Organizacij ų sistemos (I) INFORMACIJOS SAUGA

1. Organizacijų sistemos (I)INFORMACIJOS SAUGA 1.1 Informacijos saugos sąvokos ir principai

2. Autoriai doc. Algimantas Venčkauskas algimantas.venckauskas@ktu.lt Kompiuterių katedra http://www.ifko.ktu.lt/~algvenck/orgsist/ A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

3. Paskaitos planas Išnagrinėti: Informacijos saugos problemas. Pagrindines saugos sąvokas: informacijos konfidencialumą, prieinamumą ir vientisumą. Informaciją ir informacinius santykius. Informacinių santykių subjektus ir saugumą. Šiuolaikinių kompiuterinių sistemų kaip apsaugos objekto ypatumus. Kompiuterinių sistemų informacijos saugumo grėsmes. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

4. Informacijos saugos problemos • Bet kuri fundamentali techninė ar technologinė naujovė, suteikdama galimybę išspręsti vienas socialines problemas ir atverdama plačias jų plėtros perspektyvas, visada sukelia kitų (socialinių) problemų paaštrėjimą arba veikia naujas problemas, tampa naujų visuomenės pavojų šaltiniu. • Be reikiamo dėmesio saugumo užtikrinimo klausimams perėjimo prie naujų technologijų padariniai visuomenei gali būti katastrofiški. • Neteisėto tam tikros informacijos dalies iškraipymo ar falsifikavimo galimi padariniai. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

5. Informacijos saugos problemos (2) • Gyvybiškai svarbūs subjektų interesai – kad tam tikra informacijos dalis, liečianti jų saugumą, ekonomines, politines ir kitas veiklos sritis, konfidenciali komercinė ir asmeninė informacija būtų lengvai prieinama ir kartu patikimai apsaugota nuo neteisėto panaudojimo: • nepageidaujamo paviešinimo, • falsifikavimo, • neteisėto tiražavimo, • sunaikinimo. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

6. Saugumo incidentų kitimas. Informacija pateikiama CERT (Computer Emergency Response Team) A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

7. Saugumo spragų skaičiaus kitimas A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

8. „Sužvejotų“ slaptažodžių atvejų skaičius „Anti-Phishing“ darbo grupės (APWG) duomenys A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

9. Pranešimų kiekis apie atakas ar piktnaudžiavimo atvejus A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

10. Atakų arba piktnaudžiavimo kategorijos, atnešusios nuostolių 2006 metais A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

11. Kodėl informacijos saugumo užtikrinimo problema vis labiau auga? • Pirmiausia – besikeičianti kompiuterinės technikos naudojimo priemonių sfera ir išaugęs pasitikėjimas kompiuterizuotomis valdymo ir informacijos apdorojimo sistemomis. • Pasikeitė pačios „informacijos“ samprata. Šis terminas vis dažniau vartojamas apibrėžti ypatingai prekei, kurios kaina dažnai viršija kompiuterinės sistemos, kurioje ji saugoma ir apdorojama, kainą. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

12. Kodėl informacijos saugumo užtikrinimo problema vis labiau auga? (2) • Asmeninių kompiuterių ir kompiuterinės technikos priemonių prieinamumas lėmė didesnį gyventojų kompiuterinį raštingumą, kas padidino bandymų kištis į valstybinių ir komercinių kompiuterizuotų sistemų veiklą skaičių • piktybiniais tikslais; • grynai dėl „sportinio intereso“. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

13. Teisinės apsaugos problemos • Padėtį sunkina tai, kad iš esmės informacinių santykių subjektų interesai neapsaugoti teisiškai. • Atsilikimas teisinių santykių reguliavimo sistemos kūrimo, taip pat informacijos kaupimo ir vartojimo srityje sudaro sąlygas atsirasti ir plisti „kompiuteriniam chuliganizmui“ ir kompiuteriniam nusikalstamumui. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

14. “Kenkėjiškos” programos • Dar vienas svarus argumentas, kodėl būtina nedelsti sprendžiant kompiuterinių sistemų saugumo klausimus, yra kompiuterinių virusų (“kenkėjiškų” programų), galinčių slaptai egzistuoti sistemoje ir vykdyti bet kokius nesankcionuotus veiksmus, išplitimas. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

15. Programišiai, piktavaliai kompiuterių vartotojai • Ypatingą pavojų kompiuterinėms sistemoms kelia piktavaliai kompiuterinės technikos ir programavimo srities specialistai profesionalai, puikiai žinantys visas stipriąsias ir silpnąsias kompiuterinių sistemų vietas, disponuojantys smulkiausia dokumentacija, moderniausiomis instrukcijomis ir techninėmis apsaugos mechanizmų analizavimo ir įsilaužimo priemonėmis. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

