................................................................................. 33 3.1 Bezpečnostní správa organizace............................................................................... 34 3.2 Základní pracovní funkce v systému informační bezpečnosti ................................. 36 3.2.1

Manažer bezpečnosti ............................................................................................ 37

3.2.2

Bezpečnostní správce ........................................................................................... 38


PROCES INFORMAČNÍ BEZPEČNOSTI ................................................................. 42 4.1 Etapy procesu informační bezpečnosti ..................................................................... 43 4.2 Stanovení cíle a strategie informační bezpečnosti ................................................... 45 4.3 Zpracování analýzy rizik .......................................................................................... 46 4.4 Zpracování bezpečnostní politiky organizace .......................................................... 48 4.5 Vypracování bezpečnostních standardů ................................................................... 51 4.6 Implementace informační bezpečnosti ..................................................................... 52 4.7 Provádění monitoringu a auditu ............................................................................... 53 4.7.1

Audit IS ................................................................................................................ 54

4.8 Certifikace systému řízení informační bezpečnosti ................................................. 54 4.9 Základy psychologie a komunikace pro auditory IS ................................................ 58 4.10

Charakteristika normy ISO/IEC 27001 ................................................................ 59


BEZPEČNOST POČÍTAČOVÉ SÍTĚ ......................................................................... 62 5.1 Přístupy k zabezpečení dat v počítačové síti ............................................................ 63 5.2 Vnější hrozby ........................................................................................................... 63 5.2.1

Neautorizované použití hesel a klíčů ................................................................... 64

5.2.2

Útok DoS .............................................................................................................. 64

5.2.3

Odposlech IP adres ............................................................................................... 64

5.2.4

Počítačové viry a červi ......................................................................................... 65

5.2.5

Trojští koně .......................................................................................................... 65

5.3 Vnitřní hrozby .......................................................................................................... 65 5.3.1

Průmyslová špionáž.............................................................................................. 66

5.3.2

Vnitřní politika ..................................................................................................... 66

5.3.3

Rozhněvaní zaměstnanci ...................................................................................... 66

5.3.4

Neúmyslné přestupky ........................................................................................... 67

5.3.5

Vzpurní uživatelé ................................................................................................. 67

5.4 Realizace bezpečnostních opatření ........................................................................... 67 5.4.1

Bezpečnostní úroveň operačního systému ........................................................... 68

5.4.2

Nastavení uživatelských účtů ............................................................................... 68

5.4.3

Šifrování souborů ................................................................................................. 70

5.4.4

Zabezpečení IP ..................................................................................................... 70

5.4.5

SSL (Secure Society Layer) ................................................................................. 71

5.4.6

Zabezpečení e-mailu ............................................................................................ 71

5.5 Základní pojmy kryptografie .................................................................................... 72 5.5.1

Šifrování pomocí tajného klíče (symetrické šifrování) ........................................ 72

5.5.2

Šifrování pomocí veřejného / privátního klíče (asymetrické šifrování) ............... 74

5.5.3

Autentizace ........................................................................................................... 75

5.5.4

Digitální podpis .................................................................................................... 75

5.5.5

Hash algoritmy ..................................................................................................... 78

5.5.6

Digitální certifikáty .............................................................................................. 78

5.6 Pokročilá identifikace a technika ověřování ............................................................ 79 5.6.1

Smart cards – chytré karty .................................................................................... 80

5.6.2

Biometrie .............................................................................................................. 80

5.7 Bezpečnostní zásady provozu počítačových sítí ...................................................... 82 5.7.1

Přijatelné zásady ................................................................................................... 82

5.7.2

Mezní zásady ........................................................................................................ 83

5.7.3

Zákonná bezpečnostní nařízení ............................................................................ 83

5.7.4

Bezpečnostní audit a detekce vnikání do počítačové sítě..................................... 84

5.7.5

Firewall a proxy ................................................................................................... 85

5.7.6

Zabezpečení při více protokolech ........................................................................ 87

5.7.7

Fyzické zabezpečení ............................................................................................. 88


OCHRANA DAT A INFORMACÍ PŘED POHROMOU A OBNOVA ZTRÁT ........ 90 6.1 Ochrana dat a informací před pohromou .................................................................. 91 6.1.1

Záložní zdroje energie .......................................................................................... 91

6.1.2

Zálohování dat ...................................................................................................... 92

6.1.3

Odolnost disku proti chybám (RAID) .................................................................. 96

6.1.4

Odolnost serveru proti chybám - Clustering ........................................................ 97


POČÍTAČOVÁ A INFORMAČNÍ KRIMINALITA ................................................. 100

7.1 Charakteristika počítačové a informační kriminality ............................................. 101 7.2 Trestně právní aspekty počítačové kriminality ...................................................... 104 7.2.1

Útok na počítač................................................................................................... 105

7.2.2

Útok proti programovému vybavení a datům .................................................... 105

7.2.3

Destrukční činnost prostřednictvím virů ............................................................ 106

7.2.4

Zneužití výpočetní techniky pro osobní účely ................................................... 106

7.2.5

Pronikání do počítačových systémů ................................................................... 107

7.2.6

Změny v programech, datech a technickém zařízení ......................................... 107

7.2.7

Neoprávněný přístup k datům, získávání utajovaných informací ...................... 107

7.2.8

Zneužívání počítačových prostředků k páchání jiné trestní činnosti ................. 108

7.2.9

Užití počítače k páchání další trestné činnosti. .................................................. 109

7.3 Odhalování a objasňování počítačové kriminality ................................................. 109 7.4 Trendy počítačové kriminality ............................................................................... 109 SHRNUTÍ .............................................................................................................................. 111 KONTROLNÍ OTÁZKY ........................................................................................................... 111 POUŽITÁ LITERATURA ......................................................................................................... 112 Seznam obrázků Obrázek 1 - Vztah obsahu dat a informace. ............................................................................ 11 Obrázek 2 - Vrstvy okolí systému. .......................................................................................... 13 Obrázek 3 - Schéma přenosu informace................................................................................... 15 Obrázek 4 - Vztah úrovní bezpečnosti ve firmě. ...................................................................... 22 Obrázek 5 - Schéma zajištění bezpečnosti IS/IT- aktiva a hrozby. .......................................... 24 Obrázek 6 - Průběh nákladů a přínosů protiopatření................................................................ 25 Obrázek 7 - Bezpečnostní incidenty. ........................................................................................ 26 Obrázek 8 - Bezpečnostní správa organizace. .......................................................................... 34 Obrázek 9 - Etapy procesu informační bezpečnosti. ................................................................ 43 Obrázek 10 - Proces zpracování standardů formou projektu. .................................................. 52 Obrázek 11 - Fáze certifikace ISMS. ....................................................................................... 55 Obrázek 12 - Mechanismus šifrování zpráv symetrickou šifrou.............................................. 73 Obrázek 13 - Mechanismus šifrování zpráv asymetrickou šifrou ............................................ 74 Obrázek 14 - Mechanismus šifrování zpráv asymetrickou šifrou ............................................ 75 Obrázek 15 - Mechanismus komunikace. ................................................................................ 76 Obrázek 16 - Mechanismus bezpečná komunikace. ................................................................ 77 Obrázek 17 - Umístění firewall a proxy v DMZ mezi interní a externí sítí. ............................ 85 Obrázek 18 - Proxy server zprostředkovává komunikaci mezi vnitřními a vnějšími sítěmi. .. 87 Obrázek 19 - Seskupení serverů do klastru. ............................................................................. 98 Seznam tabulek Tabulka 1 - Bezpečnostní hodnocení NSA pro různé operační systémy. ................................ 84

SEZNAM POUŽITÝCH ZNAČEK, SYMBOLŮ A ZKRATEK Průvodce studiem, kapitolou Průvodce kapitolou, textem, podnět Shrnutí Výstupy z učení Čas potřebný ke studiu Kontrolní otázka Samostatný úkol Test a otázka Řešení a odpovědi, návody Korespondenční úkoly Zapamatujte si Řešený příklad Definice Úkol k zamyšlení Část pro zájemce Další zdroje

1

ÚVOD Vážení studenti, před Vámi stojí úkol absolvovat modul Informatika - informační

Slovo autora

bezpečnost. Pedagogickým cílem tohoto modulu je vás seznámit s pojmem informační bezpečnost a jeho souvislostí s celkovou bezpečností firmy. Studijní opora je rozdělena do 7 kapitol, které vás postupně seznamují se základními

pojmy

informační

bezpečnosti

a

zásadami

budování

a provozování systému informační bezpečnosti ve firmě včetně jeho certifikace a auditu, které jsou popsány v kapitole 1 až 4. Zásady zabezpečení počítačové sítě jsou popsány v kapitole 5. Ochrana dat a informací je popsána v kapitole 6, kde jsou popsány nástroje a techniky ochrany a obnovy dat, včetně zásad jejich zálohování. Poslední kapitola se zabývá charakteristikami počítačové kriminality včetně jejich trendů. Tento průvodce se může stát Vaším pomocníkem, který Vám usnadní nejen úspěšné absolvování modulu, ale dobrou orientaci v problematice informační bezpečnosti, která se stává pro většinu firem stále důležitější. Doporučuji Vám, abyste jednotlivé kapitoly procházeli systematicky a důkladně, protože jednotlivé kapitoly na sebe navazují a bylo by neefektivní a bezúčelné přeskakování kapitol, či jejich povrchní procházení. Během studia se setkáte se zpětnovazebními prvky, tyto prvky slouží k prověření Vámi dosažených znalostí a dovedností. Berte je jako pomocníky, kteří Vám napovědí, zda jste danou problematiku pochopili či je třeba něco „dopilovat“. V následujících kapitolách průvodce se nejen seznámíte s obsahem modulu, ale také s jeho filosofií. Seznámím Vás s jeho základními ovládacími prvky a nejvhodnějším postupem studia. Naleznete zde rovněž kompletní seznam literatury a vysvětlení použitých grafických značek sloužících k rychlé orientaci v kurzu. Závěrem Vám přeji mnoho příjemných chvil strávených při studiu 2

tohoto kurzu. Přeji Vám ještě jednou hodně úspěchů při studiu.

Studijní opora je strukturována jako materiál určený prezenční

Studijní opora

i distanční formu vzdělávání. V pravé části textu jsou piktogramy, které slouží k usnadnění vaší orientace. Procházejte průvodce velmi pečlivě, systematicky, nepřeskakujte jednotlivé části, rychleji tak pochopíte strukturu a ovládání daného kurzu. Je třeba si uvědomit, že studijní opora nejsou skripta! Účelem studijní opory je poskytnout studentům základní informace, které jsou studenty doplněny informacemi z výuky, ale hlavně povinné literatury.

Tento modul neklade na studenta žádné požadavky na předchozí

Vstupní požadavky

znalosti či dovednosti.

3

VÝSTUPY Z UČENÍ Po prostudování textu a vypracování úkolů v rámci studijní opory Budete umět:

Budete umět

Orientovat se v problematice informační bezpečnosti ve firmě. Identifikovat a formalizovat požadavky na informační bezpečnost. Porozumět procesu informační bezpečnosti a významu jednotlivých dokumentů. Formulovat zásady bezpečnosti provozu počítavé sítě. Orientovat se v ochraně dokumentů pomocí kryptografie a jiných nástrojů, jako je například biometrie apod. Navrhnout použití základních technických prostředků k ochraně a obnově dat v daném informačním systému. Orientovat se v trestně právních aspektech počítačové kriminality. Získáte:

Získáte

Základní dovednosti a znalosti v oblasti informační bezpečnosti. Budete schopni:

Budete schopni

Porozumět a vypracovat dokumenty bezpečnostního informačního systému. Kontrolovat kvalitu zabezpečení informačního systému. Účinně konzultovat problémy zabezpečení informačního systému.

ČAS POTŘEBNÝ KE STUDIU 21 hodin studium textu 14 hodin práce na samostatných úkolech, z toho 7 hodin na samostatném souhrnném projektu.

4

PRŮVODCE STUDIJNÍ OPOROU Oporu si lze průběžně doplňovat na základě studia doporučené literatury a vlastních zkušeností a tak si vytvořit vlastní studijní materiál „šitý na míru pro sebe“

Postup při studiu

Vysvětlení základních pojmů informační bezpečnosti.

Co zde najdete

Zásady správy a organizace systému informační bezpečnosti. Popis etap procesu informační bezpečnosti včetně postupu jeho certifikování a auditu. Popis nástrojů a metod zabezpečení počítačové sítě. Popis nástrojů a technik ochrany a obnovy dat. Charakteristiku a právní aspekty počítačové kriminality. Úplnou kuchařku Informační bezpečnosti „snadno a rychle“

Co zde nenajdet e

Otázky k textu mají kontrolní funkci vzhledem k pochopení textu.

Otázky textu

Úkoly v textu mají za cíl procvičit na příkladu teoretické znalosti uvedené v textu.

Úkoly

5

1 INFORMACE A INFORMAČNÍ PROCES VÝSTUPY Z UČENÍ Po prostudování textu této kapitoly Budete umět:

Budete umět

Orientovat se v základních pojmech informatiky a vztazích mezi nimi. Získáte:

Získáte

Základní přehled problematice zpracování dat v rámci informačního procesu. Budete schopni:

Budete schopni

Orientovat se v základních souvislostech informačního procesu.

ČAS POTŘEBNÝ KE STUDIU 3 + 1 hodin (samostudium + řešení úloh)

KLÍČOVÁ SLOVA Data, informace, informační systém, informační proces

PRŮVODCE KAPITOLOU V rámci této kapitoly budete seznámeni se základním kontextem významu dat a informací v informačním systému.

1.1 Úvod do informační bezpečnosti S růstem využívání informačních a komunikačních technologií (dále jen ICT) vystupuje do popředí nutnost ochrany důležitých dat a informací před zneužitím, poruchami ICT, živelnými pohromami, kriminalitou, vandalismem, neoprávněným přístupem. Vzhledem 6

k turbulentnímu vývoji ekonomiky je proto nutné vychovávat a vzdělávat všechny zaměstnance organizací k odpovědnému přístupu a práci s daty a informacemi. Daný studijní text si klade za cíl objasnit základní principy a nástroje k dosažení cíle, kterým je získání a prohloubení vědomostí a znalostí studentů o problematice informační bezpečnosti. Informační bezpečnost vznikla jako praktická disciplína, zaměřená na ochranu dat v počítačových systémech. S rozvojem ICT vznikl nový fenomén trestné a protispolečenské činnosti jako počítačová kriminalita, softwarové pirátství, cracking, hacking, informační válka (využívá prostředky ICT k účinnému vedení ozbrojeného boje a získávání špionážních informací, kyberterorismus (odnož terorismu). Nemalé obtíže způsobuje také virové nebezpečí počítačových programů. Proces globalizace dnes sebou přináší nové poznatky a nároky na zabezpečení dat a informací. Hlavním důvodem zavádění bezpečnosti v organizaci je (Požár, 2005): vzájemné prorůstání a ovlivňování ekonomik prostřednictvím ICT, digitalizace světa, kdy jsou důležitá data uložena v informačních systémech (dále jen IS) a v případě výpadku IS je ohrožena akceschopnost organizací, způsoby a techniky přenosu dat, které jsou všeobecně známé ve formách přenosových a komunikačních standardů, a proto tato data mohou být útočníky ohrožena. Informační bezpečnost je rychle se rozvíjející disciplína. Vznikají stále nové programy jak v oblasti ochrany dat a informací, tak programy, které vytváří různí útočníci (hackeři, teroristé aj.). Všechny počítačové firmy, státní organizace i soukromé podniky musí budovat a neustále inovovat svou informační bezpečnost. Nejvíce ohroženou oblastí úniku a ztrát dat a informací jsou užívané ICT a zaměstnanci organizace. V oblasti informační bezpečnosti vznikla celá řada firem i státních organizací, které se zabývají různými aspekty zabezpečeni svých aktiv, od vývoje antivirového software přes technické zabezpečení jednotlivých počítačů, databází, sítí, včetně vzdělávání a školení zaměstnanců. Obdobně téměř všechny státní, veřejné i soukromé vysoké školy vzdělávají své studenty v problematice informační bezpečnosti.

7

Fyzickou bezpečností se profesně zabývají soukromé bezpečnostní agentury, zaměřené zejména na strážní službu a ochranu majetku a osob. Mimo fyzické bezpečnosti zajišťují také i vypracování bezpečnostní politik organizace, bezpečnosti na úseku informačních systémů včetně využití ICT technologií.

1.2 Informace v informačním procesu Informace dnes řadíme vedle materiálních, energetických a finančních zdrojů k hlavním faktorům, které podmiňují rozvoj ve všech oborech lidské činnosti. Organizace práce s daty a informacemi zkvalitňuje a zrychluje nasazení moderních ICT. Informačními technologiemi rozumíme postupy, algoritmy a metody, jimiž lze v návaznosti na technickou strukturu efektivně a kvalitně provádět operace s velkými objemy dat. Narušení informačního procesu, vydávání nebo získávání nesprávných informací, poruchy přenosu dat vedou obvykle k nepřesné či chybné funkci manažerské činnosti. Manažerská činnost funguje v podmínkách: neustále se měnícího prostředí, zvyšování množství a různorodosti informací, které mají zpravidla významný vliv na výsledek a úspěch organizace, konkurence, kdy nemusí být vše zcela korektní či legální, využití ICT při trestné činnosti (počítačová kriminalita, používání šifrovaných e-mailových zpráv, utajené telefonování, informační válka, kyberterorismus, apod.). Při výše popsaných podmínkách nemůže existovat dlouhodobý soulad mezi stávajícími informacemi a informacemi vznikajícími ve vnějším prostředí. Pracovník organizace nemůže okamžitě znát všechny okolnosti a podmínky pro dobré rozhodnutí. Dříve než se rozhodne, se snaží získat co nejvíc relevantních informací, na základě kterých se pak rozhoduje, proto musí získávat neustále nové informace. Bez důležitých a relevantních informací nelze: efektivně řídit jakoukoliv činnost, 8

zajistit racionální fungování a úspěšný rozvoj organizace, dosáhnout vytýčených cílů. Nedostatek relevantních informací obvykle vede: k subjektivním a v důsledku toho k čistě intuitivním a nepodloženým rozhodnutím, ke způsobům chování neslučitelným s racionální činností manažera. Informace patří k nejobecnějším kategoriím současné vědy, řadí se mezí takové pojmy, jako hmota, vědomí, myšlení, poznání, pohyb, čas. Pojmy data a informace se v praxi často zaměňují nebo slučují. Data jsou většinou chápána jako statická fakta, časově nezávislá. Informace odrážejí stav reality v určitém okamžiku, a proto je nelze měnit. Lze pouze získávat nová data o realitě v jiném časovém okamžiku. Smyslem zpracování dat je vytvoření informace. Informace je význam přisouzený datům. Rozlišujeme tyto výklady informace: ve všeobecném významu sdělení, zprávy, působení na společnost či na jednotlivce (hromadné sdělovací prostředky v širším slova smyslu, tj. rozhlas, tisk, TV, reklama aj.), v obecném kybernetickém významu „řízení a sdělování v živých organismech a strojích", včetně ekonomických systémů. Pro běžného uživatele informací platí, že informace je zpráva o tom, že nastal určitý jev z množiny možných jevů a tak se u příjemce snižuje neznalost o tomto jevu. Právníci musí respektovat vyhlášené normy, kdy je nutné přesnější vymezení pojmu informace pro účely konkrétní zákonné normy. Jednotlivá paragrafová znění jsou následující: Zákon č. 101/2000 Sb., o ochraně osobních údajů, je v § 4 uvádí: „Informace, které se vztahují k určité osobě, jsou osobními údaji." 9

Zákon č. 106/1999 Sb. § 3, odst. 3 o svobodném přístupu k informacím říká: „Zveřejněnou informací pro účel tohoto zákona je taková informace, která může být vždy znovu vyhledána a získána, zejména vydaná tiskem nebo na jiném nosiči dat umožňujícím zápis a uchovám informace, vystavená na úřední desce, s možností dálkového přístupu nebo umístěna ve veřejné knihovně." Zákon č. 148/1998 Sb. § 3 o ochraně utajovaných skutečností uvádí: „Utajovaná skutečnost je taková skutečnost, se kterou by neoprávněné nakládání mohlo způsobit újmu zájmům České republiky nebo zájmům, k jejichž ochraně se Česká republika zavázala, nebo by mohlo být pro tyto zájmy nevýhodné, a která je uvedena v seznamu utajovaných skutečnosti." Obchodní zákoník č. 513/1991 Sb. § 17 je vymezuje obchodní tajemství: „Předmětem práv náležejících k podniku je i obchodní tajemství. Obchodní tajemství tvoří veškeré skutečnosti obchodní, výrobní či technické povahy související s podnikem, které mají skutečnou nebo alespoň potenciální materiální čí nemateriální hodnotu, nejsou v příslušných odborných kruzích běžně dostupné, mají být podle vůle podnikatele utajeny a podnikatel odpovídajícím způsobem jejich utajení zajišťuje." Informací je sdělení, z něhož se dojídáme a získáme něco nového, co jsme dosud neslyšeli, nevěděli, neznali. Informace je ve své podstatě nehmotná, ale musí být vždy uložena na nějakém hmotném nosiči. Informace je rovněž zbožím, má jistou cenu, hodnotu. Důležitá je vnitřní hodnota zprávy, její novota pro příjemce. Proto je tedy cennější takové sdělení, které přináší manažerovi, spolupracovníkovi něco nového, co dosud nevěděl a co může užít ve své činnosti.

1.3 Informace a data Údaje, data jsou fakta, čísla, události, grafy, mapy, transakce atd., které byly zaznamenány. Údaje nebo také data jsou fakta získaná čtením, pozorováním, výpočtem, měřením, vážením, kreslením atd. 10

užitečné pro příjemce tak, Informace jsou údaje, které byly zpracovány do podoby užitečné aby vytvořily ily informaci. Avšak samotný proces zpracováni dat, údajů údaj ještě nevytváří informaci. Data, údaje chápeme jako: vyjádření ení faktů a poznatků ve formě,, vhodné pro další zpracování, vyjádření ení skutečností skute a myšlenek v předepsané edepsané podobě tak, aby je bylo možné přenášet enášet a zpracovávat, objektivní, sledovatelné vyjádření vyjád skutečností nebo znalostí na nějakém médiu tak, že je lze předávat. p Data jsou vhodným způsobem zp vyjádřené ené zprávy, které vypovídají o realitě a jsou srozumitelné pro příjemce, íjemce, jímž může m však být nejen člověk, k, ale i technický prostředek. prost Data jako každý jiný produkt lidské činnosti č určený opětt lidem, mají svou hodnotu, která je dána: vynaloženými, náklady na jejich pořízení, po ízení, uchování a údržbu, cenou danou informačním informa obsahem, užitnou hodnotou. Každá informace je tedy údajem, datem, ale jakákoli uložená data se nemusejí stát nutně informací. Informací se totiž stanou teprve v okamžiku, kdy příjemci př informace přinesou něco co nového. Tuto skutečnost skute lze schematicky vyjádřit it vztahem množiny a podmnožiny (viz. obr. č. 1).

