Sigurnost informacionih sistema

1. Sigurnost informacionih sistema 10. poglavlje

2. Uvod • Informacijesuvažanresursodkojegazavisiopstanakirazvojorganizacije i moraju biti adekvatno zaštićene • Informacijskasigurnost se bavizaštitominformacijabezobzira u kojemobliku one postojale; dakle, to uključujeinformacijei u digitalnomi u papirnomobliku • Unutrašnje i vanjske prijetnje informacijskoj sigurnosti

3. Situacija u BiH • Da li se u BiH informacije smatrajuosobitomvrijednošću? • Da li imaju statusimovineilikapitala? • Koliko kompanije pridaju pažnje sigurnosti u zaštiti informacijskih resursa?

4. Informacijska sigurnost • Povjerljivosti – informacija jedostupnasamoonimakojisuovlaštenida je koriste • Integritet – osiguravatačnostikompletnostinformacijaimetodazanjihovoprocesiranje • Dostupnosti – samo ovlaštenoosobljeimapristupinformacijama

5. Prijetnjeinformacionimresursima • Zaposleni • Niska svijest o potrebi i načinima zaštite informacija • Porastumreženostiidistribuiraneobradepodataka • Porast složenosti, efektivnosti i dostupnosti hakerskih alata i virusa • E-mail i Internet • Elementarnenepogodeinesreće

6. Kompjuterskivirusiidrugimalicioznisoftver • Najčešći tip ugrožavanja informacionih sistema • Kompjuterski virus je program koji je napisan sa ciljem da prilikom izvršavanja napravi štetu na inficiranom kompjuteru • Crv (eng. worm) je program koji se brzo multiplicira kroz kompjutersku mrežu, ali ne poduzima nikakve druge akcije na inficiranim kompjuterima • “Trojanski konj" je program koji se ne multiplicira, ugrađen je u neki drugi program i obično "krade" korisne i važne informacije

7. Hakerski upadi i greške • Haker je osobakojaneovlaštenoupada u telekomunikacionumrežukako bi ostvarila profit, krivičnodjeloili, jednostavno, ličnozadovoljstvo • Greške se mogu desiti bilo gdje u sistemu obrade informacija: kroz unošenje podataka, kroz greške u programu, kompjuterskim operacijama i hardveru i mogu imati katastrofalne poslijedice

8. Katastrofe • Kompjuterski program, bazepodatakaiopremamogubitiuništeni u slučajupožara, prekida u napajanjuelektričnomenergijomidrugihkatastrofa • Oporavak sistema nakon katastrofe je jako težak i zahtjevan posao, koji se u poslijednje vrijeme često obavlja korištenjem outsourcinga

9. Fault-tolerant kompjuterskisistemi • Sadržedodatnehardverske, softverske, kaoikomponentenapajanjastrujomkojeosiguravajusistemiomogućavajunjegovnesmetanrad • Dijelovi ovih kompjuterskih sistema se mogu odstraniti i popraviti bez utjecaja na normalan rad sistema

10. Kakoprovestiinformacijskusigurnost • Procjena rizika – da bi se zaštitili, morateznatiodčega se štitite • Prilikom projene rizika potrebno je uzeti u obzirsveinformacijske resurse kojekompanija posjeduje • Nakon procjene rizika identifikuju se i provode mjere zaštite kako bi se rizici umanjili

11. Mjere zaštite • Jasnoograničavanjepravapristupa • Stroga kontrola cirkulacije informacija • Nivo tajnosti svake informacije treba biti jasno obilježen • Definiranje procedura za manipulaciju informacijama

12. Mjere zaštite • Potpisivanjeizjaveo upoznatostisasvimproceduramavezanimazainformacijskusigurnost, i svjestanosti o materijalnojikaznenojodgovornosti u slučajukršenjaistih • Disciplinskipostupcinaddjelatnicimakojisuprekršilipravilainformacijskesigurnosti

13. Antivirusnisoftver • Softverdizajnirantakodazaštitikompjutereodprisustvaraznihkompjuterskihvirusa • Antivirusni softver mora da bude redovno ažuriran • U sprezi sa antivirusnim programima potrebno je provoditi i preventivnemjere (izbjegavanje sumnjivih web stranica, oprez pri otvaranju maila...)

14. Zaštitaod Internet hakera • IT Security Policy - potrebno je osigurati kontrolu pravila o korištenju informacionog sistema, informacija i IT tehnologije u firmi • Instaliranje zaštitnih uređaja na komunikacijskim kanalima koji vode izvan firme - vatreni zidovi(firewalls)

15. Plan oporavka sistema u slučaju katastrofe • Da li se oslonitinauslugedrugihfirmi u ilirazvitivlastitisistemiplanoveoporavka • Analizom svog posla kompanije trebaju da odrede koje podatke treba posebno osigurati od gubitaka u slučaju katastrofa i koji administratori su od velikog značaja za brzi oporavak od kriza • Važno održavati barem minimalan broj radnika od kojih zavisi oporavak

16. Revizija IS-a • Obuhvaća ispitivanje i vrednovanje informacionog sistema i korištenje softvera za direktno ispitivanje i analizu kompjuterski proizvedenih podataka • Obezbjeđuje pouzdanosti prezentovanih informacija u određenom poslovnom sistemu i definira smjernice za sigurnost i zaštitu ključne infrastrukture na globalnoj osnovi

17. Revizija IS-a • Osnovnarevizorskapitanja: • Kontrolanepravilnosti • Efektivnostpraktičneprimjeneširokorasprostranjenihmetodazaevaluacijusvihvrstarizikaposlovanja • Efektivnostprimjenerevizorskihpostupakanaprimjerukonkretnoginformacionogsistema • Svakaozbiljnarevizorskakuća je razvilavlastitumetodologijurevizijeinformacionihsistema