16. Informacijos ir kompiuterinių sistemų apsaugos tikslas • Ieškant informacijos saugumo problemos sprendimo, reikia vadovautis tuo, kad informacijos ir kompiuterinių sistemų apsauga nėra savitikslė. Kompiuterinės saugos sistemos kūrimo galutinis tikslas yra visų kategorijų subjektų, tiesiogiai arba ne dalyvaujančių informacinės sąveikos procesuose, apsauga nuo galimos materialinės, moralinės ar kitokios žalos, atsitiktinių ar tyčinių poveikių informacijai jos apdorojimo ir perdavimo metu. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

17. Nepageidaujami kompiuterinių sistemų veiksniai: • piktadarių tyčiniai veiksmai, • aptarnaujančio personalo ir sistemos vartotojų klaidingi veiksmai, • klaidos jos programinėje apsaugoje, • įrangos sutrikimai ir gedimai, avarijos, • stichinės nelaimės. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

18. Saugomi objektai • Informacija; • visi jos nešikliai; • informacijos apdorojimo kompiuterizuotoji sistema; • atskiri sistemos komponentai. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

19. Ką užtikrina kompiuterizuotosios sistemos saugumas? • Kompiuterizuotosios sistemos saugumo užtikrinimas numato kliūčių sukūrimą - • bet kokiam nesankcionuotam kišimuisi į jos funkcionavimo procesą, • mėginimams vogti, modifikuoti, sugadinti jos komponentus, • t. y. visų sistemos komponentų: techninės ir programinės įrangos, duomenų (informacijos) ir jos personalo, apsaugą. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

20. Apsauga nuo nesankcionuotos prieigos • Informacijos apsauga nuo nesankcionuotos prieigos yra tik dalis bendros kompiuterinių sistemų saugumo užtikrinimo ir informacinių santykių subjektų teisėtų interesų apsaugos problemos, o patį „nesankcionuotos prieigos“ terminą būtų teisingiau traktuoti ne kaip ,,nesankcionuotą prieigą“ (prie informacijos), o plačiau – kaip ,,nesankcionuotą, neteisėtą veiksmą“, darantį žalą informacinių santykių subjektams. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

21. Dėl tam tikros srities objektų valdymo veiklos sėkmės informacinių santykių subjektai gali būti suinteresuoti užtikrinti: • šiuolaikinę prieigą prie jiems būtinos informacijos (per jiems priimtiną laiką); • tam tikros informacijos dalies konfidencialumą (išsaugojimą paslaptyje); • informacijos patikimumą (pilnumą, tikslumą, adekvatumą, visuotinumą); A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

22. apsaugą nuo klaidingos (nepatikimos, iškraipytos) informacijos pateikimo jiems (tai yra nuo dezinformacijos); • dalies informacijos apsaugą nuo neteisėto jos tiražavimo (autorių teisų, informacijos savininko teisų apsaugą ir pan.); • atsakomybės pasidalijimą už kitų informacinių santykių subjektų teisėtų teisių (interesų) ir nustatytų naudojimosi informacija taisyklių pažeidimus; • galimybę įgyvendinti informacijos apdorojimo ir perdavimo procesų nenutrūkstamą kontrolę ir valdymą. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

23. Būdamas suinteresuotas užtikrinti nors vieną iš minėtų reikalavimų, informacinių santykių subjektas yra pažeidžiamas, tai yra potencialiai iškyla žalos pavojus (tiesioginės arba netiesioginės, materialinės arba moralinės), kai daroma įtaka kritinei informacijai ir jos laikmenoms arba neteisėtai naudojamasi tokia informacija. Todėl visi informacinių santykių subjektai suinteresuoti užtikrinti savo informacinį saugumą (žinoma, tai iš dalies priklauso nuo žalos, kuri jiems gali būti padaryta, dydžio). A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

24. Siekiant užtikrinti įstatymines teises ir apginti išvardytuosius subjektų informacinio saugumo interesus būtina išlaikyti tokias informacijos ir jos apdorojimo sistemų savybes: • informacijos prieinamumą,; • informacijos vientisumą; • informacijos konfidencialumą. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

25. Informacijos prieinamumas Informacijos prieinamumas – tai sistemos, kurioje cirkuliuoja informacija, savybė, apibūdinama gebėjimu užtikrinti subjektų prieigą prie informacijos be kliūčių ir laiku, taip pat atitinkamų kompiuterizuotų tarnybų pasiruošimas visada aptarnauti subjektų užklausas, kada iškyla būtinybė kreiptis; A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