INFORMACE

DATA

1 Obrázek 1 - Vztah obsahu dat a informace. inf

1

Zdroj: Požár, 2005

11

Způsob stanovení ceny dat zahrnuje hlediska jako aktuálnost informace, pravdivost, přesnost, hospodárnost apod. Informace má svou omezenou dobu „života", protože stárnou a stávají se tak nadbytečnými. Kriminalista, technik i operativní pracovník sbírají údaje, data z místa trestného činu a přitom se tyto údaje, tato data mohou, ale nemusí v budoucnu stát informacemi, které budou relevantní pro úspěšnou vyšetřovací činnost.

1.4 Informační systém Soubory různým způsobem účelově uspořádaných dat bývají obvykle označovány jako databáze či datové zdroje. Pro usnadnění jejich využívání jsou dnes k dispozici informační systémy. Informační systém je soubor lidí (zdrojů, zpracovatelů, uživatelů), technických prostředků a metod, zabezpečujících sběr, přenos, uchování a zpracování dat za účelem tvorby a prezentace informací pro potřeby uživatelů. U informačního systému, stejně jako u jakéhokoli jiného systému, rozlišujeme dvě základní vlastnosti: strukturu systému, chování (fungování) systému. Strukturou systému rozumíme jednak účelový způsob uspořádání a organizaci jednotlivých prvků systému, jednak uspořádání vazeb mezi těmito prvky. Nejedná se tedy jen o jakýkoli libovolný, neuspořádaný souhrn prvků, ale o účelově přesné vymezení místa každého prvku, zejména o jeho funkční vztahy k prvkům ostatním. Např. vztah nadřízenosti či podřízenosti, ale i vztahy osobní, organizační pravidla, právní normy aj. Chováním systému rozumíme závislost mezi podněty na vstupu a reakcemi systému na jeho výstupu. Zdrojem podnětů na systémy může být i systém sám. Pak se jedná o podněty vnitřní. Ve své podstatě systém z hlediska svého chování vůči okolí můžeme charakterizovat v několika vrstvách projevů k okolí, kterými jsou (viz. obr. č. 2): 12

Existenční ní vrstva, ve které se projevuje vnitřní ní chování systému. Akční okolí, do kterého zasahuje systém svými akčními ak členy (energetickými, hmotnými aj.). Kontaktní, ve kterém je možné ještě ješt zaznamenat fyzickou nebo energetickou složku přítomnosti ítomnosti daného systému. systému Informační ní okolí, poskytující kytující informace i v oblasti informací na dálku, zprostředkovaně edkovaně.

SYSTÉM EXISTENČNÍ VRSTVA KONTAKTNÍ VRSTA AKČNÍ VRSTVA INFORMAČNÍ VRSTVA

Obrázek 2 - Vrstvy okolí systému.. 2

1.5 Informační ní proces Informačním ním procesem rozumíme opakované provádění provád ní pracovních činností s informacemi. Informační ní proces je uzavřený ený cyklus, kterým informace prochází od svého vzniku až ke svému užití. Informační Informa proces je podporován vhodným informačním informa systémem, jako je sled operací s daty a informacemi. Informační Informa ní proces obsahuje tyto základní činnosti: sběrr informací, přenos enos informací od zdroje k místu zpracování a jejich soustřeďování, soust registraci (evidování) na místě míst zpracování, ukládání informací pro jejich budoucí využití,

2

Zdroj: Požár, 2005

13

zpracovávání informací, zahrnující nejen třídění a posuzování kvality vlastností, ale i vyhledávání doplňkových informací a jejich výběr, analýzu a syntézu, vytváření kvalitativně nových informací, využívání informací, což je naplněním vlastního cíle práce s informacemi.

1.5.1 Sběr informací Informace získáváme měřením, pozorováním, čtením, odposlechem, studiem apod. Existuje mnoho druhů členění informací, jako hlavní druhy informací lze uvést: Odborné informace, tj. informace výrobní a technologické, apod. Informace právní, tj. ustanovení ze zákonů, vyhlášek či předpisů, včetně jejich výkladu, které jsou přístupné všem zaměstnancům. Informace ekonomické, tj. o ekonomickém stavu firmy. Informace o okolním prostředí, které lze získat např. studiem odborných časopisů, účastí na odborných setkáních. Informace ze zahraničí. Informace všeobecné, kdy by měli všichni zaměstnanci mít vědomost o všeobecném dění ve světě. Informace organizačně technické, jedná se o interní informace týkající se záměrů a koncepcí organizačního rozvoje, apod. Informace personální, jedná o informace z oblasti personální politiky. Informace o IS organizace, které jsou většinou dosti citlivé, např. o závislosti organizace na jejím informačním systému, jeho silných a slabých stránkách apod.

14

Informace specifické, které je nutné chránit podle zákona, tj. informace tvořící státní tajemství, osobní a zdravotní informace, vojenské, kriminalistické apod.

1.5.2 Přenos informací Zajišťuje předávání informací mezi prvky uvnitř informačního systému nebo mezi systémy navzájem a jejich zabezpečení po přenosových kanálech viz obrázek č. 3.

ZDROJ

KODÉR

PŘENOSOVÝ KANÁL

DEKODÉR

PŘÍJEMCE

Zpětná vazba

Obrázek 3 - Schéma přenosu informace.

Kodér a dekodér jsou zařízení, která umožňující přeměnu informace do podoby schopné přenosu dat buď prostřednictvím technických sdělovacích zařízení, nebo jinou cestou (přímý ústní rozhovor dvou osob, přeprava dat na DVD apod.). Na zdroj informace, jejího příjemce i přenosovou cestu působí rušivé vlivy, které se odborně nazývají šum, které zkreslují význam a snižují hodnotu informace. Příjemce pak neobdrží informací v původní podobě. Rozlišujeme šum: Technický, jehož příčinou jsou technické podmínky přenosové cesty, eventuálně technické prostředky (kodéru, dekodéru). Například nedostatečně srozumitelný telefonický rozhovor. Sémantický, kdy je příčinou zdroj či příjemce v podobě člověka, který podceňuje či přeceňuje, eventuálně komolí, a to i záměrně, vyslání informace nebo její přijetí. Rušivé vlivy se projevují jako: 15

Zkreslení informace, které může být: Záměrné, kdy je příjemce špatně nebo neúplně informován. Živelné, které vznikne vlivem poruch technického rázu na sdělovacím prostředku. Utajení, zamlčení, nepropuštění informace, kdy je informace záměrně nevyslána nebo zašifrována tak, že ji příjemce nerozluští nebo jí neporozumí, případně se k němu vůbec nedostane. Odvedení informace, rozptýlení informačního toku, kdy se informace nedostane k příjemci, protože existuje v IS chaos, nepořádek nebo je IS chybně navržen.

1.5.3 Registrace, evidence a ukládání informací Registrace informací je činnost, zajišťující vytváření spisového či administrativního pořádku. Evidence přijímaných a odesílaných informací ovlivňuje vlastní pořádek v informačním systému, tedy jeho kvalitu. Uložení (archivace) informací v IS ovlivňuje rychlost a kvalitu pozdějšího vyhledávání informací. Tuto oblast nyní pokrývají speciální programové a technické nástroje jako např. Workflow systémy, Content Management system).

1.5.4 Zpracování a využívání informací Zpracovávání informace je vysloveně účelové, a proto musí naplňovat určitý cíl. Informace jsou velmi často analyzovány za účelem získání objektivní obrazu o stavu sledované činnosti, možných záměrech, odhadu úspěchu či výskytu možných rizik apod. Manažer si většinou informace zpracovává a využívá sám, případně informace zpracoval jiný odborník nebo speciální firma a výsledek je pak předán příslušnému uživateli. 16

Poskytování služeb státních organizací stále více závisí na způsobu zpracování informací a ICT. Podle některých odborných zdrojů se až 80 % všech řídících a odborných informací zpracovává přímo v IS organizace. Výpadek IS pak může vést k ochromení až zastavení chodu organizace. Kromě textových dokumentů se stále více přenášejí i obrazové a multimediální informace, jež lze rovněž uchovávat, snímat a jinak s nimi manipulovat. Týká se to jak ručně psaných dokumentů, tak fotografií, podpisů, zvukových záznamů apod. Elektronická výměna dokumentů (elektronická pošta) stále více nahrazuje klasickou výměnu papírových dokumentů. Zkracují se tak lhůty přenosu, snižuje chybovost v komunikaci i náklady na administrativu. Rozmáhá se využití bezhotovostních elektronických plateb a jiných finančních či obchodních transakcí.

SHRNUTÍ

Shrnutí V rámci této kapitoly byl čtenář seznámen se základním kontextem významu dat a informací v informačním systému.

17

KONTROLNÍ OTÁZKY

Kontrolní otázky

1. Jaké jsou hlavní důvody zavádění bezpečnosti ve firmách? 2. K čemu vede nedostatek relevantních informací? 3. Definuje rozdíl mezi daty a informacemi 4. Charakterizujte (definujte) pojem informační systém. 5. Popište jednotlivé základní činnosti informačního procesu.

DALŠÍ ZDROJE

Použitá literatura

Monografie

[1] DOUCEK, P., NOVÁK, L., SVATÁ, V. Řízení bezpečnosti informací. 1. vyd. Praha: Profesional Publishing, 2008. 239. s. ISBN 978-880-8694-688-7. [2] POŽÁR, J. Informační bezpečnost. Plzeň: Vydavatelství a nakladatelství Aleš Češek, 2005. 311 s. ISBN 80-86898-38-5

18

2 ZÁKLADNÍ POJMY INFORMAČNÍ BEZPEČNOSTI VÝSTUPY Z UČENÍ Po prostudování textu této kapitoly Budete umět:

Budete umět

Orientovat se v základních pojmech informační bezpečnosti Identifikovat a popsat rizika a hrozby daného informačního systému Získáte:

Získáte

Základní přehled o základních pojmech informační bezpečnosti, jako jsou rizika hrozby, hodnocení škod, bezpečnostní incidenty, typy úniků dat. Budete schopni:

Budete schopni

Identifikovat základní rizika hrozby daného informačního systému. Ohodnotit vzniklé škody bezpečnostních incidentů a úniků dat. ČAS POTŘEBNÝ KE STUDIU 3 + 1 hodin (samostudium + řešení úloh)

KLÍČOVÁ SLOVA Bezpečnostní riziko, hrozba, incident, únik dat.

PRŮVODCE KAPITOLOU V rámci této kapitoly budete seznámeni se základními pojmy informační bezpečnosti.

2.1 Základní pojmy Pro správné pochopení problematiky informační bezpečnosti je nutné vysvětlit alespoň některé základní a nejdůležitější pojmy, mezi které patří: 19

Autentizace je proces, kterým se poskytuje záruka identity subjektu nebo objektu. Např. ujištění, že konkrétní uživatel je skutečně ten, za kterého se prohlašuje, resp. schopnost zjistit, kdo vydal daný příkaz nebo požadavek. Nejjednodušší autentizace je pomocí hesla. Aktivum (Asset), představuje všechny hmotné i nehmotné statky, které mají pro majitele IS hodnotu (peníze, majetek a především data a informace, jejichž zneužití, ztráta nebo modifikace by organizaci nebo osobě způsobit určitou škodu). Autorizace, tj. určení, zda subjekt, tedy uživatel nebo systém je důvěryhodný z hlediska určité činnosti, např. čtení daného souboru. Posuzuje oprávněnost osob pro kontakt s informacemi v IS. Bezpečnost (Security), tj. vlastnost určitého objektu anebo subjektu (informačního systému či technologie), která určuje stupeň jeho ochrany proti možným škodám a hrozbám. Citlivost informace (sensibilita), která se posuzuje důvěrností, důležitostí a cenou informace pro uživatele. Důvěrnost,

představující

omezení

přístupu

k

informacím

pouze

tzv. autorizovaným uživatelům. Hrozba (Threat) je skutečnost, událost, síla nebo osoby, jejichž působení (činnost) může způsobit poškození, zničení, ztrátu důvěry nebo hodnoty aktiva. Hrozba může ohrozit bezpečnost (např. přírodní katastrofa, hacker, zaměstnanec aj.). Informační systém (IS) je soubor prvků, které jsou spojeny vzájemnými vztahy a vazbami. Prvky IS tvoří místa transformace dat a informací (hardware, lidé, programy apod.). Vazby jsou tvořeny především spojovaní kanály. Integrita neboli neporušitelnost znamená, že upravovat data mohou pouze autorizovaní uživatelé. 20

Ocenění rizik (Risk Assessment) vyhodnocuje hrozby, které působí na IS s cílem definovat úroveň rizika, kterému je systém vystaven. Cílem je zjištění, jsou-li bezpečnostní opatření dostatečná, aby se snížila pravděpodobnost vzniku škody na přijatelnou úroveň. Riziko (Risk) je pravděpodobnost zničení nebo poškození aktiva působením konkrétní hrozby, která působí na slabou stránku této hodnoty. Představuje míru ohrožení konkrétního aktiva. Útok nebo-li bezpečnostní incident představuje buďto úmyslné využití zranitelného místa ke způsobení škod (ztrát) na aktivech IS, nebo neúmyslné uskutečnění akce, jejímž výsledkem je škoda na aktivech. Zranitelnost (Vulnerability) je nedostatek nebo slabina bezpečnostního systému, která může být zneužita hrozbou tak, že dojde k poškození nebo zničení hodnoty aktiv. Každé aktivum je zranitelné, protože jeho hodnotu ohrožují různé vlivy. Zranitelné místo představuje slabinu IS využitelnou ke způsobení škod nebo ztrát útokem na IS. Např. nedostatečná antivirová ochrana. V souvislosti s termínem bezpečnost organizace a její ICT, je nutné se zmínit ještě o dvou pojmech: Bezpečnost organizace nebo firmy. Informační bezpečnost. Vzájemné vztahy jednotlivých kategorií bezpečnosti z hlediska nadřízenosti a podřízenosti jsou znázorněny na obrázku č. 4.

21

Bezpečnost ICT Informační bezpečnost Bezpečnost organizace

Obrázek 4 - Vztah úrovní bezpečnosti ve firmě.

Bezpečnost organizace nebo firmy je nejvyšší kategorií bezpečnosti. Její součástí je zajištění bezpečnosti objektů, majetku organizace jako ostraha přístupů apod. Některé její činnosti napomáhají zároveň i k zajištění bezpečnosti IS/ICT jako např. kontrola oprávnění fyzického přístupu do budov. Informační bezpečnost je součástí bezpečnosti organizace (kromě jiných). Cílem a úkolem řízení informační bezpečnosti je shrnout v sobě zásady bezpečné práce s informacemi všeho druhu a všech typů. Informační bezpečnost zahrnuje navíc proti bezpečnosti IS/ICT i způsob zpracování uložení a správy archivu nedigitálních dat, zásady skartace materiálů, nakládání s informacemi během jejích transportu na jiná místa, zásady pro poskytování informací novinářům, zásady pro veřejná vystupování pracovníků organizace apod. Bezpečnost IS/ICT má za úkol chránit pouze ta aktiva, která jsou součástí IS organizace podporovaného ICT. Proto je bezpečnost IS/ICT relativně nejužší a komplikovanou oblastí řízení bezpečnosti, protože pracuje s „neviditelnými" daty, informacemi a službami.

2.2 Bezpečnostní hrozby a rizika Existence zranitelných míst v IS představuje pro IS hrozby. Pojmem hrozba se označuje jakákoliv okolnost či událost působící na zranitelné místo aktiva, která může způsobit potenciální škodu na aktivu.

22

Hrozby lze dělit na: Objektivní přírodní, fyzické jako např. požár, povodeň, výpadek napětí, poruchy apod., u kterých je prevence obtížná a u kterých je třeba řešit spíše minimalizaci dopadů vhodným plánem obnovy. V tomto případě je třeba vypracovat tzv. havarijní plán, fyzikální např. elektromagnetické vyzařování, technické nebo logické, porucha paměti, softwarová „zadní vrátka", krádež, resp. zničení paměťového média, nebo nedokonalé zrušení informace na něm. Subjektivní, tj. hrozby plynoucí z lidského faktoru, které jsou: neúmyslné např. působení nevyškoleného uživatele či správce IS, úmyslné, které je představováno potenciální existencí vnějších útočníků, např. špióni, teroristé, konkurenti, hackeři, ale i vnitřních útočníků. Odhaduje se, že 80 % útoků na ICT je vedeno zevnitř organizace, útočníkem, kterým může být propuštěný, rozzlobený, vydíraný, chamtivý zaměstnanec). Základní schéma zajištění bezpečnosti IS/ICT je uvedeno na obrázku č. 5., který znázorňuje vztahy mezi aktivy organizace, hrozbami, možnou zranitelností aktiv reálnými hrozbami, dopady reálných hrozeb na tato aktiva a možnostmi ochrany aktiv organizace formou protiopatření.

23

Obrázek 5 - Schéma zajištění bezpečnosti IS/IT- aktiva a hrozby.

Při zavádění a provozu IS v organizaci je nutné vyjádřit riziko narušení činnosti organizace a jejího IS pomocí rizikového faktoru. Pojmem riziko chápeme pravděpodobnost, že nastane určitá událost. Hrozba je skutečnost možného ohrožení, kdy se zatím nic nestalo, ale stát se může. Až tato událost nastane, pak hovoříme o bezpečnostním incidentu. Riziko se zjišťuje pomocí analýzy rizik. Spočívá v identifikaci a definici potencionálních hrozeb a v určení pravděpodobnosti, že určitá hrozba bude prostřednictvím nějakých slabin uskutečněna. Výsledkem je souhrn doporučených protiopatření k snížení rizika na minimum. Nepodchycené riziko, které přijímáme, se nazývá zbytkové riziko, které se nevyplatí odstínit, protože může způsobit jen velmi malou škodu nebo se vyskytuje v dostatečně dlouhých intervalech. Ochrana proti riziku je otázkou nákladů, čím vyšší míra zabezpečení, tím jsou vyšší náklady. Při návrhu vhodných protiopatření je třeba stanovit, zda náklady na protiopatření na ochranu aktiv nejsou vyšší než rizika. Bavíme-li se o ochraně informací, pak svou roli hraje právě jejich cena. Nejrozumnější je dosáhnout takové úrovně zabezpečení, kde se vynaložené náklady vyrovnají případné ztrátě při události, protože součet obou položek je zde menší.

24

Obrázek 6 - Průběh nákladů a přínosů protiopatření.

Informační bezpečnost informačního systému lze posuzovat následující hledisek a to podle: úrovně fyzické a technické spolehlivosti prostředí, v němž funguje IS, stavu technické spolehlivosti prvků IS, náhodného působení přírodních sil v daném prostoru dislokace objektu s IS (působení vyšší moci), neúmyslného působení lidského faktoru, úmyslné škodlivé činností osob, a to z vnějšku i zevnitř. V současnosti mohou hrozby přicházet především z Internetu. Jsou to zejména tyto rizika: Hackeři, kteří způsobují jen 15-20% prokázaných útoků na Internetu, Snadná možnost odposlechu, tj. napíchnutí (wiretapping) na přenos a zneužití obsahu zprávy. Falšování identity, adresy odesilatele, vydává se za někoho jiného. Neautorizované programy a možnost jejich modifikace, tzv. cracking. 25

Distribuce virů a červů. Odmítnutí služby např. zahlcení elektronickou poštou, kdy je zahlcena služba či disková kapacita. Dynamická změna hrozeb. Hoaxy a spamy. Spyware aj.

2.3 Bezpečnostní incidenty a jejich prevence Poškození či ztráta datových souborů, delší vyřazení systému z provozu, rozšíření počítačových virů v síti nebo průnik do IS je třeba považovat za bezpečnostní incident. Po zjištění bezpečnostního incidentu je třeba vyšetřit jeho příčinu, podrobně analyzovat situaci s cílem zjištění zdrojů infiltrace a uvedení informačního systému do důvěryhodného stavu. Současně s odstraněním důsledků je třeba uskutečnit i opatření zamezující možností opakování tohoto jevu. Bezpečnostní incidenty mohou být buď způsobené uživatelem, případně jinak provozem IS, viz. obr. č. 7.

Obrázek 7 - Bezpečnostní incidenty.

26

Management firem se vždy snaží maximálně omezit vznik bezpečnostního incidentu nebo výskyt informačního rizika. Nejlepší prevencí je, aby incident vůbec nevznikl. K tomu mohou vést tři způsoby: minimalizace pravděpodobnosti vzniku kalamitní situace komplexním preventivním působením, minimalizace škod v případě, že kalamitní situace již nastala a to zabráněním dalšího šíření, omezením rozsahu škod, návrhem a užitím vhodné metody obnovy po odeznění kalamitní situace. Bez pochopení příčinných souvislostí, nelze úspěšně koncipovat a promýšlet efektivní bezpečnost informací. Cílem prevence je předejít vzniku příčin a podmínek zločinnosti, kriminality. Objektem prevence jsou zejména vlastní informace jako duševní vlastnictví, tedy vlastnictví nehmotných statků, informační procesy, informační systémy a to jak celek, tak i jejich části, nosiče i nositelé, informační vazby a výsledky informační činnosti. Z hlediska rozsahu působení prevence z prostorového, časového a personálního hlediska je možné dělit prevenci na: Obecnou, kdy opatření působí celkově na všechny objekty a subjekty užívání a zpracování informace. Jedná se např. o právní vzdělávání, výchovu k vysoké profesionalitě, výchovu k solidaritě s oborem činnosti a podniky, výchovu k bdělosti, správná personální práce apod. Zvláštní či individuální opatření, kdy je třeba věnovat pozornost vybraným jevům a procesům v oblasti organizace, řízení, technických procesů, přenosovým kanálům, konfliktním jedincům apod. Situační prevencí se rozumí realizace rychlých operativních opatření, která vyplynou ze situace s cílem zabránit, odvrátit a překazit vznik dalších škod nebo zmírnit následky působení některých příčin a podmínek. Subjekty prevence jsou nositelé i příjemci informací jako organizátoři, manažeři, pracovníci v této oblasti, ale také speciální orgány a organizace zaměřující se na informační bezpečnost. 27

2.4 Hodnocení škod Pokud jsou v podniku nebo organizaci realizovány hrozby, pak mohou vznikat následující druhy škod: přímé ztráty, kdy se jedná o vyzrazení obchodních záměrů, výsledku výzkumu či možnosti uplatnění výsledku, důsledky nelegálních finančních transakcí, zvýšené náklady na obnovení ztracených informací či obnovení výroby. Tedy škody nejen v materiální, ale i v duchovní podobě. nepřímé ztráty, týkající se ztráty dobrého jména podniku, kdy nebyly dodrženy dohodnuté podmínky a tím finanční ztráty aj. V rámci ochrany IS je třeba dbát na bezpečnost nejen dat, ale i programů, které ovlivňují zpracování dat, řízení výroby či celého podniku. Proto je třeba věnovat pozornost bezpečnosti veškerého vlastnictví již v období projektování IS a samozřejmě v době jeho běžného užívání. Je pravdou, že všechna ochranná opatření poněkud ztěžují činnost provozovatelů a zvyšují náklady, které by měly být úměrné škodám, které by mohly vzniknout. Obecně se považuje za rozumné věnovat 10-20 % celkových nákladů na IS k zabezpečení jeho ochrany. Problémem je ovšem stanovení hodnoty a ceny informací a dat uložených nebo obíhajících v IS. Fyzická a softwarová aktiva se nejčastěji hodnotí podle jejich ceny, přesněji řečeno nákladů na jejich nahrazení v případě poškození nebo zničení.