18. Kontrola IS-a • Opća kontrola - nadgledadizajn, sigurnostikorištenjekompjuterskihprogramaiuopćesigurnostbazapodataka u cijelojorganizaciji • Primijenjenakontrola - specifičnazasvakukompjuteriziranuaplikaciju • Kontrolainformacionogsistemamorabitisastavnidionjegovogdizajna

19. Opće menadžment kontrole • Općemenadžmentkontroleodnose se naokruženje u kojeminformacionisistemifunkcionišu • Sastoji se od opće kontrole i administrativne kontrole

20. Opća kontrola • Kontrola organizacije i rukovođenja instalacijom • Kontrola politika zaštite instalacije • Kontrola kontinuiteta rada instalacije • Kontrola upravljanja imovinom IT-a • Kontrola korištenja tuđih usluga IT-a

21. Administrativna kontrola • Set formaliziranih standarda, pravila, procedura kojima se osigurava ispravna provedba općih i primijenjenih kontrola, uključuje: • odvajanje funkcija • pisane politike i procedure • nadgledanje

22. Kontrola IS-a • Svakainstitucija bi trebalaimatirazvijenesopstvene procedure zakorištenjeinformacionogsistema • Procedure korištenjainformacionogsistema bi trebalebitiprimjenjivenapostojećiinformacionisistem • Kvalitetakontrolabitnoutječena funkcionisanje IS-a

23. Razvoj kontrolne strukture • Koristi se cost-benefitkako bi se odredilokojisu to optimalni mehanizmi • Bitna pitanja prilikom razvoja kontrolne strukture: • Zaštita stajaćih podataka • Kontrolaučinkovitosti • Nivorizikakojinastajekaorezultatnepravilnekontrole

24. Aplikativne (primjenjene) kontrole • Jedinstvenazasvakukompjuteriziranuaplikaciju • Sastoji se odtehnikakojeprimjenjujukorisnici, teodprogramiranihprocedura • Mogubitiručneiprogramske

25. Revizija aplikacije • Vrednuje interne kontroleposebnoza: • unos podataka (u kompjuter) • obradu podataka • datoteke i rezultate obrade podataka • Može ali ne mora biti visokotehničkeprirode

26. Vrednovanjekontrolaaplikacije • Vrednovanje kontrola aplikacijeobuhvata: • Kontrola organizacije i dokumentacije aplikacije • Kontrola ulaznih podataka • Kontrola izvođenja aplikacije • Kontrola prijenosa podataka • Kontrola matičnih podataka • Kontrola rezultata aplikacije

27. Kontrola procesa implementacije • Vršiprovjerurazvojasistemadužrazličitihnivoakako bi se osiguralapotpunakontrolanadtimprocesom • Važnastavkarazvojasistemajesteodgovarajućadokumentacijabezkoje bi biloteško, pa čakinemoguće, kontrolirati, održavatiikoristitiinformacionisistem

28. Kontrola hardvera i softvera • Softverskakontrolanadgledaupotrebusistemskogsoftveraisprječavaneovlaštenoubacivanjedodatnogsistemskogsoftvera, tekompjuterskihprograma • Kontrolahardverafizičkiosiguravasigurnosthardverainepostojanjegrešaka u funkcioniranjuopreme

29. Kontrola kompjuterskih operacija • Primjenjuje se naradkompjuterskogodjelaiosiguravakonstantnuiispravnuprimjenuprogramskihproceduranaprocesepohranjivanjaiobradepodataka • Uključuje kontrolu: • Poslovaobrade • Softverskihikompjuterskihoperacija • Povrati procedure oporavka u slučajuda se obradazavršilaneispravno

30. Kontrola sigurnosti podataka • Omogućujesigurnostvrijednihpodatakaodneovlaštenogupada, promjeneiliuništenja • Onlineireal-timesistemisuvrloranjivi, jerim se možepristupitiprekoterminalaiprekooperatora

31. Kontrola sigurnosti podataka • Pristup terminalima može biti fizički ograničen na samo nekoliko ovlaštenih osoba • Softvermožezahtijevatilozinkukoja je poznatasamoovlaštenimosobama • Dodjela različitih privilegija za korištenje

32. Provjere kvalitete podataka • Ostvaruje se slijedećim metodama: • ispitivanje krajnjih korisnika i njihovih ocjena kvalitete podataka • ispitivanje cijelih baza podataka • ispitivanjeprimjerkasabazapodataka • Informacionisistemkrim-evidencije FBI-a pokazao je da je čak 54,1% podataka kojima raspolažunetačno, nepotpunoidvosmisleno

33. Socijalni inžinjering • Temelji na iskorištavanju ljudskog faktora u organizacijama • Neoprezni korisnici IS-a mogu da otkriju povjerljive informacije (npr. password) • Za menadžment veći izazov predstavlja zaštita od netehničkih napada nego od tehničkih • Kontinuirana edukacija je jedini odgovor

34. Tehnike socijalnog inžinjeringa • Phishing - navođenje korisnika na određenu, napadaču korisnu radnju, predočenjem lažne obavijesti, odnosno postavljanjem mamca • Vishing - VoIPa korištenjem principa phishing tehnike napada • Pharming – manipulaciju DNS zapisima • Spear phishing – metode ciljanih napada, i • Smishing – zlouporaba SMS servisa na mobitelima

35. Sigurnost informacionih sistema 10. poglavlje