2.5 Úniky dat a informací – lidský faktor Hodnocení úniků nebo zneužití informací ukazuje, že nejslabším článkem v celém systému ochrany je lidský faktor, tzn., že nejrizikovějším faktorem úniku informací jsou vlastní, interní zaměstnanci organizace. Odhaduje se, že až 80 % případů porušení ochrany informací je způsobeno interními zaměstnanci. V případě jejich nespokojenosti, zloby nebo pomstychtivosti, se riziko ještě zvyšuje. Riziko rovněž narůstá s koncentrováním pravomocí zaměstnanců. Ve většině případů je správce IS současně bezpečnostním manažerem. Jiným

28

rizikovým faktorem jsou bývalí zaměstnanci, jejichž funkce souvisela s provozem informačního systému. Nelze konečně ani vyloučit postup, kdy organizace současně najme zaměstnance, který pracuje u konkurenční organizace a přiměje jej, aby pravidelně poskytoval citlivé informace od konkurence. Taková korupce jde často ruku v ruce s vydíráním. Velmi jednoduchá je přímá krádež tajemství, kdy je snadné vloupat se do kanceláří, laboratoří či dílen v noci, kdy jsou místnosti prázdné. Ovšem to je možné také ve dne, před očima zaměstnanců. Souběžně s tím přispívá určitě k velkým úspěchům průmyslové špionáže rozsáhlá škála speciálních metod a technických prostředků jako odposlouchávacích, fotografických, snímacích přístrojů od velmi jednoduchých konstrukcí až po profesionální velmi, nákladná zařízení. Konkurenční společnosti mohou také sdílet informace shromážděné „třetí stranou". Proto je nutno vedle ochrany vlastních zaměstnanců, střežit případné „špióny", odhalovat je nějakým způsobem v jejich působišti, zabránit jim v činnosti a dohnat je k tomu, aby se dopustili nějakého činu, který bude mít za následek policejní zásah a zadržení.

2.6 Úniky dat a informací – ostatní zdroje úniku Jinými zdroji úniku informací mohou být i tiskové výstupy, které obsahují informace přístupné bez dalších technických prostředků. Praxe bývá taková, že použité výstupní, podkladové dokumenty často slouží pro psaní dalších poznámek a to nejen vlastním zaměstnancům, ale často i jejich rodinám. Použité záznamy na papíře nejsou zničeny (skartovány) a jsou přitom odkládány do odpadkových košů, které pak jsou bez skartace vyhazovány do kontejnerů. Pak stačí použít kriminalistické metody ohledání těchto objektů a nalézt citlivé informace. Rovněž ochrana disket, CD, DVD a jiných médií, které obsahují cenné informace, je značně podceňována. A to nejen z hlediska důvěrnosti nebo integrity, ale i z hlediska dostupnosti. Často je záložní, magnetické médium zničitelné, a tudíž i nepoužitelné, nebo je uloženo na nevhodném místě, takže naopak dojde k jeho zničení či zneužití. Proto se vadné disky nikdy nesmí vyhazovat do odpadu. Tyto nosiče musí být odpovědně prozkoumány a poté mechanicky zničeny. 29

2.7 Úniky dat z IS Problém nedovoleného, tedy nelegálního získávání informací se dostal až k naplňování ustanovení trestního zákona, tedy k páchání trestné činnosti tak, že mluvíme již speciálně o počítačové kriminalitě. Do této oblasti na příklad patří: Napadání

technického

nebo

programového

vybavení,

dat

nebo

komunikačních zařízení, tj. nejen fyzické odcizení nebo poškození technického prostředku, ale zejména na něm uloženého programu, dat a informací. Sem lze zahrnout i tzv. logické bomby, aktivující se za určitých podmínek, viry, dálková správa počítače apod. Neoprávněné užívání počítače či komunikačního zařízení, tj. zneužívání cizího počítače nebo počítačové technologie kompetentní obsluhou, ale v neprospěch jejího majitele, zpracováváním zcela jiných úloh za úplatu pro jiného odběratele Neoprávněný, nelegální přístup k datům s cílem získat utajované informace. V tomto případě musíme odlišit profesionální počítačovou špionáž (vojenskou, hospodářskou, politickou apod.) od působení tzv. hackerů. Krádež

technických

prostředků,

tj.

počítače,

jeho

příslušenství,

programového vybavení, komunikačního zařízení i vlastních dat. Prostá krádež je jasná, motiv a cíl můžeme odhadnout a zjistit. Složitější je to s okopírováním programů nebo dat. Jedná se spíše o počítačové pirátství. Úmyslná změna v programech a datech, v technickém zařízení, vložení vírů, jiných programů, počítačová defraudace apod. Zneužití počítačových prostředků k páchání jiné trestné činnosti, tj. neoprávněná a úmyslná manipulace s daty, např. stavy ve skladu apod. Tento způsob je snadnější než úprava papírových dokladů.

30

Jiné podvody páchané v souvislosti s výpočetní technikou, kdy např. programátor vytvoří v rámci pracovního poměru v kolektivu program a po okopírování ho prodá pod vlastním jménem. Útočníky na informační systémy lze rozdělit do následujících kategorií: amatéři, kteří IS napadnou přes náhodně objevená zranitelná místa, hackeři, usilující prokázat své mimořádné schopnosti úmyslným prolomením ochrany systému, profesionální zločinci, kteří vedou útok v podstatě „neomezenými prostředky". Může jít o zájem cizí mocnosti (špionáž, zejména průmyslová nebo obchodní), silného konkurenčního organizace, teroristické organizace apod. Důsledkem útoků na informace a informační systém může být: částečné nebo úplné znehodnocení dat a informací, částečné nebo úplné pozměnění dat a tím i jejich modifikace, znehodnocení, krádež dat a citlivých informací organizace, zneužití neoprávněným použitím dat a informací, zneužití podsunutím falešné informace, dočasná nebo trvalá ztráta informace. Rozvoj a rozšiřování uplatnění výpočetní technologie, které vede k vytváření a užívání počítačových sítí, sebou přináší další důvod k ochraně informací. Osobní počítače jsou chápány čím dál více jako prostředky osobní komunikace. A to nejen uvnitř státu, ale i na mezinárodní úrovni. Zneužití pro zcela jiné účely, než studijní, vzdělávací nebo prostě jen komunikační je jistě přinejmenším hodně přitažlivé (nahrávání rozhovorů, využití jako spouštěče bomb).

31

SHRNUTÍ

Shrnutí V rámci této kapitoly byl čtenář seznámen se základními pojmy informační bezpečnosti.

KONTROLNÍ OTÁZKY

Kontrolní otázky 1. Jaký je vztah mezi bezpečností organizace, informační bezpečností a bezpečností ICT? 2. Jak lze rozdělit hrozby? 3. Co tvoří aktiva firmy? 4. Vysvětlete na grafu průběh závislosti nákladů a výnosů protiopatření. 5. Jaké druhy bezpečnostních incidentů mohou nastat? 6. Jaké druhy škod mohou nastat ve firmě při realizaci hrozeb?

DALŠÍ ZDROJE


Monografie

[1] DOUCEK, P., NOVÁK, L., SVATÁ, V. Řízení bezpečnosti informací. 1. vyd. Praha: Profesional Publishing, 2008. 239. s. ISBN 978-880-8694-688-7. [2] POŽÁR, J. Informační bezpečnost. Plzeň: Vydavatelství a nakladatelství Aleš Češek, 2005. 311 s. ISBN 80-86898-38-5

32

3

INFORMAČNÍ BEZPEČNOST

VÝSTUPY Z UČENÍ Po prostudování textu této kapitoly Budete umět:

Budete umět

Popsat strukturu bezpečnostní správy firmy. Charakterizovat pracovní náplně funkcí v systému informační bezpečnosti. Získáte:

Získáte

Základní přehled o bezpečnostní správě ve firmě Budete schopni:

Budete schopni

Rozlišit základní typy bezpečnostní správy. Popsat činnosti pracovníků v systému informační bezpečnosti. ČAS POTŘEBNÝ KE STUDIU 3 + 1 hodin (samostudium + řešení úloh)

KLÍČOVÁ SLOVA Bezpečnostní správa, informační bezpečnost, Fyzická bezpečnost, personální bezpečnost, manažer bezpečnosti, bezpečnostní správce.

PRŮVODCE KAPITOLOU V rámci této kapitoly budete seznámeni se základními principy bezpečnostní správy.

33

3.1 Bezpečnostní nostní správa organizace Správa informační ní bezpečnosti bezpe nosti (security management) je nezbytná pro řízení bezchybného provozu a rozvoje každé organizace. Její nedílnou součástí sou je i řešení bezpečnostních incidentů a havarijní plánování. Musí být prováděna provád na výhradně výhradn pracovníky organizace a koordinována se správou majetkové a osobní bezpečnosti. bezpe nosti. Zpravidla se realizuje za odborné konzultační ní a poradenské pomocí specializované firmy. Bezpečnost lze dělit lit podle působení p na tři oblasti: Informační ní bezpečnost bezpe (Information Security), představující edstavující bezpečnost bezpe IS a dat přii jejich zpracování. Má nejvyšší prioritu, protože nejcennější nejcenn pro útočníka jsou citlivé informace organizace. Majetková bezpečnost bezpe (Property Security), někdy kdy také nazývaná fyzická bezpečnost. nost. Majetek Ma a finance jsou pro útočníka přednější jší než útok na personál organizace. Personální bezpečnost bezpe (Personal Security), kde se útočník čník zajímá o osoby a jejich charakteristiky (vlastnosti, znalosti a dovednosti), které je možno využívat.

Bezpečnostní správa organizace

Informační bezpečnost

Fyzická bezpečnost

Personální bezpečnost

Obrázek 8 - Bezpečnostní nostní správa organizace organizace.

Profil a poslání organizace by měl m předurčovat ovat druh správy informační informa bezpečnosti. Tu lze praktikovat jako interní nebo externí. 34

Interní správa informační bezpečnosti je nezbytná pro organizace společensky důležité a pro instituce státní správy, jako jsou ministerstva, pro velké organizace se složitou strukturou nebo plošnou dislokací, průmyslové podniky nebo obchodní společnosti, které zpracovávají citlivé informace značné hodnoty. Externí správa informační bezpečnosti je vhodná pro ostatní, zejména menší organizace, u kterých by interní správa nebyla přijatelná z ekonomického nebo personálního hlediska. Informační bezpečnost je tak chápána jako součást celkové bezpečnosti podniku s jednotným řízením a koordinací. Bezpečnost dat, informací a IS v organizaci je preventivního charakteru, nepřináší okamžitý zisk a užitek, ale naopak vyžaduje jisté náklady. A to zatím odporuje představám současného managementu o rozvoji firmy vzhledem k jejím ekonomickým možnostem. Manažeři a další odpovědní pracovníci předpokládají, že se jich problém ztráty informací nedotýká, a proto z toho důvodu také nemají jasnou představu o tom, jak by takovou ochranu měli realizovat. Termín bezpečnostní management je postupně uplatňován i v manažerské praxi řízení organizací. Proto musí mít bezpečnostní management i patřičné postavení v organizační struktuře organizace. Tedy musí být především zajištěno: odpovídající postavení v organizační struktuře organizace a přesně stanovená působnost, pravomoc, určení kompetencí, práv i povinností, odpovídající materiální vybavení, personální obsazení podřízených funkcí (podle potřeby), přesná specifikace vnitřních i vnějších vztahů. Bezpečnostní management organizace musí mít postavení nezávislého organizačního celku, např. odboru, oddělení, který je podřízený vrcholovému vedení. Souvisí to i přesným vymezením jeho odpovědnosti a pravomocí, které by mu měly poskytovat dostatečně silné kompetence jako právo nařizovat, doporučovat a především kontrolovat vše, co se týká bezpečnosti a v přesně vymezených případech třeba i právo veta. Kromě činností vyhrazených 35

bezprostředně manažerům a záležitostí spadajících do schvalovací pravomoci vedení organizace by činnost bezpečnostního managementu neměla podléhat schvalování dalších osob.

3.2 Základní pracovní funkce v systému informační bezpečnosti Rozdělení funkcí v informační soustavě, které odpovídá skutečně vykonávaným činnostem, musí vycházet z konkrétních potřeb a možností dané organizace. V řadě případů, zejména u organizací vlastnících počítačové sítě menšího rozsahu, jsou však tyto činnosti vykonávány kumulovaně s některou jinou technickou funkcí podle organizačního schématu. Vymezení konkrétních pravomocí jednotlivých bezpečnostních funkcionářů a pracovníků se řídí principem oddělení pravomocí, kdy jsou úkoly rozloženy a řešeny jednotlivými pracovníky, což je z hlediska bezpečnosti vhodnější a výhodnější. Pokud žádný bezpečnostní pracovník a uživatel nemá absolutní kontrolu nad systémovými bezpečnostními mechanismy, pak jednotlivý bezpečnostní pracovník nemůže úplně systém kompromitovat a eliminovat. Dále platí zásada, že běžní uživatelé nesmějí provádět činnosti a operace související s bezpečnostními, funkcemi systému organizace. Taková správa bezpečnosti je vyhrazena jen a pouze bezpečnostnímu pracovníkovi. Obecně by měl každý bezpečnostní tým mít kontrolní a výkonnou složku, kdy: Kontrolní složka sleduje dodržování bezpečnostních požadavků definovaných v bezpečnostních dokumentech, řeší a vyhodnocuje krizové stavy. Výkonná složka aplikuje bezpečnost v denním provozu systému. V organizacích by měly být vytvořeny následující funkce, které mají za úkol zajištění bezpečnosti IS. Jedná se o: Manažer bezpečnosti IS organizace, který řídí bezpečnostní správce. Bezpečnostní správce IS organizace.

36

3.2.1 Manažer bezpečnosti Manažer bezpečnosti je součástí managementu organizace. Zabývá se poradenstvím v oblasti technické bezpečnosti, je vedoucí osobností, která zajišťuje potřebnou úroveň informační bezpečností organizace. Jeho funkční povinnosti a odpovědnosti jsou zpravidla: Technické poradenství při stanovování požadavků na bezpečnost IS organizace nutných pro ochranu všech informací zpracovávaných v organizaci před neautorizovaným přístupem, odhalením, modifikací, manipulací nebo zničením či nesprávným použitím. Má na starosti přenos dat, implementaci a řízení realizace budování systému informační bezpečnosti organizace, aplikaci bezpečnostní politiky a dohlíží na dodržování předpisů pro bezpečnost organizace. Reprezentuje organizaci navenek v oblasti informační bezpečnosti a poskytuje rady a pomoc výkonnému managementu, manažerům všech úrovní, uživatelům a správcům systému s problémy bezpečnosti informačního systému organizace. Provádí další funkce podle zadání managementu organizace v oblasti bezpečnosti. Je možné vyčlenit oblasti působnosti manažera informační bezpečností organizace: Řízení přístupu a technicky software řízení přístupu, kdy manažer bezpečnosti řídí a úkoluje správce bezpečnostního systému organizace, poskytuje mu manažerské zázemí, potřebné pravomoci k ochraně dat a informací. Zvyšování bezpečnostního uvědomění, kdy manažer bezpečnosti připravuje, plánuje a realizuje instruktáže pro manažery, správce a uživatele. Reprezentuje organizaci z hlediska bezpečnosti, kdy manažer bezpečnosti poskytuje rady a doporučení nejvyššímu vedení organizace, partnerům ve státní správě. Informuje média o stavu bezpečnosti organizace.

37

Obnova po havárii, kdy manažer bezpečnosti koordinuje a zajišťuje podle havarijního plánu a podle plánu po detekci bezpečnostního incidentu rychlou obnovu systému. Bezpečnostní hodnocení software, kdy manažer bezpečnosti hodnotí všechny hardwarové a softwarové komponenty z hlediska možných dopadů na informační bezpečnost, sleduje a zajišťuje jejich modifikaci, autorizuje jejich nákup a použití. Posuzování rizik, kdy manažer bezpečnosti vede omezené odhady rizik a připravuje zprávy, které sdělují výsledky odhadů managementu. Testování a hodnoceni informační bezpečností, kdy manažer bezpečnosti plánuje a vede provádění bezpečnostních testů a hodnocení bezpečnosti všech systémů s cílem zajistit, aby se tyto systémy provozovaly podle vydaných bezpečnostních předpisů. Vykonávání dozoru, kdy manažer bezpečnosti vykonává dozor nad vypracováním přehledu bezpečnostních funkcí a je nejvyšším manažerem při vyšetřování bezpečnostních incidentů a odpovídá za rychlou obnovu systému v organizaci.

3.2.2 Bezpečnostní správce Bezpečnostní správce může být pracovníkem organizačního celku vedeného bezpečnostním manažerem nebo samostatným pracovníkem střední organizace odpovědným za její informační bezpečnost. Tato funkce je výkonná, obvykle však nepředstavuje provádění všech činností spojených s ochranou informací a IS, např. montážních prací. Funkci bezpečnostního správce je účelné vytvořit tehdy, je-li potřeba spravovat nějaký dílčí, avšak ucelený bezpečnostní systém. Bezpečnostní správce je tedy vykonavatelem bezpečnostních funkcí pří každodenním rutinním provozu sytému. Funkční povinnosti a odpovědnosti bezpečnostního správce mohou být následující: zpracovává koncepcí rozvoje bezpečnosti IS, 38

kontroluje dodržování bezpečnostní politiky, analyzuje bezpečnostní incidenty a navrhuje opatření, zpracovává havarijní plány informačního systému, vede bezpečnostní dokumentaci, posuzuje záměry fyzických, technických, programových a organizačních změn IS, zpracovává návrhy řídících aktů vztahujících se k bezpečnosti IS, vyjadřuje se k návrhům řídících aktů ovlivňujících bezpečnost IS, soustřeďuje požadavky na hromadné softwarové licence, zajišťuje pořizování hromadných softwarových licencí a vede evidenci přidělování licencí software, poskytuje rady, návody a pomáhá manažerům, uživatelům systému z oblastí bezpečností informačních technologií. Je možné vyčlenit jisté oblasti působnosti správce bezpečností informačních technologií: Technický software, kdy bezpečnostní správce udržuje systémy pro řízení přístupu,

které

poskytují

nástroje

ochrany

dat

a

informací

před

neautorizovaným, nepovoleným přístupem, odhalením, modifikací nebo zničením. Řízení

přístupu,

kdy

bezpečnostní

správce

monitoruje

používání

softwarových systémů, analyzuje bezpečnostní incidenty, dokumentuje je a podává zprávy o podezřelých aktivitách uživatelů pro vyšetřování. Vyšetřování incidentů, kdy bezpečnostní správce identifikuje a analyzuje všechny nestandardní aktivity z hlediska bezpečnosti, vede podrobné vyšetřování, posuzuje potenciální škody, sleduje provádění opravných akcí a doporučuje cenově přijatelná a preventivní opatření. 39

Posuzování rizik, kdy bezpečnostní správce provádí omezené odhady rizik v procesech informačního systému organizace, určuje odpovídající hrozby, zranitelná místa, vyhodnocuje velikost rizik. Doporučuje přijetí cenově přijatelných řešení, která rizika minimalizují. Testování a hodnocení bezpečnosti organizace, kdy bezpečnostní správce vede dokumentaci bezpečnostních systémů, plánuje a vede provádění bezpečnostních testů a hodnocení bezpečnosti systémů nezapojených do sítí s cílem zjistit, zda se provozují podle vydaných bezpečnostních předpisů. Bezpečnostnímu správci může být podřízen bezpečnostní referent, u malé organizace může být samostatným, pracovníkem odpovědným za její informační bezpečnost. Tato funkce je výkonná, obvykle představuje provádění všech činností spojených s ochranou informací a IS v malé organizaci.

SHRNUTÍ

Shrnutí V rámci této kapitoly byl čtenář seznámen se základními principy bezpečnostní správy.

KONTROLNÍ OTÁZKY

Kontrolní otázky 1. Jakou strukturu má bezpečnostní správy organizace, charakterizujte její složky. 2. Jaké činnosti provádí kontrolní složka bezpečnostního týmu? 3. Uveďte zásadní činnosti manažera bezpečnosti. 4. Uveďte zásadní činnosti bezpečnostního správce.

40

DALŠÍ ZDROJE


Monografie

[1] DOUCEK, P., NOVÁK, L., SVATÁ, V. Řízení bezpečnosti informací. 1. vyd. Praha: Profesional Publishing, 2008. 239. s. ISBN 978-880-8694-688-7. [2] DOSEDĚL, T. Počítačová bezpečnost a ochrana dat. 1. vyd. Brno: Compuer Press, 2004. 190. s. ISBN 80-251-0016-1

41

4 PROCES INFORMAČNÍ BEZPEČNOSTI VÝSTUPY Z UČENÍ Po prostudování textu této kapitoly Budete umět:

Budete umět

Popsat strukturu procesu informační bezpečnosti.

Získáte:

Získáte

Základní přehled o procesu informační bezpečnosti a významu jednotlivých činností a dokumentů. Budete schopni:

Budete schopni

Porozumět jednotlivým činnostem procesu informační bezpečnosti a obsahu jednotlivých dokumentů.


KLÍČOVÁ SLOVA Studie bezpečnosti, analýza rizik, bezpečnostní politika, organizační a technické opatření, monitorovací zpráva, bezpečnostní audit. PRŮVODCE KAPITOLOU V rámci této kapitoly budete seznámeni se základními činnostmi a dokumenty, které vznikají v rámci procesu informační bezpečnosti.

42

4.1 Etapy procesu informační informa bezpečnosti Proces informační ní bezpečnosti bezpe představuje postup řešení ešení informační informa bezpečnosti v dané organizaci. Součástí ástí tohoto procesu je tvorba mnoha dokumentů, dokumentů, které tvoří tvo výstupy jednotlivých etap procesu. Malé organizace (do 10 zaměstnanců) zam ) zpravidla nepotřebují nepot všechny třii obsáhlé dokumenty, popisující zvlášť zv východiska, principy a postupy, ale vystačí vysta pouze s jedním dokumentem popisující „Bezpečnostní „Bezpe nostní politiku organizace“, v praxi jde o obsah řešení informační ní bezpečnosti. bezpe nosti. Naproti tomu velký podnik nebo organizace státní správy a samosprávy budou potřebovat pot velký rozsah bezpečnostní nostní politiky a také její samotná tvorba bude vyžadovat delší dobu. Takové organizace jsou vystaveny velkému množství hrozeb a rizika jsou různě vysoká. Proces řešení bezpečnosti čnosti nosti se skládá obvykle z 6 základních etap viz. obr. č. 9: Stanovení cíle a strategie řešení informační bezpečnosti. Zpracování analýzy rizik informačního informa systému. Zpracování Bezpečnostní Bezpe politiky organizace. Zpracování bezpečnostních bezpe standardů. Implementace informační informa bezpečnosti. Provádění ní monitoringu a auditu

Stanovení cíle a strategie

Studie bezpečnosti

Zpracování analýzy rizik

Analýza rizik

Zpracování Bezpečnostní politiky

Bezpečnostní politika

Zpracování bezpečnostnních standardů

Organizační technická opatření

a

Implementace informační bezpečnosti

Aktualizované bezpečnostní standardy

Provádění monitoringu a auditu

Monitorovací zpráva, Auditní zpráva

Obrázek 9 - Etapy procesu informační informa bezpečnosti.

Jednotlivé etapy na sebe navazují, ale v řešení je běžné vrátit se k předchozímu př kroku. Proces nekončíí auditem, ale v určitých itých periodách se jím prochází znova, aby systém pružně pružn reagoval na změny. 43

V praxi se mohou vyskytovat některé problémy a nedostatky či chyby při řešení a řízení systému informační bezpečnosti organizace. Proto je účelné uvést alespoň některé z nich. Degradace řešení na technologickou úroveň, která vede k řešení pouze technologických otázek informační bezpečnosti. Výsledkem pak bývá nepokrytí významných existujících bezpečnostních rizik, neexistující řízení bezpečnosti a celková ne vyváženost řešení. Vysoká technologická úroveň dosažená v dílčích oblastech je dále pak neadekvátní celkové špatné úrovni bezpečnosti. Ochota managementu udělat pouze první krok, kdy je management ochoten provést několik prvních kroků, ale přijetím bezpečnostní politiky informačního systému jeho podpora končí. Výsledkem pak bývá frustrace lidí zapojených do řešení informační bezpečnosti, celková zmatenost týkající se bezpečnostní politiky a ve svém důsledku celková neúcta zaměstnanců k interním předpisům, interní legislativě. Vlastními silami do nekonečna. Zaměstnanci organizace, kteří jsou pro informační bezpečnost vyčleněni, se zabývají tím, čemu rozumí a co je žádáno. Nejčastěji jde o bezpečnostní standardy a monitoring s bezpečnostním auditem. Pomalý, často víceméně neřízený proces, bez koncepčního uchopení, mívá za následek závažné nedostatky v eliminaci nejvýznamnějších bezpečnostních rizik. Bezpečnost bez vlastního rozpočtu, kdy management uznává význam informační bezpečnosti, ale v zásadě není ochoten do této oblasti investovat. Podcenění projektového přístupu, kdy není proces řešení informační bezpečnosti uchopen jako projekt. Výsledkem je katastrofa v podobě termínů posouvaných o měsíce až roky, vysoké náklady, nepotřebné nebo nekvalitní výstupy, otrávený řešitelský tým, celková nedůvěra k projektu. Spoléhání na outsourcing, kdy management společnosti, přenechá externímu řešiteli příliš velký díl řešení informační bezpečnosti bez aktivního zapojení vlastních lidí. Potom, se může stát, že s posledním externím bezpečnostním expertem zmizí také veškeré znalosti z této oblasti.

44

Specifikum regulatorních požadavků, které jsou dány zákony. Zde je snahou managementu vyhovět nárokům regulatorních požadavků s minimem vynaloženého úsilí. Řešení bezpečnosti je formální. Jde o opatření, která se nedotýkají celé společnosti a která se neopírají o komplexní posouzení rizik.

4.2 Stanovení cíle a strategie informační bezpečnosti Stanovení cílů je pro většinu organizací shodná. Základním cílem je eliminovat přímé a nepřímé ztráty způsobené zneužitím, poškozením, zničením nebo nedostupností informací, vytvořením uceleného nákladového optimalizovaného a efektivně fungujícího řízení bezpečnosti informací. Dalšími podcíli obvykle jsou: zhodnocení současné úrovně informační bezpečnosti, definování principů řízení a požadované úrovně v oblasti informační bezpečnosti, navržení postupu k dosažení požadované úrovně bezpečnosti, příprava prostředí pro udržování a zvyšování úrovně bezpečnosti. Výstupem této etapy procesu informační bezpečnosti je dokument Studie bezpečnosti, který obsahuje popis současného stavu informační bezpečnosti v organizaci a vytyčuje hlavní směry dalšího postupu. Zde patří sběr a vyhodnocení údajů o dřívějších poruchách a útocích a přitom se stanoví míra přijatelného rizika. Ve velkých firmách a státních organizacích, kde se vypracovávají strategické dokumenty, by studie bezpečnosti měla být jejich součástí a definovat globální cíle organizace v oblasti aktiv. Pak tato studie zpravidla zahrnuje informační bezpečnost, fyzickou bezpečnost včetně objektové bezpečnosti a personální bezpečnost. V současnosti je problémem, že management firem, podniků a organizací není schopen požadavky na informační bezpečnost definovat. Úkol pak deleguje na své informatiky, kteří přirozeně nemají odpovídající zkušenosti a ani pravomoci. Jde o nepochopení smyslu bezpečnostní politiky, která musí vždy vycházet seshora od

45

managementu a být v souladu s podnikovými cíli, a proto bývá součástí globální nebo informační strategie podniku. Obsahem

ovšem

také

studie

bezpečnosti

odpovídá

náplni

úvodní

studie

informatického projektu zaměřeného na bezpečnost.

4.3 Zpracování analýzy rizik Veškeré činnosti organizace jsou nutně spojeny s podnikatelským rizikem, které je definováno jako nebezpečí, že určitá událost nebo akce negativně ovlivní schopnost organizace dosahovat svých cílů a naplnit svoji strategii. Míra rizika je dána velikostí negativního dopadu a pravděpodobností s jakou riziko nastane. Cílem analýzy je pak rizika identifikovat a kvantifikovat tak, aby bylo možné rozhodnout o jejich přijatelnosti pro organizaci. Velikost rizika je pak stanovena na pravděpodobnosti výskytu a možném dopadu pro organizaci. Takto chápaná analýza je pak použitelná téměř pro každou oblast, tedy i pro IS organizace nebo společnosti. Na základě analýzy rizik (bezpečnostní analýzy) můžeme určit, které kontrolní mechanizmy jsou nezbytné a které naopak nadbytečné. Je ovšem třeba si také uvědomit, že analýza rizik poskytuje informace o stavu rizik v jistém časovém okamžiku. Vzhledem k neustálému vývoji jak informačního systému samotného, tak v prostředí kterém pracuje, je třeba analýzy rizik periodicky aktualizovat. Celková analýza rizik by měla být aktualizována podle velikosti organizace a její závislostí na informačních technologiích. Vše ovšem závisí na kvalitě analýzy. Interval aktualizace rizikové analýzy se tak může protáhnout i na několik let (1-4 roky). Analýza rizik je tedy klíčovou aktivitou v procesu řešení bezpečnosti, která musí poskytnout odpověď na následující tři základní otázky: Co se stane, když nebudou informace chráněny? Jak může být porušena bezpečnost informací? S jakou pravděpodobností se to stane?

46

Typickým výstupem tohoto kroku je dokument „Analýza rizik „obsahující popis systému a výsledky analýzy, tedy úroveň hrozeb, zjištěné zranitelnosti, úroveň stávajících ochranných opatření. Tento dokument vykazuje i nedostatky, kterými jsou: Plošné zavádění ochranných opatření. Analýza rizik není prováděna, ale ochranná opatření jsou zaváděna podle některého standardu. (např. BS7799), kdy tento postup vede k nadměrným výdajům na bezpečnost, přičemž ani implementace všech opatření nezaručí dostatečnou ochranu informačního systému společnosti. Malé využití analýzy rizik. Analýza rizik je provedena, ale výsledky nejsou použity při klasifikací dat, tvorbě bezpečnostní politiky a bezpečnostních standardů. Ani při implementaci všech opatření není zaručena dostatečná ochrana informačního systému společnosti, Neúplná analýza rizik. Obvykle je zahájena podrobná analýza rizik, ale není dokončena, pokud k tomuto dojde, je nutné zbytek systému podrobit alespoň základní nebo neformální analýze rizik. V opačném případě hrozí, že některá významná rizika nebudou vzata v úvahu. Analýza rizik není aktualizována. Je provedena podrobná analýza, ale vytvořený model IS není udržován a aktualizován. V tomto případě jsou investice do analýzy rizik využity neefektivně a při potřebě aktualizace bude nutné postupovat znovu od začátku. Subjektivní výběr protiopatření. Protiopatření jsou vybírána podle znalostí a preferencí správce sítě a to bez vztahu k analýze rizik. Z této situace plynou závažná rizika. Společnost může na bezpečnost vynakládat vysoké částky, a přesto nejsou rizika pokrývána podle své důležitosti a současně řada klíčových protiopatření nemusí být vůbec implementována. Vzhledem k významu řízení rizik pro dnešní IS byla analýza rizik v informačních systémech podrobněji popsána a její provádění je vyžadováno v některých standardech bezpečnosti, jde například o BS7799, 1SO/IEC TR 13335. ISO/ÍEC TR I3335. Řada organizací se na provádění analýzy rizik specializuje, mají své ověřené postupy a užívají různé softwarové nástroje a metodiky (Cobra, NetRecon, CRAMM). Výsledky této analýzy jsou vysoce citlivým dokumentem, protože obsahuje podrobné informace o „kritických

47

místech" v organizaci. Proto je tento dokument určen úzkému okruhu lidí v managementu a v rámci organizace klasifikován nejvyšším stupněm utajení.

4.4 Zpracování bezpečnostní politiky organizace Výsledkem této etapy procesu informační bezpečnosti je klíčový dokument „Bezpečnostní politika“ schválený nejvyšším vedením organizace a závazný pro celou organizaci, v němž jsou deklarovány základní cíle v oblasti informační bezpečnosti. Existence dokumentu pak zajišťuje, aby byl předem vyřešen případný konflikt mezi bezpečnostními cíli a zájmy organizace. Bezpečnostní politika vychází ze studie bezpečností nebo ze zadání organizace ve formě definovaných cílů, požadavků a analýzy rizik. Pojmenovává to, co má být chráněno a rámcově stanovuje, jak toho má být dosaženo. Bezpečnostní politika musí odpovědět na tyto otázky: Jaké jsou cíle organizace v oblasti bezpečnosti všech aktiv? Jaká aktiva musí být chráněna a jaká je cena těchto aktiv? Kdo za aktiva nese odpovědnost? Jaká opatření budou efektivnější? Jak bude dodržování bezpečnostní politiky vynuceno a jaká bude penalizace za její nedodržení v organizaci? Kdy a jak bude bezpečnostní politika uvedena do praxe? Jak a které osoby budou proškoleny a jak bude zajištěna osobní odpovědnost pracovníků? Politika informační bezpečnosti je potom nezbytným předpokladem pro účinnost řízení informační bezpečnosti. Aby mohla plnit svůj účel, musí: mít písemnou formu, 48

být závazná v celé organizaci, platit pro všechny úseky, zaměstnance a vedoucí pracovníky, být známá všem, koho se týká, být schválena na úrovni vrcholového managementu organizace. Jakákoli jiná interpretace této politiky je zavádějící a vede k neúspěchu. Politika informační bezpečnosti je závazný předpis, který platí pro všechny zaměstnance a pracovníky organizace, a že její plnění musí být vynutitelné, jinak nemá smysl. Existují dva přístupy k formulaci politiky informační bezpečnosti organizace. Volba závisí na kultuře řízení a struktuře interní předpisové základny: Stručná bezpečnostní politika (3-5 stran), která obsahuje pouze základní zásady, a to: vysvětlení pojmu „informační bezpečnost" a zřetelnou deklaraci vedení organizace politiku informační bezpečnosti, podporovat, v praxi prosadit a její plnění vyžadovat od všech zaměstnanců, organizačních útvarů i podřízených složek, stanovení organizační a odpovědnostní struktury informační bezpečnosti, úlohy a odpovědnosti bezpečnostního manažera, úlohy ostatních útvarů podílejících se na zajištění informační bezpečnosti (útvar organizační, personální, právní, správy budov, fyzické bezpečnosti atd.) a povinností vedoucích pracovníků všech stupňů a všech uživatelů ve vztahu k informační bezpečnosti, způsob řízení, kontroly a dokumentace informační bezpečnosti, případně zmocnění k vydání prováděcích předpisů, standardů a pokynů. Detailní bezpečnostní politika (desítky stran), která obsahuje jednotlivá bezpečnostní opatření platná pro celou organizaci a společná všem IS organizace. Detailní politika by měla ve zvolené míře podrobnosti obsáhnout celý systém řízení a správy informační bezpečnosti, tedy navíc zejména tato témata: zacházení s citlivými informacemi v organizaci, případně schéma klasifikace informačních aktiv, 49

zajištění personální bezpečnosti, s cílem snížit rizika lidského faktoru, tj. rizika chyby, krádeže, podvodu nebo nesprávného užití čí zneužití informací a IS, zajištění fyzické bezpečnosti, s cílem snížit rizika neoprávněného vniknutí, poškození nebo zničení prostor a technických zařízení informačního systému a nosičů informací, řízení přístupu uživatelů, stanovování a správy přístupových práv, včetně vzdáleného přístupu, práce s mobilními počítači a práce doma, přehled základních bezpečnostních opatření při zpracování a výměně informací a při denním provozu IS a to, co je společné pro všechny používané systémy informačních technologií a musí být centrálně řízeno a vyžadováno, proces vývoje a údržby IS, řízení kontinuity všech činností a havarijního plánování IS, ochrana informací a informačních aktiv organizace, ke kterým mají přístup, případně které přímo spravují či zpracovávají třetí strany na základě smluvního vztahu, správa a rozvoj vlastní politiky, zejména kontrola plnění, aktualizace, zajištění shody s legislativou a smluvními závazky a provádění auditu informační bezpečnosti. Vzniklý dokument představuje obecný návrh realizace všech standardů, směrnic, procedur a opatření, které vedou k splnění předem definovaných bezpečnostních cílů. Je všeobecným plánem, který říká, co, kde a proč se bude chránit. V hierarchii interních předpisů organizace je na nejvyšší úrovni a její dodržování je povinné. Protože jde o dlouhodobý dokument, měly by být použité formulace dostatečně obecné. Vzhledem k závažnosti tohoto dokumentu, je důležití uvést i nedostatky, které se v něm vyskytují: Velké množství kompromisů. Jde o častý jev, kdy po procesu schvalování z původní verze zůstala jen část. Problematické pasáže byly vypuštěny nebo přepsány, pravomoci a zodpovědnosti byly zredukovány na nezbytné

50

minimum. Bezpečnostní politika pak společnosti neumožňuje řešit to, co je skutečným problémem. Nereálná bezpečnostní politika. Jde o nesmírně přísnou politiku, kdy jí společnost téměř v žádném bodě nevyhovuje. Zde je třeba definovat přechodné období a postupný proces implementace. Pokud se tak nestane je velice pravděpodobné, že zaměstnanci seznámení s politikou budou celý proces vnímat odlišně od reality a budou ji jako celek ignorovat, což může vést k daleko horší situaci, než byla před přijetím nereálné politiky. Neadekvátní rozsah politiky. Managementu je předložena příliš rozsáhlá politika. Faktická nemožnost managementu se seznámit dostatečně podrobně s celým dokumentem a pochopit význam jednotlivých ustanovení, strach z nereálných závazků a celkových negativních dopadů na výkonnost společnosti obvykle zpomalí, nebo dokonce zastaví proces schvalování politiky, Podcenění propagace politiky. Sebelepší dokument nepomůže ničemu, pokud se s jeho obsahem neseznámí zaměstnanci a pokud se podle něj nebudou řídit. Nekritické přebírání vzorů. Pokud má jedna společnost kvalitní politiku, tak není zaručeno, že její přenesení do druhé společnosti bude stejně kvalitní. Vylepšování „vzoru" bez předchozí analýzy tedy může přinést velice špatný výsledek.

4.5 Vypracování bezpečnostních standardů Jedná se o rozpracování principů metod a opatření bezpečnostní politiky do detailní podoby bezpečnostního projektu, což znamená, že řešení každé části systému bezpečnosti je samostatným procesem se svými vstupy a výstupy. Např. u vzdáleného přístupu do interní počítačové sítě musí být ošetřena rizika související s tímto přístupem, která byla již definována v analýze rizik a s tím zajištěna požadovaná úroveň bezpečnosti jako šifrování komunikace, délka klíčů apod. Výstupem bezpečnostního projektu je standardní dokument ve formě závazných interních dokumentů společnosti jako normy, směrnice, definované postupy apod. viz. obr. č. 10. 51

Obrázek 10 - Proces zpracování standardů formou projektu.

Projekty představují naplnění závěrů bezpečnostní politiky organizace. Výsledkem jsou konkrétní opatření: organizačně-administrativní a technická, jako opatření typu „na dveře dáme dozický zámek, do místnosti pohybové čidlo s kamerou, a k počítači časový zámek či HW zámek", stejně jako rozhodnutí, jaké šifrovací klíče budou v organizaci použity pro přenos souborů. Bezpečnostní standardy, tj. závazné interní dokumenty společnosti z bezpečnostní politiky nejen vycházejí, ale jsou s ní ve shodě. Zatímco bezpečnostní politika je relativně neměnným dokumentem, u bezpečnostních, standardů se předpokládá častější frekvence úprav.

4.6 Implementace informační bezpečnosti Představuje nejdůležitější krok, kdy se jedná o uvedení bezpečnostní politiky a standardů do praxe. Všechny bezpečnostní projekty by měly mít definovány následující: cíl a účel prioritu řešení, popis výstupů, popis projektových etap, 52

návaznost na další projekt, předpoklady a rizika odhad ceny a časové náročnosti. Tato formalizace pomáhá efektivně nakládat se zdroji a je předpokladem pro vedení organizace, které má pak možnost kontroly průběhu. Na rozdíl od bezpečnostní politiky, která je dostatečně obecná, je třeba u standardů a jejich implementaci reagovat na změny mající vliv na informační bezpečnost a v případě změny je aktualizovat.

4.7 Provádění monitoringu a auditu Monitorování stavu informační bezpečnosti v organizaci je průběžný proces, u kterého je třeba určit kritéria, podle kterých bude hodnocení probíhat. Kromě obecných kritérií, která se odvozují od zabezpečení dané třídy a kvality, existují i kritéria speciální se vztahem ke konkrétní organizaci. Východiskem jsou bezpečnostní cíle stanovené ve studii informační bezpečností nebo při posledním hodnocení. Absence anebo nedostatečná úroveň monitorování způsobuje, že bezpečnostní incidenty zůstávají dlouho neodhaleny a vzniklé škody jsou mnohem vyšší než u včas odhalených incidentů. Monitoring by měl být primárně zaměřen na oblasti s nejvyšším rizikem a další klíčové oblasti činnosti organizace. Audit

představuje

jednorázové

hodnocení.

Obvykle

jej

provádí

nezávislá

specializovaná firma. Jedná se o analýzu požadavků, analýzu rizik a hodnocení současného stavu zabezpečení. Závěrečný dokument obsahuje tato možná rozhodnutí: vyhovuje, vyhovuje s výhradami nevyhovuje, dále pak popis problémových oblastí včetně opatření pro odstranění bezpečnostních rizik. Musí existovat vazba mezi výsledky monitoringu a plánováním auditu, stejně jako mezi výsledky auditu a plánováním monitorovacích aktivit. 53

4.7.1 Audit IS Tato oblast vyžaduje vysvětlení následujících základních pojmů dle normy ISO 19011:2002, jedná se o: Plán auditu (audit plan), tj popis činností a uspořádání organizace auditu. Předmět auditu (audit scope), tj. velikost a vymezení/ohraničení auditu. Kritéria auditu (audit criteria), tj. soubor politik, postupů nebo požadavků. Důkaz z auditu (audit evidence), tj záznamy, konstatování skutečnosti nebo jiné informace, které souvisejí s kritérii auditu a jsou ověřitelné. Zjištění z auditu (audit findings), tj. výsledky hodnocení shromážděných důkazů z auditu podle kritérií auditu. Závěr z auditu (audit conclusion), tj. výstup z auditu poskytnutý týmem auditorů po zvážení cílů auditu a všech zjištění z auditu. Klient auditu (audit client), tj. organizace nebo osoba žádající o audit.

4.8 Certifikace systému řízení informační bezpečnosti Pokud je úspěšně vybudován a provozován systém řízení informační bezpečnosti, lze přistoupit k jeho certifikaci. Certifikace představuje zhodnocení systému řízení informační bezpečnosti (ISMS - Information Security Management System) nezávislou organizací, která má k této činnosti náležitá oprávnění. Celý proces certifikace se řídí normou ISO/IEC 27001.

54

Obrázek 11 - Fáze certifikace ISMS.

V průběhu auditu jsou postupně získávány důkazy z auditu. Důkazem je cokoli, co zajišťuje vyšší bezpečnost informačním aktivům certifikované organizace, které jsou dále ověřitelné. Důkazem může být popis bezpečnostního opatření, nainstalovaný antivirus na firemních počítačích nebo školení o informační bezpečnosti. Auditor pak vezme toto sepsané pravidlo jako důkaz a ověří si, zda je skutečně dodržováno. Dokumentace bezpečnostních opatření je pouze malá část celého systému. Pokud nejsou opatření skutečně realizována, je celý systém bezcenný. Cílem certifikace je potvrdit zákazníkům, partnerům nebo dodavatelům, že firma se otázce bezpečnosti svých informačních aktiv věnuje a všechna bezpečnostní opatření řádně dodržuje. Audit ISMS se vykonává principem náhodné kontroly vybraných částí ISMS. Při této kontrole probíhá přezkoumání veškerých důkazů z auditu, zda odpovídají požadavkům uvedeným v normě ISO/IEC 27001. Pokud firma některou z daných podmínek nesplňuje a požaduje, aby ji i dále nemusela dodržovat, musí tuto skutečnost patřičně odůvodnit. Pokud je firmě výjimka schválena, nazývá se výluka. Certifikace začíná první fází přípravy na audit, která slouží na prověření toho, do jaké míry je vykonání certifikačního auditu možné. Obvykle spočívá ve vyhodnocení informativního dotazníku k certifikaci, který poskytla certifikační společnost na vyplnění klientovi v rámci přípravy na certifikaci. Na základě přezkoumání poskytnutých informací o rozsahu a cílech ISMS, lokalitách jeho nasazení a působnosti organizace, certifikační společnost zhodnotí svoji kompetentnost k certifikaci a vypracuje nabídku na certifikační audit. 55

V rámci druhé fáze se musí ověřit a zdokumentovat způsobilost ISMS na certifikaci. To je vyřešeno formou prověrky ISMS, kterou provádí auditor z hlediska souladu systému s normou. V úvodu auditor zjišťuje, jestli jsou k dispozici povinné dokumenty ISMS (například bezpečnostní politika, prohlášení o aplikovatelnosti) a vykoná jejich přezkoumání. Dále je třeba zjistit, jestli je ISMS již zprovozněný, zda už byl podroben internímu auditu a přezkoumán vedením. Na závěr druhé fáze musí auditor zkontrolovat dokumentaci ISMS, zhodnotit vhodnost a dostatečnost zdrojů ISMS pro třetí fázi a svoje zjištění zdokumentovat. V této dokumentaci popíše problémy, které by mohly ve třetí fázi auditu vést k neshodám a doporučí klientovi změny a doplnění chybějících opatření, aby bylo možné přistoupit ke třetí fázi. Cílem třetí fáze je zhodnotit zavedení a efektivnost ISMS. Jde o samotný certifikační audit na místě, který se dělí na následující kroky: plánování auditu; vykonání auditu; následný audit (např. po odstranění systémové neshody); vypracování hodnocení závěrů auditu. Na základě přezkoumání ISMS na konci druhé fáze sestaví auditor plán auditu, který odsouhlasí s klientem. Audit na místě začíná úvodním pohovorem s vedením organizace. Odsouhlasí se proveditelnost navrhovaného plánu auditu, předmět auditu, utajení informací získaných při auditu, stanoví se průvodci auditora a další důležité záležitosti. Auditorem připravený kontrolní seznam otázek slouží během auditu jako pracovní pomůcka. V případě zjištění systémové neshody během auditu rozhoduje auditor o případném přerušení výkonu auditu na místě. Na základě získaných informací shromáždí vedoucí auditor důkazy o shodě a na jejich základě vypracuje dokumentaci z auditu. Současně písemně vypracuje zprávy o neshodách a doporučeních, se kterými v rámci závěrečného rokování obeznámí vedení organizace, tj. klienta auditu. Auditor zodpovídá za vypracování zprávy z auditu, odsouhlasení jejího obsahu a její odevzdání certifikačnímu orgánu. V případě zjištění systémových neshod rozhodne auditor o čase a rozsahu vykonání následného auditu. 56

K uvolnění dokumentace z auditu a k udělení certifikátu může dojít jen tehdy, když jsou odstraněny všechny systémové neshody a jejich odstranění bylo vhodnou formou zdokumentováno a auditorem potvrzeno. Ve čtvrté fázi se rozhodne o udělení certifikátu. Certifikát ISMS vydává certifikační orgán po přezkoumání dokumentace z auditu, která byla poskytnuta auditorem. Tyto informace musí obsahovat zprávu z auditu, komentáře k neshodám, vyhodnocení nápravných činností klienta, odsouhlasení informací, které klient poskytl certifikačnímu orgánu a doporučení auditora na udělení certifikátu s případnými podmínkami. Certifikační orgán rozhodne o certifikaci ISMS na základě závěrů z auditu a dalších zjištěných informací souvisejících s klientem. Po úspěšném auditu udělí certifikační společnost na provozovaný ISMS certifikát. Certifikát je objektivním potvrzením toho, že proces vybudování, provozu, monitorování a zlepšování informační bezpečnosti je v organizaci vhodně řízen a že management organizace svým přístupem k provozu ISMS zaručuje trvalé zlepšování informační bezpečnosti organizace. Certifikát ISMS se vydává na období tří let, během kterých se musí minimálně jednou ročně vykonávat kontrolní audit provozovaného ISMS. Kontrolní audit nemusí nevyhnutelně zahrnovat celý systém, musí však vždy zahrnovat některé povinné oblasti, jako jsou interní audity, přezkoumání managementem, opatření na odstranění neshod z předcházejícího auditu, vyřizování stížností na ISMS, přezkoumání změn, bezpečnostních událostí a opatření proti rizikům. Musí se také prověřit efektivnost ISMS vzhledem k záměrům managementu, politiku informační bezpečnosti a cíle klíčových činností organizace. Kompetentní pracovníci certifikačního orgánu tak pravidelně při kontrolních auditech prověřují, jestli klient i nadále splňuje požadavky normy. Udržování certifikace vychází z objektivního ověřování funkčnosti certifikovaného ISMS, ale i z trendů jeho trvalého zlepšování. Před uplynutím tříletého cyklu platnosti certifikátu se naplánuje a uskuteční recertifikační audit, při kterém se opět prověří shoda se všemi požadavky certifikační normy s přihlédnutím k interním a externím změnám v organizaci. Tento audit zahrnuje přezkoumání výkonnosti ISMS, jeho trvalou aplikovatelnost na rozsah certifikace a splnění závěrů z předcházejících kontrolních auditů. Druhá fáze se při recertifikaci opětovně vykonává tehdy,

57

pokud došlo k významným změnám u klienta nebo v právních a regulačních požadavcích na ISMS.

4.9 Základy psychologie a komunikace pro auditory IS Práce auditora má jasná pravidla tvořená požadavky zákazníka a stanovenými závaznými normami. Auditor by měl především dobře zvládat techniky a problematiku auditu a současně umět komunikovat s protistranami v auditované organizaci. Předpokladem dobrého výkonu funkce auditora je především kultivovat v sobě následující postoje: nedělat unáhlená rozhodnutí – tento přístup vede k důslednějšímu pochopení skutečné situace a pomáhá vést rozhovor s vysokou vypovídací hodnotou; mít respekt vůči výrokům druhých; uvědomovat si, že dotazovaní mají zpravidla dle svého úhlu pohledu pravdu, tzn. umění je dotazovat se tak, aby si uvědomili, že to není pravda objektivní; učit se klást otázky s dostatečným prostorem pro odpovědi protistrany; osobní mínění není stěžejní. Auditor by měl také velmi dobře ovládat neverbální komunikaci. Do neverbálních sdělení

zahrnujeme

vše,

co

obsahuje

jakékoli

mimoslovní

výrazové

prostředky

např. gestikulaci, mimiku, celkové držení těla a v neposlední řadě i mezilidskou vzdálenost. Tato komunikace je často účinnější než slova. Pozorný a citlivý pozorovatel dokáže tuto řeč těla číst. Pří komunikaci je proto důležité, aby slova a mimoslovní vyjádření byly v souladu. Pro vytvoření příznivých podmínek pro vedení kvalitního rozhovoru by se měl auditor řídit následujícími fázemi mezilidské komunikace: navázání kontaktu – pozdrav, vytvoření příznivého dojmu; otevírací fáze – zahájení rozhovoru s odpovědnými pracovníky organizace; vymezení cíle a účelu auditu; 58

vymezení časového plánu; vymezení pravidel komunikace. informační fáze – využití komunikačních technik (dotazování, naslouchání) ke sběru informací, konkrétních hodnot, dat a faktů; argumentační fáze – diskuse o různých stanoviskách. V této fázi se osvědčuje využití především otevřených otázek;

4.10

Charakteristika normy ISO/IEC 27001

Jedná se o mezinárodní normu, která slouží jako určitý návod pro řešení informační bezpečnosti. Je to vlastně souhrn zkušenosti, znalostí a ověřených poznatků z oblasti informační bezpečnosti, který je soustředěn do jediného dokumentu. Obsah tohoto dokumentu je rozdělen do následujících 11 kapitol: bezpečnostní politika; organizace bezpečnosti informací; klasifikace a řízení aktiv; bezpečnost lidských zdrojů; fyzická bezpečnost a bezpečnost prostředí; řízení komunikací a řízení provozu; řízení přístupu; nákup, vývoj a údržba informačního systému; zvládání bezpečnostních incidentů; řízení kontinuity činností organizace; soulad s požadavky. 59

Každá kapitola obsahuje příslušné bezpečnostní požadavky, týkající se dané oblasti. Pokud se bude zavádění informační bezpečnosti řídit těmito požadavky, zajistí se tak IS i informačním aktivům potřebná ochrana. Samotné požadavky na bezpečnost si lze představit jako seznam úkolů, které se musí splnit, aby byla optimálně zabezpečena veškerá klíčová informační aktiva v dané organizaci. Tyto požadavky musí být psány dostatečně obecně, aby byly použitelné na jakýkoli typ firmy nezávisle na oboru, ve kterém podniká (například bankovnictví, strojírenství, doprava nebo vzdělávání). Pokud se vrcholové vedení organizace rozhodne, že tuto normu ve svém podnikání zavede, může si pak nechat daný systém bezpečnosti certifikovat. V podstatě to znamená, že někdo oprávněný ověří, zda daný systém splňuje všechny požadavky uvedené v normě. Pokud management chce certifikace dosáhnout, nemůže žádný z těchto požadavků bez pádného důvodu vynechat. V souvislosti s touto normou je třeba si vysvětlit ještě jeden pojem a tím je systém řízení informační bezpečnosti (ISMS – Information Security Management System). Je to systém, jehož hlavní podstatou je ochrana klíčových aktiv při měnících se podmínkách prostředí. V podstatě je v rámci tohoto systému stanoveno, co je třeba chránit, před čím a jaké prostředky k této ochraně jsou využity.

SHRNUTÍ

Shrnutí V rámci této kapitoly byl čtenář seznámen se základním činnostmi a dokumenty, které vznikají v rámci procesu informační bezpečnosti.

60

KONTROLNÍ OTÁZKY

Kontrolní otázky 1. Co obsahuje „studie bezpečnosti“ a jaký je její význam v rámci procesu informační bezpečnosti? 2. Na jaké otázky musí poskytnout „analýza rizik“?. 3. Z čeho vychází zpracování bezpečnostních standardů formou bezpečnostního projektu a co tvoří organizační a technická opatření? 4. Popište jednotlivé kroky certifikace. 5. Popište jednotlivé kroky bezpečnostního auditu. 6. Charakterizujte stručně normu ISO/IEC 27001.

DALŠÍ ZDROJE


Monografie

[1] DOUCEK, P., NOVÁK, L., SVATÁ, V. Řízení bezpečnosti informací. 1. vyd. Praha: Profesional Publishing, 2008. 239. s. ISBN 978-880-8694-688-7. [2] DOSEDĚL, T. Počítačová bezpečnost a ochrana dat. 1. vyd. Brno: Compuer Press, 2004. 190. s. ISBN 80-251-0016-1

61

5

BEZPEČNOST POČÍTAČOVÉ SÍTĚ

VÝSTUPY Z UČENÍ Po prostudování textu této kapitoly Budete umět:

Budete umět

Popsat vnitřní a vnější hrozby bezpečnosti počítačové sítě. Orientovat se v základních pojmech kryptografie a pokročilých technikách ověřování. Orientovat se v bezpečnostních zásadách provozu počítačových sítí. Získáte:

Získáte

Základní přehled o bezpečnosti počítačové sítě. Budete schopni:

Budete schopni

Navrhnout bezpečnostní opatření. Porozumět metodám a prostředků zabezpečení počítačové sítě. ČAS POTŘEBNÝ KE STUDIU 3 + 1 hodin (samostudium + řešení úloh)

KLÍČOVÁ SLOVA Vnější hrozby, vnitřní hrozby, bezpečnostní opatření, kryptografie, autentizace, digitální podpis, Hash algoritmus, digitální certifikát, biometrie, komunikační protokol. PRŮVODCE KAPITOLOU V rámci této kapitoly budete seznámeni se základními principy zabezpečení počítačových sítí.

62

5.1 Přístupy k zabezpečení dat v počítačové síti Bezpečnost počítačové sítě představuje „kroky potřebné k ochraně počítače a informací v ní obsažených“. Důsledek je pak, že čím je lépe síť přístupná, tím je hůře zabezpečená. Pokud není ochrana dat v počítačové síti předmětem zákona, záleží volba úrovně zabezpečení dat na rozhodnutí vedení organizace. Existují následující filosofie: Přístup a snadnost používání dat má vyšší prioritu než jejich důvěrnost a zabezpečení. Přístup k informacím má je ten, kterýže opravdu potřebuje k práci. Z hlediska zjednodušení rizika hrozící počítačové síti jsou hrozby rozděleny do dvou širších skupin: Vnější hrozby Vnitřní hrozby

5.2 Vnější hrozby Vnější průniky do sítě mají více forem, mezi základní patří: Neautorizované použití hesel a klíčů DoS útok (Distributed of Service) Odposlech IP adres Počítačové viry a červi Trojské koně

63

5.2.1 Neautorizované použití hesel a klíčů Heslo je posloupnost písmen, čísel nebo znaků k ověření, že uživatel je opravdu ta osoba, autorizovaná k použití konkrétního účtu pro přístup do systému sítě. Klíč je číslo používané systémem k ověření integrity komunikace. Hesla a klíče jsou bezpečnostní prvky, určené k zabránění přístupu neautorizovaných osob.

5.2.2 Útok DoS Je zaměřen na přerušení normálního běhu cíleného počítače. Někdy se mu také říká bombový útok. DoS útoky nezpůsobují havárii počítače, jsou naprogramovány na přerušení nebo zabránění přístupu k síti. Fungují tak, že zahltí síť zbytečnými pakety nebo emulují síťový problém, který způsobí nedostupnost služby a odpojení počítače od sítě. Mezi běžné formy DoS útoku patří: Záplava protokolem ICMP (Ping/Internet Kontrol Message protocol) Surf útok Ping smrti SYN útoky

5.2.3 Odposlech IP adres Týká se pozměnění IP hlaviček odeslaných paketů. Pakety pak vypadají, jako by byly vyslány z jiné IP adresy, než ze které byly skutečně odeslány. Jedná se o metodu k získání neautorizovaného přístupu k počítači nebo síti a následnému spuštění útoku za účelem zničení nebo odcizení dat.

64

5.2.4 Počítačové viry a červi Počítačový virus je program, který se rozmnoží a rozšíří z jednoho počítače na jiný zkopírováním svého kódu do dalších souborů napadeného počítače bez souhlasu nebo uvědomění uživatele. Červ je forma zákeřného viru, který se sám rozmnožuje a na infikovaném počítači poškozuje soubory. Červi se často rozšiřují v příloze el. pošty jako spustitelné soubory, dokumenty obsahující makra nebo jako HTML stránky obsahující skripty.

5.2.5 Trojští koně Jsou programy, které se za účelem získání informací tváří jako jiné programy. Například úvodní obrazovky do bankovních systémů (jméno a heslo).

5.3 Vnitřní hrozby Většina firem je vystavena ze strany svých zaměstnanců: krádeži, zneužití, zničení dat. Důvody vedoucí zaměstnance k porušování interních bezpečnostních pravidel jsou: průmyslová špionáž, vnitřní politika, rozhněvaní zaměstnanci (včetně bývalých), neúmyslné přestupky, vzpurní uživatelé. 65

5.3.1 Průmyslová špionáž Zpravidla je realizována pomocí: korupce zaměstnanců firmy, nezávislých vyzvědačů (únosců dat), kteří mohou firmu vydírat. Bezpečnostní opatření, pokud je při této obchodní činnosti průmyslová špionáž běžná, musí být co možná na nejvyšší úrovni a vyžaduje konzultaci s experty v této oblasti.

5.3.2 Vnitřní politika Je představována postupem ctižádostivého zaměstnance firmy, který udělá cokoli, aby dosáhl dalšího kariérního postupu, i za cenu shazování kolegů. Toto nebezpečí se projevuje: sabotáží práce ostatních zaměstnanců, kteří by mohli s daným zaměstnancem soutěžit, vkládáním inkriminovaných položek do počítače oběti, odesíláním nepřístojných zprávy z e-mail adres kolegů.

5.3.3 Rozhněvaní zaměstnanci Tito zaměstnanci nebo ex-zaměstnanci chtějí firmu úmyslně poškodit pomocí: zničení důležitých dat (vymazaní HDD, nasazení viru), přerušením důležitých komunikací. Je nutné okamžitě zrušit uživatelský účet a zabránit uživateli ve fyzickém přístupu k ICT.

66

5.3.4 Neúmyslné přestupky Bezpečnostní přestupek je zaviněn zpravidla technickou neznalostí nebo nedbalostí některých zaměstnanců. Tuto oblast lze zabezpečit pomocí: použití operačních systémů se silným zabezpečením, implementací zabezpečení na úrovni souborů pomocí systémové politiky, která je implementována v operačním systému, kdy je možné uživatelům zabránit vymazat nebo přesunout kritické systémové soubory.

5.3.5 Vzpurní uživatelé Tito zaměstnanci nesouhlasí s bezpečnostní politikou a myslí si, že je příliš restriktivní. Takový uživatel většinou nechce firmě způsobit škodu, ale chce dosáhnout provedení něčeho, co by jinak nemohl udělat. Například pokud si takový uživatel nainstaluje na firemním počítači program PCAnywhere, může pomocí tohoto počítače otevřít celou síť externím uživatelům. Takového uživatele lze eliminovat pomocí: uplatnění vhodných firemních pravidel (častější kontrola daných uživatelů), vhodným stupněm zabezpečení sítě.

5.4 Realizace bezpečnostních opatření Ochrana dat vyžaduje často kombinaci několika bezpečnostních metod, mezi které patří: Bezpečnostní úroveň operačního systému Nastavení uživatelských účtů Hesla a pravidla kontroly přístupu Bezpečnostní skupiny 67

Šifrování souborů Zabezpečení IP Secure Socked Layer (SSL) Zabezpečení e-mailu

5.4.1 Bezpečnostní úroveň operačního systému Moderní operační systémy (Windows nebo Linux) umožňují vytvoření uživatelského účtu pro daného uživatele nebo konkrétní počítač. Přístup je umožněn pomocí zadání platného: uživatelského jména, hesla, která jsou uložena v zašifrované podobě, a nelze k nim získat snadno přístup.

5.4.2 Nastavení uživatelských účtů Moderní operační systémy umožňují více uživatelům používat jedno PC a síť. Kombinace zadání správného uživatelského jména a hesla, které je zadáno pomocí přihlašovacího dialogu může mít následující výsledky: Uživateli je poskytnut přístup k operačnímu systému a síti. Uživatel může číst nebo zapisovat do těch sdílených souborů, ke kterým má povolen přístup na základě účtu. Uživatel může uplatňovat jakákoliv práva (vypnout počítač, instalovat SW), která jsou mu jeho účtem přidělena. Jsou nahrány uživatelské předvolby (ikony na ploše apod.).

68

Pro většinu firem je vhodné, aby každý uživatel měl svůj vlastní účet. Pokud nehrozí žádná bezpečnostní rizika, může být heslo prázdné. Bezpečnost hesla, představuje zajištění co největší neproniknutelnosti uživatelských hesel na základě „pravidel sítě! (některé příklady): Nevolit slova nebo čísla, která lze snadno uhodnout na základě odvození informací o uživateli (rodné číslo, jméno psa atd.). Heslo by nemělo být obsahem slovníku (brutální síla = zkoušení všech slov). Spojení znaků a číslic např. „6trpaslíků“. Rozlišovat malá a velká písmena např. „6TRpalíKů“. Snadná zapamatovatelnost hesla, aby si jej uživatel nemusel psát na papírek. Čím více znaků v hesle, tím hůře jej lze uhodnout (délka hesla lze zadat pomocí NOS). Pravidelná změna hesla na základě vypršení platnosti hesla (archiv hesel, kde jsou uložena všechna předcházející hesla, aby se zabránilo jejich opětovnému použití. Každému uživateli lze nastavit přístup k počítačové síti podle následujících pravidel: Individuálnímu uživateli lze nastavit přístup k souborům (Read only, Write, Insert, Delete) i podle toho, zda pracují na počítači, kde je soubor uložen nebo se stejný uživatel k danému souboru hlásí ze sítě. Individuálnímu uživateli lze nastavit přístup k prostředkům sítě lokální a síťová povolení by neměla být stejná. Síťové operační systémy mají nastavena určitá výchozí povolení. Windows server poskytuje sdílený přístup k danému počítači všem uživatelům, dokud nejsou nastavena výlučná omezení 69

NetWare server neposkytuje přístup nikomu, dokud nejsou nastavena jeho výlučná práva Bezpečnostní skupiny představuje administrativní pomůcku NOS, která usnadňuje přidělování oprávnění v rozsáhlých sítích oproti přidělování oprávnění každému uživateli zvlášť. Postup je následující: Nejdříve se vytvoří bezpečnostní (uživatelská) skupina. Následně jsou bezpečnostní skupině přidělena oprávnění k použití prostředků. Do bezpečnostní skupiny jsou zařazeny konkrétní uživatelské účty, které automaticky získají přístup k prostředkům, jež jsou povoleny pro danou bezpečnostní skupinu. V případě, že chceme zakázat uživateli přístup k danému prostředku, nestačí u něj jen odstranit oprávnění přístupu k tomuto prostředku, ale je nutné, aby uživatel nepříslušel do žádné skupiny, která má k tomuto prostředku povolený přístup. Záleží na použitém síťovém operačním systému.

5.4.3 Šifrování souborů Je způsob šifrování (převedení dat do formy, kterou nemohou ostatní lidé snadno rozluštit) dat uložených v počítači takovým způsobem, aby tato data byla pro všechny uživatele, vyjma autora, nečitelná. Síťové operační systémy mají zpravidla v sobě šifrovací programy, jinak je třeba použít šifrovací programy třetích stran. Soubory, které jsou již na disku zašifrovány, může prohlížet jen ten uživatel, který má k nim správný klíč. Citlivá data by měla být chráněna zamezením přístupu i šifrováním.

5.4.4 Zabezpečení IP Zabezpečuje data v průběhu jejich přenosu po síti. Protokol IPSec zabezpečuje data na úrovni přenášených datových paketů, přičemž se vůbec nedotýká aplikací. IPSec používá 2 protokoly, které mohou být použity najednou nebo zvlášť: AH (Authentication Leader) k ověření identity odesílatele. 70

ESP (Encapsulating Security Payload) k zachování důvěryhodnosti dat jako takových. IPSec může pracovat ve dvou módech: Transportní, který zajišťuje zabezpečení dat na celé cestě od zdrojového počítače k cílovému Tunelový, který chrání data od výstupního bodu ze sítě až ke vstupnímu bodu další sítě.

5.4.5 SSL (Secure Society Layer) Zabezpečuje data v průběhu jejich přenosu po síti, ale musí být podporován uživatelskou aplikací. SSL vyvinula společnost Netscape, aby zajistila bezpečné prostředí pro jejich webový prohlížeč. SSL používá k šifrování veřejný a privátní klíč.

5.4.6 Zabezpečení e-mailu Zprávu, která je zaslána pomocí e-mailu, si třeba představit jako pohlednici, kterou může přečíst kdokoliv, komu přijde do ruky, na své cestě od odesílatele k adresátovi. Většina softwarových produktů již tento problém řeší a splňuje následující požadavky. Zprávu nemohou přečíst neautorizovaní uživatelé Zpráva nemůže být upravována od okamžiku odeslání až do chvíle, kdy je přečtena příjemcem Osoba identifikovaná jako odesílatel zprávy je ve skutečnosti tím, kým má být K populárním bezpečnostním programům patří PGP (Pretty Good Privacy) Kerberos 71

V e-mailové komunikaci se používá pro zajištění důvěryhodnosti dat a ověření identity: Šifrování pomocí veřejného a privátního klíče Digitální podpis

5.5 Základní pojmy kryptografie Data se šifrují pomocí algoritmů nebo šifer. Šifrování používá kód nebo klíč pro zakódování a následné rozkódování zprávy do původní podoby. Činnost analýzy a rozluštění zašifrované zprávy se nazývá kryptoanalýza. Klíč obecně představuje proměnnou nějakého druhu, která se používá k šifrování, tedy sloučení s daty, která mají být zašifrována. Čím je šifrovací klíč delší, tím je obtížnější rozluštit jeho kód. Algoritmus představuje metodu slučování dat s klíčem. Vzhledem k binární formě uložení dat jsou algoritmy aplikovány na každý bit nebo skupinu bitů. Standardní šifrování je 40 a 56-bitové. Silné šifrování 128-bitové, zpravidla se nesmí exportovat do jiných zemí. Příklad jednoduchého šifrování je (A = 1, B = 2, …, Z= 32), potom 1 - 8 - 16 – 11 = A - H - O - J

5.5.1 Šifrování pomocí tajného klíče (symetrické šifrování) Používá pro zašifrování i dekódování jeden stejný klíč. Odesílatel i příjemce se dohodnou na použití společného klíče nebo šifrovacího algoritmu, který je pak jejich společným tajemstvím. Příklad (A = 6, B= 7, …, Z = 32)

a výsledné číslo vynásobíme 4, tím dostaneme pro „AHOJ“

následný kód 72

A = 6 x 4 = 24, H = 13 x 4 = 52, O = 21 x 4 = 84, J = 16 x 4 = 64 24 – 52 – 84 – 64

Obrázek 12 - Mechanismus šifrování zpráv symetrickou šifrou.

Populárními algoritmy podle tajného klíče jsou: DES (Data Encryption Standard) 3DES RC-4 (Rivest Cipher) RSA V šifrování pomocí tajného klíče existují 3 podstatné problémy: Generování tajných klíčů z důvodu bezpečnosti je nutné klíče pravidelně měnit – generovat Výměna klíčů mezi autorizovanými stranami, aniž by se klíč dostal do rukou nepovolaných osob (Diffie-Hellman algoritmus umožňuje dvěma stranám vytvořit a předat klíč přes nezabezpečenou síť) Složitost zabezpečené komunikace s mnoha dalšími stranami

73

5.5.2 Šifrování pomocí veřejného / privátního klíče (asymetrické šifrování) Řeší třetí problém tajného klíče, tj. zabezpečení komunikace s více než dvěma stranami. Tento typ šifrování používá dva typy klíče. Pro uskutečnění komunikace jsou vyžadovány oba typy klíčů, kdy má každý uživatel „pár klíčů“, který tvoří: Veřejný klíč (veřejně dostupný), který je přidružen pouze k jednomu soukromému klíči Soukromý klíč (zná pouze uživatel) Postup komunikace: Komunikující si vymění své veřejné klíče, přičemž šifrované zprávy nelze pomocí pouze veřejného klíče dešifrovat Odesílatel zašifruje zprávu pomocí veřejného klíče adresáta Adresát dešifruje zprávu pomocí svého soukromého klíče Pokud odesílatel zašle zprávu, kterou zašifroval pomocí svého soukromého klíče, může zprávu přečíst každý, kdo zná její veřejný klíč. Ke komunikaci není tedy nutné, aby kdokoli znal soukromý klíč kohokoli jiného.

Obrázek 13 - Mechanismus šifrování zpráv asymetrickou šifrou přenos adresované, zašifrované (důvěrné), ale nepodepsané (neautorizované) zprávy

74

5.5.3 Autentizace Metoda ověření pravosti identity odesílatele. Pomocí veřejného nebo privátního klíče lze zabezpečit data samotná. Ale příjemce si nemůže ověřit, zda data, která dostal zašifrována pomocí svého veřejného klíče, jsou opravdu od daného odesílatele. Proto musí: Odesílatel zašifrovat data svým soukromým klíčem Příjemce je může dešifrovat přijatá data pouze veřejným klíčem odesílatele

Obrázek 14 - Mechanismus šifrování zpráv asymetrickou šifrou přenos adresované,

zašifrované (důvěrné) a podepsané (autorizované) zprávy.

5.5.4 Digitální podpis Skládá se ze zašifrovaného textu podpisu, který je připojen k dokumentu. Taková informace zajišťuje: Identitu odesílatele Integritu (nenarušení) dokumentu samotného) Digitální podpis ale nešifruje data, slouží pouze pro ujištění, že informace ve zprávě nebyly nijak pozměněny a dokazují věrohodnost odesílatele.

75

Obrázek 15 - Mechanismus komunikace. (s využitím digitálního podpisu)

Způsobem uvedeným na obr. č. 15 je nutné nejméně jednou zašifrovat celou zprávu pomocí asymetrického algoritmu („znečitelnění“ zprávy), což by v případě delších zpráv trvalo na obou komunikujících stranách neúměrně dlouho, proto není toto užití v bezpečné komunikaci typické. Častěji se k šifrování zpráv používá model, ve kterém je asymetrická kryptografie použita pouze ke tvorbě digitálního podpisu a bezpečné výměně klíčů pro symetrickou kryptografii, která je užita k vlastnímu šifrování přenášených dat. Ta vyžaduje dohodu o formátu přenášených dat a systému jejich to komunikace šifrování.

76

Obrázek 16 - Mechanismus bezpečná komunikace. (s využitím digitálního podpisu a šifrováním zprávy symetrickou šifrou)

Algoritmy veřejného klíče se používají k vytvoření a ověření digitálních podpisů a hash algoritmů.

77

5.5.5 Hash algoritmy Hash algoritmus vytváří řetězec tzv. HASH, obvykle 128-bitové hodnoty, který je výsledkem jednosměrné matematické kalkulace (hash algoritmu), jež zabezpečí, že není možné se obráceným postupem dobrat k původní zprávě. Hash algoritmus ověřuje autenticitu následujícím způsobem Odesílatel pomocí tajného klíče, který zná i příjemce, „namíchá“ hash algoritmem číselný výsledek HASH. Například (0010110010100001) a odešle jej se zprávou (nebo konspektem) příjemci. Příjemce zprávu dešifruje, následně ověří, zda zpráva nebyla v průběhu přenosu nějak upravena tak, že použije stejný klíč k vytvoření číselného výsledku HASH2. Pokud se HASH a HASH2 rovnají, nebyla zpráva jakýmkoli způsobem upravena v průběhu přenosu. Populární jsou následující hash algoritmy: SHA (Secure Hash Algorithm), který byl vyvinut organizacemi NIST (National Institute for Standards and Technology) a NSA (National Security Agency) MD5 (Message Digest 5), jednosměrný 128-bitový hash algoritmus, který byl vyvinut Ronem Rivestem v MIT (Massachusetts Institute of Technology)

5.5.6 Digitální certifikáty Představují zprávy, které obsahují digitální podpis od důvěryhodné třetí strany nebo certifikační autority. Třetí strana zaručuje, že konkrétní veřejný klíč patří určité osobě. Na digitální certifikáty se lze dívat jako na elektronické identifikační karty, které úředně potvrzují identitu jejich nositele na základě jiných dokumentů (občanský průkaz atd.).

78

Certifikát se používá jako záruka „pravosti zpráv“, které jsou posílány přes veřejnou nezabezpečenou síť. Uživatel, vlastník soukromého klíče, si vyžádá ke konkrétnímu veřejnému klíči od certifikační autority certifikát. Na jeho základě daná certifikační autorita nese odpovědnost za ověření, že daný veřejný klíč patří určitému uživateli. Certifikát je proto platný pouze určitou dobu, přičemž certifikační autorita může jeho platnost zrušit. Digitální certifikáty vydávají veřejné certifikační autority (Verisign, GTE Cybertrust, Keywitness, aj.). Organizace si mohou samy vytvářet své vlastní certifikační autority, jako součást vnitřní struktury veřejného klíče (PKI – Public Key Infrastructure). Pomocí PKI systému lze prověřovat a ověřovat identifikační údaje ostatních organizací, které elektronicky s danou organizací komunikují.

5.6 Pokročilá identifikace a technika ověřování Identifikace a ověřování pravosti jsou velmi důležitou záležitostí ve stále se rozšiřujících firemních sítích a při podpoře mnoha stovek uživatelů. Potvrzení identity uživatele, který se pokouší přihlásit do sítě nebo používat počítačové prostředky, je základem silného bezpečnostního plánu. Bez ohledu na propracovanost technik šifrování hesel, je právě problém s uživatelským jménem/heslem možností pro neoprávněné strany zjistit a zneužít nacionále legitimního uživatele. Pokročilé způsoby identifikace a ověřování jsou založeny na faktorech, které nelze zfalšovat Jsou jimi tyto: Chytré karty Biometrie včetně rozpoznání otisku prstů, skenování sítnice a duhovky oka a ověření hlasového vzorku. Ačkoliv tyto techniky ještě nejsou na pracovištích běžně rozšířené (mimo vládních agentur), můžeme jejich rozšiřování v příštích letech očekávat, přičemž pro síťové administrátory bude znatelně důležité se s těmito metodami obeznámit.

79

5.6.1 Smart cards – chytré karty Představují ověřovací zařízení, která se podobají platebním kartám a mají v sobě uloženy veřejné/soukromé klíče a hesla. Technika uložení dat je jednoduchá jako na magnetickém pásku, nebo složitá jako integrovaný obvod vpracovaný do karty, který funguje jako miniaturní počítač. V kontextu s bezpečností sítě, tento termín znamená identifikační a autentizační zařízení, na kterém jsou uloženy nacionále uživatele, opravňující jej k přístupu do systému. Termín „chytrá karta" (smart card) se také používá v jiném smyslu, kdy označuje jakousi plastickou kartu, která má na čipu nebo magnetickém proužku uloženy informace. Máme na mysli především platební a kreditní karty, karty zdravotní pojišťovny atd. Některé operační systémy, jako například Windows již mají podporu chytrých karet vestavěnou. Pokud takový operační systém nemáte, musíte si pro používání technologií chytrých karet obstarat speciální software. Chytré karty se používají pro přístup k počítači skrze zařízení (čtečka) chytrých karet. Chytré karty nabízejí zvýšenou bezpečnost, protože uživatel musí kartu fyzicky vlastnit. Chytré karty se mohou používat k běžnému vkládání uživatelských údajů z důvodu zvýšené bezpečnosti. Ve vysoce zabezpečeném prostředí samotné karty neumožní přístup automaticky, uživatel musí kartu vložit do čtečky, a než mu bude povolen přístup, musí ještě zadat své požadované osobní údaje. To znamená, že potenciální vetřelec, který zjistí uživatelovo heslo, se do systému bez karty stejně nepřihlásí, stejně tak ten, kdo najde nebo odcizí někomu jeho kartu, do systému přístup nezíská bez znalosti uživatelova přístupového hesla.

5.6.2 Biometrie Stále však není vyloučeno, že potenciální vetřelec získá jak přístupové heslo, tak odpovídající chytrou kartu. Aby se tato možnost vyloučila, je možné zavést vyšší způsob zabezpečení, a to identifikace pomocí: otisku prstu, obrazu sítnice oka 80

rozlišení vzorku lidského hlasu. Tyto techniky jsou známé jako biometrie. Statistická pravděpodobnost, že dva lidé budou mít stejné otisky prstů (nebo obraz sítnice oka nebo vzorek hlasu) je tak malá, že je tato technika v mnoha zemích používána při důkazním řízení u soudu. Technika biometrické identifikace poskytuje nespornou identifikaci uživatelů podle biologických charakteristik. Systém rozlišení otisku prstu se často používá ve spojení se zabezpečením pomocí chytrých karet. Uživateli jsou sejmuty vzorky otisku prstů a následně uloženy do databáze. V okamžiku, kdy uživatel chce použít počítač, musí přiložit prst (nebo často palec, ačkoliv některé systémy používají otisk celé ruky) na plochu čtecího zařízení. Takto sejmutý obraz je porovnán s otiskem uloženým v databázi a výsledkem je buď povolení, nebo zamítnutí přístupu. Pro implementaci ověřování otiskem prstů je dostupné mnoho softwarových a hardwarových systémů. Obraz sítnice je dalším způsobem identifikace osob, založeným na unikátní biologické charakteristice. Touto technikou se pomocí světelného paprsku o malém výkonu přečte vzorek ze sítnice oka, což je blána po celé vnitřní ploše oční bulvy citlivá na světlo. Rozpoznávání duhovky je založeno na charakteristice lidského oka. Tato technika se týká počítačové analýzy vzorku nalezeného v oční duhovce, což je pigmentovaná blána, která určuje barvu oka. O těchto vzorcích se říká, že jsou ještě unikátnější, než otisky prstů nebo DNA. Dokonce ani jednovaječná dvojčata nemají duhovku stejnou. Ověření hlasového vzorku pracuje na principu unikátních vzorků lidského hlasu u každého člověka, podle čehož může být snadno identifikován. Uživatel zpravidla musí do databáze nejprve nahrát heslo nebo frázi, podle které bude dále identifikován. Pro přihlášení do systému musí uživatel do patřičného zařízení říci své heslo nebo frázi, která je následně porovnána se vzorkem uloženým v databázi. Zohledněny jsou faktory jako výška hlasu, rychlost a intenzita. Technika hlasového vzorku není považována za tak přesnou jako skenování sítnice, obraz duhovky a otisky prstů. Techniky rozlišení hlasu se obvykle používá v situacích, kdy musí být ověření provedeno pomocí telefonní linky. Ověření hlasu se občas zaměňuje s rozlišováním hlasu. Ověření se používá pro potvrzení identity „vlastníka" hlasu. Rozlišování neidentifikuje „vlastníka", ale rozlišuje řečená slova. V případě napojení systému na počítač s příslušným programem může být výstup převeden do slovní tištěné podoby na obrazovku. 81

5.7 Bezpečnostní zásady provozu počítačových sítí Stále se objevují nové bezpečnostní techniky. Aby bylo možné vyvinout pro síť dobrý bezpečnostní plán, je nutné si uvědomit, co je v danou chvíli dosažitelné. Musí se stanovit taková úroveň zabezpečení, která je za dané situace nutná nebo žádoucí. Bezpečnostní zásady by měly být produktem společného úsilí. Měly by být vzaty v potaz připomínky a požadavky technických pracovníků, managementu a typických uživatelů. Aby tyto zásady mohly být úspěšně naplněny, musejí mít podporu jak vedení společnosti, tak uživatelů. Rozpočtové a filozofické ohledy musí být oproti citlivosti dat v síti vyváženy. Bezpečnostní zásady by měly mít tištěnou podobu a měly by být pravidelně revidovány a doplňovány o aktuální změny. Prvním krokem při vytváření zásad je provedení detailní bezpečnostní analýzy. Mělo by se zjistit, jaká se aktuálně používají bezpečnostní měřítka, zdali plní svůj účel a které z nich by mělo být odstraněno, ponecháno nebo nahrazeno jiným. Důležité faktory při vytváření zásad jsou: Přijatelné zásady Mezní zásady Zákonná bezpečnostní nařízení Bezpečnostní audit a detekce vnikání Firewall a Proxy Zabezpečení při více protokolech Fyzické zabezpečení

5.7.1 Přijatelné zásady Zásady bezpečnosti sítě by měly zahrnovat přijatelná bezpečnostní pravidla, která definují, jak mohou uživatelé oprávněně přistupovat a používat prostředky sítě. Měly by zahrnovat položky jako šifrování zpráv a souborů, přístup www stránkám, stahování souborů 82

z internetu, využití šířky pásma, instalace vlastních programů a her, pravidla používání elektronické pošty a další položky, týkající se koncových uživatelů.

5.7.2 Mezní zásady Zásady bezpečnosti sítě by se měly týkat procedur zajišťujících návaznost integrity síťových dat v případě, kdy zaměstnanec (zvláště ten na pozici technika) z vlastní vůle nebo z důvodu výpovědi opustí společnost. Je zvláště důležité, aby se pamatovalo na navrácení veškerého majetku společnosti, aby zaměstnanec konkrétně vrátil chytré karty a další přístupová zařízení. Účty propuštěného zaměstnance by měly být neprodleně zrušeny. Pokud má zaměstnanec přístup k citlivým datům, mělo by mu být zabráněno vytvořit si vlastní kopie na úložná média, aniž by byly zkontrolovány kvůli neoprávněnému kopírování důvěrných firemních dat.

5.7.3 Zákonná bezpečnostní nařízení Americká vláda určuje kritéria pro provedení zabezpečení počítačových sítí. Tyto specifikace jsou definovány v Department of Defense Trusted System Evaluation Criteria, na které je odkazováno jako na TCSEC, někdy nazývané také „oranžová kniha". TCSEC jsou publikována Národním centrem počítačové bezpečnosti (NSCS — National Computer Security Center). Používají se ve spojení s TNI -Trusted Network Interpretation of the TCSEC, na které je poukazováno jako na TNI, a někdy také nazýváno „červená kniha". TNI, platí za hodnotící kritéria sítí. Hodnocení začíná písmenem A, které je nejvyšší bezpečnostní ohodnocení, a pokračuje až k písmenu D, které označuje hodnocení nejnižší. Hodnocení C je rozděleno do dvou podskupin, C1 a C2; nicméně C1 se již dále jako osvědčení nepoužívá. Hodnocení C2, které je vyšší než C1, je vyhledáváno mnoha společnostmi, pro získání vládních zakázek. Hodnocení C2 vyžaduje, aby byl operační systém schopen v případě potřeby vystopovat, kdo a kdy používal určitá data. Operační systém vyhovující C2 musí mít schopnost kontrolovat přístup uživatelů k objektům, poskytovat unikátní identifikaci uživatelů a obsahovat prostředky pro provedení auditu událostí, souvisejících s bezpečností. 83

Pokud organizace požaduje mít počítačový systém na úrovni hodnocení C2, je třeba se ujistit, že splňuje všechna kritéria v TCSEC a TNI. Dokonce lze mít potvrzenou a akreditovanou bezpečnostní konfiguraci od administrativních autorit, aby byla organizace kvalifikována jako vyhovující hodnocení C2 pro udělení vládních kontraktů. Ostatní země mají obdobné systémy hodnocení bezpečnosti. V Kanadě je systém CTCPEC - Canadian Trusted Computer Evaluation Criteria, v Austrálii je AISEP Australian Information Security Evaluation Programme a v západní Evropě je systém ITSEC Information Technology Security Evaluation Criteria.

Operační systém

Dodavatel

Certifikace NSA

UNIX XTS-200 a 300

Wang Government Svcs

Oranžová kniha B3

UNIX Trusted Xenix 3 a 4

Trusted Information Systems

Oranžová kniha B2

UNIX HP-UX 8.04 a 9.0.9

Hewlett Packard

Oranžová kniha B1

UNIX UNICOS 8.0.2

Cray Research

Červená kniha B1

UNIX RS/6000

IBM

Oranžová kniha C2

Windows NT 3.5/SP3 a Windows NT 4.0

Microsoft

Oranžová kniha C2

NetWare 4 a 4.11

Novell

Červená kniha C2

Tabulka 1 - Bezpečnostní hodnocení NSA pro různé operační systémy.

Pouhým nainstalováním uvedeného operačního systému není zaručeno, že jsou splněna kritéria uvedeného bezpečnostního certifikátu. Existují ještě další specifikace, jako síťová konektivita nebo aktivované vlastnosti operačního systému, které je nutné vzít v úvahu. Ve skutečnosti to však není operační systém jako takový, který obdrží bezpečnostní hodnocení. Je jím celek, který tvoří veškerý hardware a nainstalované programové vybavení.

5.7.4 Bezpečnostní audit a detekce vnikání do počítačové sítě Jedním z požadavků na síť ohodnocenou stupněm bezpečnosti C2 je možnost provádět audit bezpečnostních událostí a aktivit prováděných jednotlivými uživateli. Audit je proces sledování aktivit uživatelů a systému. Provedení auditu například zahrnuje monitorování otevíraných souborů a kdy a kdo tak činí. Audit by měl obsahovat informace o přihlašování 84

a odhlašování uživatelů ze systému, kdo které objekty používal a kdo uplatňoval uživatelská práva. Operační systémy Windows již mají možnost provedení auditu v sobě obsaženou, přičemž jej lze od základu nakonfigurovat. Bezpečnostní události se nejen sledují, ale také zapisují do tzv. log souborů pro další potřeby revize. K souboru bezpečnostního logu by měli mít přístup pouze administrátoři sítí. Pasivní detekce znamená, že je na bezpečnostní audit je pohlíženo jako na pasivní formu detekce narušitelů. Ačkoliv jsou události narušující bezpečnost zaznamenány do souboru, musí administrátor narušení tušit a tento soubor zkontrolovat na přítomnost přestupků. Příkladem programu na pasivní detekci je Tripwire (pro UNIX) a vestavěná schopnost bezpečnostního auditu ve Windows. Aktivní detekce, představuje skutečnost, že v bezpečnostním plánu by měla být zahrnuta jedna nebo více forem aktivní detekce. Při aktivní detekci je určitým programem souvisle prohledávána síť na přítomnost narušujících událostí, a další program, v případě takové události upozorní administrátora, případně odpojí podezřelou relaci.

5.7.5 Firewall a proxy Silná bezpečnostní oblast má důležitý význam při vybudování bezpečnostních zásad. Pro vytvoření bariéry mezi lokální vnitřní sítí a spojením do vnějšího světa se používá firewall a proxy. Takový prostor může být nastaven ve své vlastní podsíti, přičemž je na něj také poukazováno jako na demilitarizovanou zónu (DMZ) nebo stíněnou podsíť.

Obrázek 17 - Umístění firewall a proxy v DMZ mezi interní a externí sítí.

85

Firewall může být řešen hardwarově nebo softwarově. Poskytuje pravidla pro filtrování příchozích a odchozích paketů a rozhoduje (na základě pravidel nastavených systémovým administrátorem), zdali může paket propustit na cílovou adresu. Firewall je obvykle umístěn na sítové bráně, což je místo, kde je jedna síť propojena s další sítí. Tři základní typy filtrování, prováděného firewally: Filtrování paketů Filtrování spojení Filtrování aplikací Filtrování paketů filtruje přenášené datové pakety podle informací v jejich hlavičce podle použitého přenosového protokolu (IP, TCP/UDP a ICMP). Filtrováním paketů lze uvolnit nebo zablokovat specifické IP adresy nebo čísla portů. Filtrování spojení je založeno na filtrování spojení souvisejících s již navázaným spojením. Pokud paket není součástí navázaného spojení, nebude propuštěn skrze firewall. Filtrování aplikací filtruje protokoly odpovídající určitým aplikacím. Například zablokovat Java applety nebo skripty jazyka Visual Basic. Hardwarovým firewallům se někdy také říká „černá skříňka“. Jsou to vyhrazené počítače, na kterých běží vlastní operační systém (nebo v některých případech UNIX). Tyto počítače fungují pouze jako firewall a proto jsou rychlejší a stabilnější než počítače, na kterých běží softwarový firewall a na kterém se souběžně pracuje. Servery proxy fungují v síti jako „prostředníci“, kteří provádějí podobné funkce jako firewally. Počítače v interní síti komunikují s proxy serverem, který pak jejich jménem komunikuje s počítači ve vnější síti.

86

Obrázek 18 - Proxy server zprostředkovává komunikaci mezi vnitřními a vnějšími sítěmi.

Technická propojovací zařízení počítačové sítě (směrovače a přepínače) mohou být nakonfigurována pomocí seznamu kontroly přístupu ACL — Access Control List, který určitým počítačům zamezuje používat směrovač, nebo umožňuje komunikaci pouze v jednom směru. V tomto případě poskytují směrovače ochranu stejně jako firewall. Směrovače s nakonfigurovanými ACL mohou být považovány za „první obrannou linii“ sítě. Také se často používají na ochranu softwarových firewallů proti nabourávání. Směrovačem používaný ACL umožňuje nebo zamezuje přístupu, například podle IP adres.

5.7.6 Zabezpečení při více protokolech Zásady bezpečnosti sítě by také měly podporovat protokoly, které jsou povoleny nebo vyžadovány. Bezpečnost interní sítě můžete vytvořit používáním jiného balíku protokolů, než TCP/IP, a to i v lokální síti samotné nebo v podsíti DMZ, která ji odděluje od vnější sítě. Pokud v lokální síti místo TCP/IP protokolu používáte protokol IPX/SPX, nemůžou útoky z Internetu založené na IP adrese do sítě proniknout. Jednoduše nakonfigurujete směrovač tak, aby na straně připojení k Internetu používal protokol TCP/IP a na straně připojené do lokální sítě protokol IPX/SPX. Pokud je ke komunikaci mezi interními počítači používán protokol TCP/IP, měla by se vytvořit demilitarizovaná zóna, která propojí lokální síť s Internetem pomocí protokolu IPX/SPX 87

5.7.7 Fyzické zabezpečení Zásady bezpečnosti sítě by měly vymezovat způsob fyzického přístupu k síťovým komponentám. To je velmi důležitým a často přehlíženým faktorem při vývoji efektivního bezpečnostního plánu. Měla by se stanovit míra dostupnosti, která zaměstnancům, externím pracovníkům, klientům a veřejnosti udává přístup k pracovním stanicím, serverům, kabeláži a dalším médiím, směrovačům, přepínačům a dalším fyzickým složkám počítačové sítě. Ve vysoce zabezpečeném prostředí by měly být: Servery a přípojná zařízení uchovávána za zamčenými dveřmi. Pracovní stanice v nezabezpečených prostorách by měly mít nainstalovaný kontrolní software, který by v případě nutnosti zabránil v přístupu k citlivým datům na síti. Síťová kabeláž by měla být vedena pevnými instalačními lištami nebo rourami a ne aby byla vystavena nebo vedena po podlaze nebo pod stropem. Napíchnout se na kabeláž je velmi snadné, ale přijímat data z optického vedení pomocí optického splitteru také není nemožné. Dalším problémem a celkem běžnou věcí v mnoha organizacích je přítomnost úklidového personálu na pracovišti po pracovní době, kdy není na místě žádná pověřená osoba, která by zamezila zneužití nebo neoprávněnému použití počítačového vybavení.

SHRNUTÍ

Shrnutí V rámci této kapitoly byl čtenář seznámen se základními principy zabezpečení počítačových sítí

88

KONTROLNÍ OTÁZKY

Kontrolní otázky 1. Uveďte vnitřní a vnější hrozby zabezpečení počítačových sítí. 2. Popište princip symetrického šifrování. 3. Popište princip HASH algoritmu. 4. Vysvětlete pojem „Demilitarizovaná zóna“. 5. Jaký je využití biometrie při zabezpečení počítačové sítě? 6. Kdy se využívají „mezní zásady“ provozu počítačové sítě_

DALŠÍ ZDROJE


Monografie

[1] DOSTÁLEK, L., a kol. Velký průvodce protokoly TCP/IP Bezpečnost. 2. aktualizované vyd. Praha: Computer Press, 2003. 571. s. ISBN 80-7226-849-X. [2] KRÁL, M. Bezpečnost domácího počítače – Prakticky a názorně. 1. vyd. Praha: Grada Publishing, 2006. 334 s. ISBN80-247-14086. [3] NORTHCUTT, S. a kol. Bezpečnost sítí – Velká kniha. 1. vyd. Brno: CP Books, 2005. 589 s. ISBN 80-251-0697-7.

89

6 OCHRANA DAT A INFORMACÍ PŘED POHROMOU A OBNOVA ZTRÁT VÝSTUPY Z UČENÍ Po prostudování textu této kapitoly Budete umět:

Budete umět

Navrhnout ochranu dat před pohromou. Orientovat se ve způsobech archivace souborů. Orientovat se v technickém zabezpečení dat uložených na pevném disku. Získáte:

Získáte

Základní přehled o prostředcích a metodách ochrany a obnovy dat.

Budete schopni:

Budete schopni

Rozlišit a uplatnit základní typy ochrany a obnovy dat.


KLÍČOVÁ SLOVA Záložní zdroj energie, zálohování dat, RAID, Clustering.

PRŮVODCE KAPITOLOU V rámci této kapitoly budete seznámeni se základními principy ochrany a obnovy dat.

90

6.1 Ochrana dat a informací před pohromou Selhání hardwaru, přírodní pohromy a technické chyby mohou také způsobit masovou ztrátu důležitých souborů. To je důvod, proč je ochrana před pohromou a nástroje na obnovu ztrát neodmyslitelnou součástí bezpečné sítě. Ochrana před a obnova po katastrofické ztrátě dat obsahuje několik základních bodů: Záložní zdroje energie Zálohování dat Odolnost disku proti chybám Odolnost serveru proti chybám (seskupování)

6.1.1 Záložní zdroje energie Například při letní bouřce uhodil blesk do stožáru elektrického vedení, přičemž došlo díky elektrickému výboji k přepětí v elektrorozvodné síti a následnému svévolnému restartování počítačů, což způsobilo ztrátu dat. Tyto incidenty jsou zdrcující především proto, že jim lze předcházet. Každým rokem dochází z velké části ke ztrátám nebo poškození dat z důvodu přepětí v elektrorozvodné síti nebo výpadku proudu. V této části zmíníme způsoby ochrany sítě pomocí přepěťové ochrany před nebezpečným kolísáním elektrické energie, dále nepřerušitelné zdroje energie (UPS) a elektrické generátory. Přepěťové ochrany chránící technické prostředky proti přepětí, které může vážně poškodit počítačový hardware a učinit data nečitelnými. Absolutní minimum ochrany, které by měl mít každý server, kritické pracovní stanice a důležité počítače v síti, je dobrá přepěťová ochrana a tlumivka. Přepěťová ochrana je nejlevnější ochranné zařízení před výkyvy v elektrické síti, ale její efektivita je se stoupající úrovní napětí limitována. Tato ochrana počítač neochrání před poklesem napětí nebo úplným výpadkem elektřiny. Většina přepěťových ochran nezvládne odolat více přepětím po sobě, takže po zabránění poškození počítače musí být vyměněna. Bohužel však nelze vždy zjistit, zdali se něco stalo a ochrana je ještě funkční. 91

Záložní zdroje energie – UPS (Uninterruptible Power Supplies), jsou lepší oproti přepěťovým ochranám, ale také dražší. UPS je akumulátorový typ záložního zdroje, který může dodávat jen omezené množství nashromážděné energie, díky které mohou počítače po výpadku elektřiny ještě nějakou dobu pracovat. UPS nejsou určeny pro dodávání proudu na trvalé používání počítače. Jejím účelem je několik minut po výpadku proudu dodávat nepřetržitě elektrickou energii, aby bylo možné uložit rozdělanou práci (pozavírat aplikace a bezpečně ukončit operační systém). Typický záložní zdroj zvládne dodávat elektrickou energii nejméně 5 až 20 minut, dokud se nevybije akumulátor. UPS jsou připojeny do elektrické zásuvky na zdi a počítač je připojen k UPS. Většina dnešních UPS má na výstupu několik elektrických zásuvek, takže k ní můžete připojit více počítačů najednou. Při běžném provozu se záložní zdroj trvale dobíjí. Při výpadku elektrického proudu to UPS rozpozná, přičemž některé UPS mohou být nakonfigurovány na upozornění uživatele při výpadku proudu. Uživatel je pak upozorněn zvukovým signálem (pípáním), nebo pomocí software, který na určitý uživatelský účet odešle zprávu s upozorněním. Stejný program je možné nastavit pro automatické započetí procesu vypínání připojeného počítače, pokud je UPS v režimu napájení z baterií. K UPS zařízení by měly být připojeny všechny kritické systémy v lokální síti. Cena za kvalitní UPS je jen zlomkem hodnoty nového počítače a cena dat, o která můžete nepoužíváním UPS přijít, je v porovnání s cenou UPS nesrovnatelná. Generátory vyrábí elektřinu pomocí motoru, spalujícího benzín, petrolej, naftu nebo další palivo. Díky generátoru je možné s veškerým vybavením (včetně počítačů) dál pracovat po celou dobu výpadku elektrické energie. Generátory jsou velmi nákladné a jejich hodnota je obvykle navrácena až v případech, kdy se předpokládá dlouhodobý výpadek elektřiny, nebo u napájení životně důležitých přístrojů nebo jiných strojů při havarijních situacích.

6.1.2 Zálohování dat Navzdory všem snahám přece „někdy“ havaruje harddisk, vznikne požár nebo voda poškodí server nebo zákeřný virus zformátuje disky a potřebná data budou rázem nečitelná. Pokud se provádí pravidelné důkladné zálohování, není všechno ještě ztraceno. 92

Zálohovací plán řeší: Které soubory byste měli zálohovat? Kdy byste je měli zálohovat? Jak byste je měli zálohovat? Proč byste je měli zálohovat? Odpověď na čtvrtou otázku by měla být evidentní. V zálohovacím plánu by měl být uveden rozdíl mezi kritickou ztrátou dat, času a prostředků, a menším nepohodlím při strávení několika hodin procesem obnovy dat do původního stavu. Které soubory zálohovat vychází z rozhodnutí co vlastně zálohovat. Dále souborům určeným k zálohování je nutné přidělit priority. V ideální situaci by se mělo samozřejmě zálohovat úplně všechno. To samozřejmě není vždy možné. Ať už z důvodu nedostatečné kapacity zálohovacích médií, tak z důvodu časového omezení. Většinou není důležité zálohovat celý operační systém a součásti aplikací, protože tyto soubory lze snadno nainstalovat z dodávaných instalačních disků. Důležitější je zálohovat prvotní dokumenty, tzn. data vytvořená v různých uživatelských aplikacích. Výstupy tvůrčí činnosti, jako grafické návrhy nebo kompozice původních spisů, by měly mít při zálohování vysokou prioritu, neboť tato díla lze jen velmi obtížně znovu vytvořit ve stejné podobě. Ovšem nejdůležitější data, na kterých společnost stojí, jako manažerská data a účetnictví, by měla být v na prvním místě s nejvyšší prioritou. Zásady, které soubory zálohovat, by měly mít písemnou podobu. Pokud jsou důležitá data rozložena po síti na individuálních lokálních discích, je obtížné při zálohování nějaká data nevynechat. Kdy zálohovat představuje zpracování plánu pro pravidelné a důkladné zálohování důležitých dat. Periodicita by se měla určit podle toho, o kolik dat by se v určitém období mohlo přijít. V úvahu připadá například jednou denně nebo jednou týdně. Zálohování může být naplánováno také na určitou hodinu dne, takže může být spuštěno po pracovní době a nezatěžuje tak zbytečně síť. Většina užitečných zálohovacích programů umožňuje nastavit takové plánované automatické zálohování, takže spuštění zálohovacího procesu nevyžaduje přítomnost obsluhy. 93

Existují tři základní typy zálohování (ačkoliv některé jiné programy mohou nabídnout další možnosti): Úplné zálohování, kdy budou zálohována všechna data na určené diskové jednotce bez ohledu na to, kdy byla jednotka naposledy zálohována a jestli se nějaká data od posledního zálohování změnila. Rozdílové zálohování, kdy budou zálohována jen taková data, která byla od předchozího úplného zálohování změněna. Přírůstkové zálohování, kdy budou zálohována jen taková data, která byla od předchozího zálohování libovolného typu (nejen od posledního úplného zálohování) změněna. Úplné zálohování zabere nejvíce času a prostoru na záložních médiích, a z toho důvodu je nejnákladnější. Je to zároveň nejjednodušší metoda. Pokud se provádí úplné zálohování každou noc, jsou data v záložních kopiích vždy aktuální. Z takových záloh se data také nejsnadněji obnovují. Rozdílové zálohování ušetří mnoho času. Provádí se ve spojení s úplným zálohováním. V konkrétním případě lze jednou za týden nebo jednou za měsíc provést úplné zálohování a mezitím každou noc provádět rozdílové zálohování. Pro následnou obnovu dat do jejich původního stavu je nutné provést obnovu dvou záloh (nejaktuálnější úplné zálohy a nejaktuálnější rozdílové zálohy). Tato metoda je efektivní, pokud se musí zálohovat velké množství dat a na provedení zálohy není ve večerních hodinách dost času. Přírůstkové zálohování je nejrychlejší, ale následná obnova dat je složitější a vyžaduje více času než dvě předchozí metody. Pro obnovu dat se musí obnovit poslední úplná záloha a postupně ještě každodenní zálohování, od posledního úplného zálohování. Zálohovací software „pozná", která data se od posledního zálohování změnila podle toho, že každý soubor má svůj archivní bit. Tento bit je atributem souboru podobný bitu, který označuje soubor jako skrytý nebo pouze ke čtení. Pokud je soubor během úplného nebo přírůstkového zálohování zálohován, je tento bit odstraněn (vypnut). Při rozdílovém zálohování se tento bit neodstraňuje.

94

Jak zálohovat Otázka, jak zálohovat" vyvolává další otázky: Jaké médium bychom pro zálohování měli použít? Jaký software pro zálohování bychom měli použít? Kdo je za provedení zálohování odpovědný? Bude pro zálohování nutná obsluha, nebo celý proces bude automatický? Po mnoho dlouhých let byla pásková jednotka preferovaným zálohovacím médiem. Současné zálohovací programy vám poskytnou širokou nabídku použitelných médií včetně výměnných disků ZIP a Jaz, kompaktní disky CD-R, CD-RW nebo magneto-optické disky (MO). Většina operačních systémů již zálohovací utilitu obsahuje. Důležité je, aby byla zvlášť přidělena odpovědnost za zálohování kritických dat. Je nutné se ujistit, aby osoba provádějící zálohování měla potřebná přístupová práva, pro zálohování dat všech uživatelů. Není nutné přidělovat uživatelům pro provedení zálohy nebo obnovy těchto dat práva pro čtení souborů. Měl by ale existovat „záložní zálohovací operátor", který tuto činnost vykoná, pokud běžný operátor není dostupný. Bez ohledu na to, zdali je zálohování prováděno automaticky nebo manuálně, měla by se pravidelně kontrolovat integrita zálohovaných dat. Není třeba čekat, až skutečná havárie donutí správce sítě obnovit data, aby následně zjistil, že zálohovací mechanika na pásek nic neuložila. I v době kdy záloha není nutná, je dobré provést zkušební obnovu dat. U kritických dat je lepší provádět vícenásobné zálohování. Nejméně jednu z těchto záloh uložit mimo síť. Není dobré uchovávat aktuální soubory se zálohami v zásuvce stolu serveru. Kdyby došlo k požáru nebo vytopení, bylo by všechno zničeno. Zálohy mimo firmu může uchovávat také speciální firma na Internetu, nebo lze záložní data uchovávat v bankovním sejfu nebo depozitní schránce, kterou lze snadno každý den převážet do pobočky firmy.

95

6.1.3 Odolnost disku proti chybám (RAID) Představuje zavedení tolerance chyb disku, která je definována způsobilostí systému k obnovení dat po poruše. Pro předcházení chybám se více pevných disků spojuje do diskového pole, které může mít několik podob. Tento způsob ochrany dat je nazýván RAID (Redundant Array of Independent nebo inexpensive Disks). Běžně používané konfigurace RAID: Zrcadlení disku (RAID level 1) vyžaduje dva fyzické pevné disky, nejlépe o stejné kapacitě. Všechna data na jednom disku jsou zrcadlena na druhém, tudíž se na druhém disku nachází přesně stejná kopie všech souborů a struktury z disku prvního. Pokud jeden disk selže, druhý jej nahradí. To může být provedeno automaticky, nebo příkazem operačního systému. Dvojité disky (RAID level 1) pracují stejně jako zrcadlení disku jen s tím rozdílem, že v tomto případě jsou dva fyzické disky připojeny k různým diskovým řadičům. Tím se zvyšuje úroveň tolerance chyb, neboť při selhání jednoho řadiče může nadále pracovat druhý disk, připojený k jinému řadiči. Pruhování (stripping) disku s paritní jednotkou (RAID level 3) funguje tak, že jsou data zapisována na více pevných disků v tzv. pruzích a na další disk, vyhrazený jen ke svému účelu, se ukládají paritní data. Tento způsob zápisu vyžaduje nejméně tři pevné disky. Dva pro zapisování dat v pruzích a další pro informace o paritě. Pokud disk s daty selže, použije se k jejich regeneraci paritní informace. Pruhování disku s paritními pruhy (RAID level 5) pracuje podobným způsobem jako RAID 3 až na to, že paritní informace, stejně jako data, jsou uloženy v pruzích na různých místech disků. Pro paritu není vyhrazen žádný disk. V tomto případě jsou také vyžadovány nejméně tři pevné disky a pokud kterýkoliv z nich selže, mohou být data regenerována. Parita je definována ve slovníku Microsoft Press Computer Dictionary jako „procedura kontroly chyb, při které musí být v každé skupině bitů stejný počet jedniček“ (je jedno jestli sudý nebo lichý). Pokud o paritě mluvíme v souvislosti s tolerancí chyb disku, tak 96

pro zrekonstruování dat na havarovaném disku se sloučí paritní informace s daty na disku, který stále ještě funguje. Mezi již méně používané typy RAID patří: RAID 2, který je podobný typu RAID 3 v pruhování dat na více disků, přičemž jeden disk je rezervován pro paritní informace. Jediný rozdíl je v tom, že zde jsou data pruhována po bitech, zatímco u typu RAID 3 po bytech. RAID 4, který je také podobný typu RAID 2 a 3 až na to, že data nejsou pruhována po bitech nebo bytech, ale po blocích. RAID 0 zvyšuje výkon při čtení a zápisu dat, ale neposkytuje žádnou chybovou toleranci. RAID 0 ukládá data na více disků v pruzích po blocích, ale neobsahuje paritní informace. Z toho důvodu, když jeden disk selže, již není způsob, jak ztracená data obnovit do původního stavu. RAID může být řešen jak hardwarově, tak softwarově. Ačkoliv je hardwarově založený RAID daleko rychlejší a obecně i spolehlivější, je také mnohem dražší. Některé serverové operační systémy, jako například Microsoft Windows pro RAID vestavěnou softwarovou podporu.

6.1.4 Odolnost serveru proti chybám - Clustering Základem všech metod ochrany před pohromami je redundance. Pro zálohování elektrické energie musíte mít redundantní zdroj elektřiny, tj. zásuvku na zdi a akumulátor v UPS. Stejně tak, pro zálohování dat musíte mít vytvořenou redundantní kopii všech důležitých souborů na zálohovacím médiu. Odolnost disku proti chybám spočívá v rozložení dat na více redundantních disků. Clustering je poslední formou redundance. Clustering představuje „seskupování“ serverů do klastrů (seskupení). Pomocí klastrů je pak skupina serverů v síti dostupná jako jeden server. V případě, že jeden ze serverů v klastru havaruje, převezmou za něj ostatní servery jeho úlohy. Tento přechod je pro uživatele transparentní.

97

Obrázek 19 - Seskupení serverů do klastru.

Podpora seskupování do klastrů je vestavěna v operačním systému Windows Server. Rovněž je dostupný software pro nakonfigurování serverů běžících na jiných operačních systémech.

SHRNUTÍ

Shrnutí V rámci této kapitoly byl čtenář seznámen se základními principy ochrany a obnovy dat.

98

KONTROLNÍ OTÁZKY

Kontrolní otázky 1. Proč je nutné požívat záložní zdroje energie a jaké druhy se používají v počítačových sítích? 2. Charakterizujte základní techniky zálohování dat. 3. Co znamená zkratka RAID a vysvětlete rozdíl mezi zrcadlením disku a dvojitým diskem u RAID level 1. 4. Popište princip clusteringu.

DALŠÍ ZDROJE


Monografie

[1] DOSTÁLEK, L., a kol. Velký průvodce protokoly TCP/IP Bezpečnost. 2. aktualizované vyd. Praha: Computer Press, 2003. 571. s. ISBN 80-7226-849-X. [2] KRÁL, M. Bezpečnost domácího počítače – Prakticky a názorně. 1. vyd. Praha: Grada Publishing, 2006. 334 s. ISBN80-247-14086. [3] NORTHCUTT, S. a kol. Bezpečnost sítí – Velká kniha. 1. vyd. Brno: CP Books, 2005. 589 s. ISBN 80-251-0697-7.

99

7 POČÍTAČOVÁ A INFORMAČNÍ KRIMINALITA VÝSTUPY Z UČENÍ Po prostudování textu této kapitoly Budete umět:

Budete umět

Charakterizovat počítačovou a informační kriminalitu Orientovat se v trestně právních aspektech počítačové kriminality. Získáte:

Získáte

Základní přehled o počítačové kriminalitě.

Budete schopni:

Budete schopni

Rozlišovat jednotlivé druhy útoků na bezpečnost informačního systému. Určit skutkovou podstatu daného jednání při jednotlivých útocích na informační systém. ČAS POTŘEBNÝ KE STUDIU 3 + 1 hodin (samostudium + řešení úloh)

KLÍČOVÁ SLOVA Počítačová kriminalita, skutková podstata, útok, zneužití, destrukční činnost.

PRŮVODCE KAPITOLOU V rámci této kapitoly budete seznámeni se základními charakteristikami počítačové kriminality.

100

7.1 Charakteristika počítačové a informační kriminality Počítačová kriminalita je výrazným jevem dnešní doby. Dříve se tyto jevy nazývaly jinými pojmy (vyzvídání, vyzrazování atd.), na základě uplatnění informací. Dnes se spíše hovoří o informační kriminalitě, kterou je chápána jako pojem širší než kriminalita počítačová. Počítačovou kriminalitou se obvykle označují trestné činy zaměřené proti počítačům stejně tak i trestné činy páchané pomocí počítače. Počítačovou kriminalitu definujeme velmi obecně jako trestný čin: namířený proti integritě, dostupnosti nebo utajení počítačových systémů. při kterém je použito informačních či telekomunikačních technologií. Jiní autoři chápou počítačovou kriminalitu jako veškeré aktivity, které vedou k neautorizovanému čtení, manipulaci, vymazání nebo zneužití dat. Je to tzv. počítačová defraudace jako jedna z metod počítačové kriminality založená na změně nebo jiné interpretaci dat s cílem získat výhodu, peníze pro vlastní neoprávněnou potřebu. Počítače v podstatě poskytují jen novou technologii a nové způsoby pro páchání již známých trestných činů jako sabotáž, krádež, neoprávněné užívání cizí věci, vydírání anebo špionáž. Počítačová kriminalita má řadu výrazných charakteristik, které jí odlišují od kriminality klasické: Ve většině případů počítačové kriminality se neobjevují takové prvky, jako je násilí, použití zbraně, újma na zdraví osob apod. Zatímco však u klasické kriminality se měří doba spáchání trestného činu na minuty, hodiny, dny, trestný čin v oblasti počítačové kriminality může být spáchán v několika tisícinách sekundy a pachatel ani nemusí být přímo na místě činu. Značné ztráty, ať již přímo v podobě finančních částek, nebo v podobě zneužití získaných údajů.

101

Určitá diskrétnost trestné činnosti. Z uvedeného vyplývá, proč počítačová kriminalita bývá, pro svou povahu, označována jako kriminalita „bílých límečků". Případy počítačové kriminality obvykle provází nedostatek klasických důkazních materiálů. Přenosy informací pomocí informační a komunikační techniky se ve většině případů provádějí bez potřebné dokumentace. Vzrůstající využívání soukromých osobních počítačů a jejich zapojení do počítačových sítí. Aby bylo možno hovořit o počítačové kriminalitě, musí pachatel ke svému jednání užít nejen výpočetní techniku, ale jeho jednání musí také naplňovat znaky skutkové podstaty některého trestného činu uvedeného v trestním zákoně a nebezpečnost takového jednání musí dosahovat požadovaného stupně nebezpečnosti činu pro společnost. Rada Evropy přijala členění počítačové kriminality, jejímž smyslem je sjednotit legislativu evropských zemí, protože tato trestná činnost má mezinárodní charakter. Členění počítačové kriminality bylo Rady Evropy vymezeno do dvou seznamů tak, aby bylo jasné, co vše lze pod tento pojem zahrnout: Minimální seznam trestných činů obsahuje taková jednání, která by měla být jako skutkové podstaty trestných činů zapracována do právních řádů jednotlivých zemí, aby bylo možné vést účinný boj proti počítačové kriminalitě. Do Minimálního seznamu jsou zahrnovány: počítačové podvody, počítačové falzifikace, poškozování počítačových dat a programů, počítačová sabotáž, neoprávněný přístup, neoprávněný průnik,

102

neoprávněné kopírování autorsky chráněného programu, neoprávněné kopírování fotografie. Volitelný seznam trestných činů uvádí jednání, která by bylo vhodné kvalifikovat jako trestné činy, avšak není to nezbytné. Do Volitelného seznamu jsou zahrnovány: změna v datech nebo počítačových programech, počítačová špionáž, neoprávněné užívání počítače, neoprávněné užíváni autorsky chráněného programu. Výbory Evropského parlamentu definují pojem počítačově kriminality („Computer Crime", „Computer-related Crime"), jako nelegální, nemorální a neoprávněné jednání zahrnující užití dat získaných prostřednictvím výpočetní techniky nebo jejich změnu. Toto užší pojetí počítačové kriminality zahrnuje: trestné činy ekonomické povahy jako podvody, počítačová sabotáž, nedovolený průnik k datům a programům, krádeže počítačového času, nedovolené užití dat a programů atd., trestné činy útočící na soukromí jedince jako je užití nepravdivých dat, nelegální sběr a užití pravdivých dat, nelegální prozrazení a zneužití dat atd., ostatní trestné činy zahrnující další možné aktivity při zneužití dat, např. činnost směřující proti státu a politickým zájmům společnosti atd. Cílem těchto protiprávních činností jsou v prvé řadě informace, které jsou prostředky výpočetní

techniky

shromažďovány,

uchovávány,

tříděny,

vyhodnocovány

příp.

i transportovány, ať už je pachatelé chtějí získat, modifikovat nebo zničit. Krajním případem je zničení a destrukce prostředků informačních technologií i s informacemi. Z těchto důvodů se stále častěji používá pojmu „informační kriminalita". Při posuzování jednotlivých typů protiprávních jednání a jejich projevů souvisejících s užitím informačních technologií lze zevšeobecnit cíle působení této protiprávní činnosti jako:

103

zneužití subjektu ve vlastní prospěch, ve prospěch třetích osob, v neprospěch subjektu, omezení vlastnických práv subjektů krádeží jednotlivých prvků IS, programátorským plagiátorstvím, počítačovým pirátstvím, vytvoření škody subjektům nebo jejich diskreditace, modifikací informací, zabránění

subjektu

na provozuschopnost

v

plnění

jeho

počítačového

společenských

systému,

útoky

na

funkcí

útoky

hodnověrnost

vypovídací schopnosti dat. Další směr se zaměřuje na krádež informačních služeb při neoprávněném používání informačních technologií (Využívání počítače zaměstnavatele k vlastní výdělečné činnosti apod.). Rozsáhlou specifickou oblastí jsou počítačové viry.

7.2 Trestně právní aspekty počítačové kriminality Ustanovení o ochraně informací nebo IS nalezneme v občanském, obchodním, pracovním, správním právu a pochopitelně v právu trestním. Některé aspekty se objevují i v různých odvětvích. Např. osobní údaje jsou chráněny podle ustanovení občanského zákoníku (ochrana osobnosti) v zákoně o ochraně osobních údajů v IS, ale i v trestním zákoně apod. V praxi jsou rozlišovány tyto druhy napadení: Útok na počítač Útok proti programovému vybavení a datům Destrukční činnost prostřednictvím virů Zneužití výpočetní techniky pro osobní účely Pronikání do počítačových systémů Změny v programech, datech a technickém zařízení 104

Neoprávněný přístup k datům, získávání utajovaných informací Zneužívání počítačových prostředků k páchání jiné trestní činnosti Užití počítače k páchání další trestné činnosti.

7.2.1 Útok na počítač Útok pachatele směřuje proti počítači jako hmotnému předmětu, proti jeho cennému programovému vybavení a uloženým důležitým datům. Tato kriminalita představuje útoky proti technickým prostředkům informačního procesu, tj. sběru, přenosu, uchování, zpracování a distribuci dat (informací), které je uskutečňováno prostřednictvím výpočetní techniky. Pachatel sleduje především obohacení vlastní nebo třetí osoby. Skutková podstata tohoto jednání je vyjádřena v § 247 trestního zákona (krádež), a § 257 trestního zákona (poškozování cizí věci). Vzniklou hmotnou škodu touto trestnou činností lze celkem snadno vyčíslit, ve většině případů jedná se o náklady na pořízení výpočetní techniky.

7.2.2 Útok proti programovému vybavení a datům Zde pachatel vede útok pouze proti programovému vybavení počítače a uloženým datům. Útok může nabýt několika forem. Od nejjednoduššího smazání programového vybavení až po zavedení viru do programového vybavení a následné ztráty programů a dat. Skutková podstata tohoto jednání je vyjádřena v § 257a trestního zákona (poškození a zneužití záznamu na nosiči informací). Vzniklou škodu touto trestnou činností lze však jen velmi obtížně vyčíslit. Finanční hodnotu informace lze vyjádřit nákladem vzniklým na její získání a pořízení nebo určitou hodnotou, kterou představuje pro vlastníka nebo uživatele.

105

7.2.3 Destrukční činnost prostřednictvím virů Počítačový virus je nenápadný malý program, který má při spuštění schopnost sám sebe rozmnožovat. Může napadat: určité programy, zpravidla soubory s koncovkou COM, EXE, je nazýván souborový virus, určité oblasti disku (např.BOOT sektor), pak je nazýván boot virus, po spuštění počítače, kdy je rezidentně uložen v paměti počítače po celou dobu jeho chodu, je to tzv. rezidentní virus. jako červi (worms), kteří jsou síťovou obdobou virů, využívající komunikační sítě, zejména internetu a rychle se šíří samovolně. jako logické útoky, kdy pachatel využije slabin IS. Jedná se o tzv. logické bomby, kdy se programy aktivují za určitých podmínek, např. po určité době nebo po spuštění určitého souboru, pak vykonávají destrukční virovou činnost.

7.2.4 Zneužití výpočetní techniky pro osobní účely Spočívá v práci na počítači, používání programu nebo komunikačního zařízení zaměstnavatele bez jeho souhlasu k privátním účelům. Tato trestná činnost spočívá obvykle ve využívání počítače zaměstnavatele, včetně jeho programů, respektive v prodávání programů, které byly vytvořeny v rámci pracovního poměru jiným uživatelům bez vědomí zaměstnavatele. Pachatelé této trestné činnosti jsou obvykle specialisté na zpracování dat, systémoví programátoři apod. Používání cizího počítače k jiným, než zadaným úkolům je nežádoucí bez ohledu na to, zda je realizováno nevýdělečně, mimo pracovní dobu, a nikoliv na úkor plnění pracovních povinností. Tuto činnost lze posuzovat pomocí § 249 trestního zákona (Neoprávněné užívání cizí věci).

106

7.2.5 Pronikání do počítačových systémů Tuto činnost zpravidla provádí tzv. skupina „haekerů" (průníkářů), kteří se snaží obejít zabezpečení IS a neoprávněně do něj vniknout. Na začátku takového průniku je recese a touha dokázat, že hacker je „lepší" než použitý bezpečnostní systém. Nebezpečí spočívá v získání neveřejných

nebo

tajných

informací

nebo

dokonce

použití

těchto

informací.

Kdy je nebezpečnost takového jednání úměrná úmyslu a kvalitě získané informace (např. informace charakteru státního tajemství). Většina organizací velice neochotně zveřejňuje, že došlo k průniku do jejich IS (obava ztráty prestiže, vznik nedůvěry). Postižená instituce se snaží zdokonalit svůj systém ochrany proti průniku nepovolané osoby. Od skupiny „haekerů" se odlišuje jiná skupina, tzv. „crackeři", kteří se zabývají narušením ochrany programů (např. proti neoprávněnému kopírování).

7.2.6 Změny v programech, datech a technickém zařízení Pachatelé těchto trestných činů mění programy a data za pomoci jiných programů, virů nebo přímými zásahy programátora. Jedná se o tzv. počítačovou defraudaci, kvalifikovanou jako trestný čin poškozování cizí věci podle § 257 tr. zák. (hmotné vlastnictví) a § 257a tr. zák. (poškození a zneužití záznamu na nosiči informací). V menší míře se pachatelé dopouštějí úprav v zapojení nebo v jiném technickém vybavení počítače nebo komunikačního prostředku.

7.2.7 Neoprávněný přístup k datům, získávání utajovaných informací V této oblasti se jedná o činy: Ohrožení utajované skutečnosti podle § 106 trestního zákona. Vyšetřovatel při získávání podkladů podmiňujících zahájení vyšetřování musí pamatovat na 107

to, že se musí jednat o data, která jsou předmětem státního tajemství, a že pachatel jednal s úmyslem vyzradit státní tajemství nepovolané osobě. Vyzradit lze i informace v elektronické formě. Získání utajované technologie a technologického postupu, eventuálně i programů počítačů, veřejné zakázky apod. Ke zpřístupnění těchto informací může dojít prostřednictvím výpočetní techniky. Zkreslování údajů hospodářské a obchodní evidence. Pachatel této trestné činností může činit nejen zásahy do programového vybavení, ale i přímo změnit podklady nebo vstupní údaje vkládané do počítače. Vždy se jedná o velmi snadnou trestnou činnost, které se může dopustit nejen zaměstnavatel, ale i zaměstnanec. V podmínkách hospodářské organizace podléhají režimu utajení podle § 106 trestního zákona osobní údaje zaměstnanců organizace a údaje o zákaznících (fyzických osobách).

7.2.8 Zneužívání počítačových prostředků k páchání jiné trestní činnosti Nejsnadnější a nejúčinnější způsob získání finančních prostředků prostřednictvím počítačů je manipulace s daty (např. úprava evidenčních údajů o skladovaném zboží apod.). Činnost pachatele spočívá v tom, že vymaže nebo přemaže údaje na magnetickém médiu, což nezanechává prakticky žádné stopy. Pachatelé této trestné činnosti změní data úpravou dokladů, z nichž jsou data pořizována, nebo jejich úpravou na médiu, na němž jsou uložena. Nejčastější formou je změna vstupních dokladů, nebo pořízení jiných dat do počítače. Tento druh kriminality se vyskytuje především ve finančních institucích, jakými jsou banky, spořitelny, pojišťovny apod. Převážně se jedná o podvody, které jsou provedeny formou neoprávněného převodu finančních prostředků na účet k tomu zvlášť založený. Pachateli této trestné činnosti jsou většinou vlastní zaměstnanci finančních institucí.

108

7.2.9 Užití počítače k páchání další trestné činnosti. Tato oblast zahrnuje kriminální jevy, kde je počítač nástrojem pachatele k páchání další trestné činnosti, která již není vázána na výpočetní techniku, programy nebo data.

7.3 Odhalování a objasňování počítačové kriminality Složitost problematiky ICT, s níž se orgány činné v trestním řízení setkávají, zejména při vyšetřování počítačové kriminality, klade na tyto orgány vysoké nároky, pokud jde o použití

specifických

metod

vyhledávání,

zajišťování,

zkoumání

a

vyhodnocování

počítačových stop. Úspěšnost dopadení pachatele počítačové kriminality závisí nejen na technickém vybavení a na důkladném ohledání místa události související s počítačovou kriminalitou, ale i na znalostech a zkušenostech orgánů činných v trestním řízení, soudního znalce nevyjímaje. Policejní sbory všech vyspělých států se ve stále větší míře zabývají problematikou zneužívání výpočetní techniky. Hledají speciální metody identifikace a prevence a své síly spojují i v mezinárodním měřítku prostřednictvím mezinárodní organizace kriminální policie – Interpol. V ČR byla a je registrována a soudně stíhána řada případů počítačové kriminality. Ve většině známých případů byl však pachatel odhalen spíše náhodou než systematickou prací policejních nebo jiných bezpečnostních orgánů. Nejdůležitější podmínkou odhalení pachatele je perfektní a poctívá práce všech zaměstnanců postižené instituce. Jak uvedených myšlenek a názorů vyplývá, odhalovat jevy nebo činy počítačové kriminality vyžaduje týmovou práci specialistů. Zvyšování kvalifikace v této oblasti je nezbytným předpokladem úspěchů policie, zejména, jestliže si uvědomíme trendy rozvoje informatiky, rozšiřování počítačových sítí apod.

7.4 Trendy počítačové kriminality Počítačovou kriminalitu v současné době rozvíjejí ti, kteří v ní hledají zdroj obživy, což vede k rostoucímu zapojení organizovaného zločinu. Metody profesionálních zločinců 109

jsou stále rafinovanější, a proto aktivní ochrana se stává absolutní nezbytností. Dnešní firmy, organizace a státní instituce jsou na počítačích, počítačových sítích a na internetu silné závislé. Bohužel základní předností internetu jsou také zároveň klíčovými složkami internetu, které zneužívají pachatelé počítačové kriminality. Dnes lze počítačovou kriminalitu charakterizovat následujícími trendy: Nové delikty lze spáchat pouze on-line. Jedná se o trestné činy či pouze přestupky proti integritě, důvěrnosti a dostupnosti počítačových dat a informací. Nejlépe dokumentovanou formou tohoto typu deliktu je hacking. Tradiční útoky na okolní počítače, sítě a informační systémy jsou provádění prostředky ICT také on-line. Pachatelé používají k útoku na systémy chráněné trestním právem i prostřednictvím vydírání, podvodů a sociálního inženýrství. Počítačová kriminalita zároveň odráží vývoj tradičních off-line kriminálních aktivit. Odhaduje se, že přibližně 70% veškerých škodlivých kódů vzniká za účelem zisku. Počítačová kriminalita je v Evropě trestně právní kategorií s nejvyšším nárůstem trestných činů. Vzrůstající ohrožení mobilních komunikačních systémů. Počítačové virusy a jejich následné varianty ukazují, že ani mobilní zařízení nejsou před útoky zvenčí bezpečná. Zneužívání bezdrátových sítí Wi-Fi. Síťoví červi představují nebezpečí pro mobilní telefony a další přenosná zařízení. Viry napadající bezdrátové sítě Wi-Fi mohou přecházet mezi jednotlivými sítěmi a spouštět např. lokalizované útoky typu Denial-of-Service. Masové rozšíření spammingu pomocí trojských koní a botů. Velký nárůst počtu e-mailových červů. Masový spamming, který následně umožňuje stažení trojských virů, nakazí nechráněné počítače, aniž by to jeho uživatel zpozoroval. Tajné infikování počítačů umožňuje útočníkům ovládat napadený počítač na dálku pomocí „botů" - automatických programů. Jedná se o populární způsob napadení, protože infikování se neustále vyvíjí a je velice obtížné je vystopovat. Lze předpokládat, že poroste počet závažných „nárazových" útoků. Tisíce infikovaných počítačů lze spojovat do jedné obrovské sítě (botnet), která umožňuje provádět rozsáhlé útoky typu Distributed Denial of Service, kdy nastává zhroucení napadených serverů, které potom odmítají poskytovat služby. Nárůst phishingu, který znamená rozesílání falešných e-mailových zpráv ze zdánlivě oficiálních zdrojů. Tyto zprávy obsahují zpětné adresy nebo odkazy a požadují, aby adresát 110

aktualizoval určité osobní informace, např., hesla, čísla bankovních účtů apod. Phising patří do oblasti sociálního inženýrství, které se v posledním období velice rozšiřuje. Rozšiřování spywaru. Internetoví zločinci, se stále častěji zaměřují na finanční zisk. Spyware se tak bude stále častěji využívat např. k ukradení identity, či monitorování klávesnice za účelem zachycení osobních údajů apod.

SHRNUTÍ

Shrnutí V rámci této kapitoly byl čtenář seznámen se základními charakteristikami počítačové kriminality.

KONTROLNÍ OTÁZKY

Kontrolní otázky 1. Jaká jednání obsahuje „Minimální seznam trestných činů“ a proč vznikl? 2. Jaký vztah má „Volitelný seznam trestných činů“ K „Minimálnímu seznamu trestných činů? 3. Jaký je rozdíl mezi hackerem a hackerem? 4. Popište princip phishingu.

111

DALŠÍ ZDROJE


Monografie

[1] KRÁL, M. Bezpečnost domácího počítače – Prakticky a názorně. 1. vyd. Praha: Grada Publishing, 2006. 334 s. ISBN80-247-14086. [2] NORTHCUTT, S. a kol. Bezpečnost sítí – Velká kniha. 1. vyd. Brno: CP Books, 2005. 589 s. ISBN 80-251-0697-7.

112

INFORMATIKA Informační bezpečnost

Recommend Documents