26. Informacijos vientisumas Informacijos vientisumas – tai informacijos savybė egzistuoti neiškreipta forma (būti nekintama, fiksuotos padėties). Tiksliau sakant, subjektams svarbu, kad būtų užtikrinama platesnė savybė – informacijos patikimumas, kuris susideda iš konkrečios srities padėties atvaizdavimo adekvatumo (pilnumo ir tikslumo) ir tiesiog informacijos vientisumo, tai yra jos neiškraipymo. Vis dėlto mes apsiribosime tik informacijos vientisumo užtikrinimo klausimų aptarimu, o atvaizdavimo adekvatumo užtikrinimas išeina toli už informacijos saugumo užtikrinimo ribų. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

27. Informacijos konfidencialumą Informacijos konfidencialumas – subjektyviai nustatoma (priskiriama) informacijos charakteristika (savybė), nurodanti būtinumą įvesti apribojimus subjektams, turintiems prieigą prie tos informacijos, ir sistemos (aplinkos) užtikrinamą galimybę saugoti nurodytą informaciją paslaptyje nuo subjektų, neturinčių įgaliojimų prie jos prieiti. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

28. Objektai, kuriuos reikia apsaugoti • Objektais, kuriuos reikia apsaugoti siekiant užtikrinti informacinių santykių subjektų saugumą, turi būti laikomi: • informacija, • jos laikmenos, • apdorojimo priemonės, • apdorojimo procesai. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

29. Terminas ,,informacijos saugumas“ Terminą ,,informacijos saugumas“ reikia suprasti kaip: • informacijos apsaugą nuo informacinių santykių subjektams nepageidaujamo jos paviešinimo (konfidencialumo pažeidimo), • iškraipymo (vientisumo pažeidimo), • praradimo ar informacijos prieinamumo lygio sumažėjimo, • taip pat neteisėto jos platinimo. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

30. Informacijos apdorojimo kompiuterizuotosios sistemos (kompiuterinės sistemos) saugumą suprasime kaip visų jos komponentų (techninių priemonių, programinės įrangos, duomenų ir personalo) apsaugą nuo informacinių santykių subjektams nepageidaujamų veiksnių. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

31. Bet kurio KS komponento (ištekliaus) saugumas susideda iš trijų jo charakteristikų: • konfidencialumo, • vientisumo • ir prieinamumo, užtikrinimo. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

32. Sistemos komponento konfidencialumas reiškia, kad jis prieinamas tik tiems subjektams (vartotojams, programoms, procesams), kuriems suteikti atitinkami įgaliojimai. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

33. Sistemos komponento vientisumas numato, kad jis gali būti modifikuotas tik subjekto, turinčio atitinkamas teises. Vientisumas yra komponento korektiškumo (nekintamumo, darbingumo) garantija bet kuriuo laiko momentu. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

34. Komponento prieinamumas reiškia, kad subjektas, turintis atitinkamus įgaliojimus, gali bet kuriuo laiku be ypatingų problemų prieiti prie reikiamo sistemos komponento (ištekliaus). A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

35. 1.2 Informacijos saugos grėsmės A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

36. Kaip rodo analizė, dauguma šiuolaikinių informacijos apdorojimo sistemų bendruoju atveju yra geografiškai paskirstytų sistemų, intensyviai sąveikaujančių tarpusavyje, keičiantis vietinių kompiuterių tinklų ir atskirų kompiuterių ištekliais: aparatiniais ir programiniais, duomenimis. Paskirstytose KS galimi visi tradiciniai, lokaliai išdėstytoms (centralizuotoms) kompiuterių sistemoms būdingi nesankcionuoto kišimosi į jų darbą ir prieigą prie informacijos būdai. Be to, joms būdingi ir nauji specifiniai įsiskverbimo į sistemą ir nesankcionuotos prieigos prie informacijos kanalai, kurių buvimas paaiškinamas toliau išvardytais ypatumais. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

37. Pagrindiniai paskirstytųjų KS ypatumai: • sistemos komponentų teritorinė sklaida ir intensyvus jų keitimasis informacija; • platus informacijos pristatymo, saugojimo ir perdavimo būdų spektras; • įvairios paskirties duomenų, priklausančių įvairiems subjektams, įtraukimas į bendrąsias duomenų bazes ir, atvirkščiai, kai kuriems subjektams būtinų duomenų laikymas įvairiuose nutolusiuose tinklo mazguose; A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

38. duomenų valdytojų atsiejimas nuo fizinių struktūrų ir duomenų laikymo vietos; • paskirstytojo duomenų apdorojimo režimas; • didelio skaičiaus įvairių kategorijų vartotojų ir personalo dalyvavimas kompiuterizuoto informacijos apdorojimo procese; • didelio skaičiaus įvairių kategorijų vartotojų (subjektų) prieiga prie išteklių (tarp jų ir informacinių) vienu metu ir tiesiogiai; • didelė kompiuterinės technikos ir ryšio priemonių, taip pat programinės įrangos įvairovė; • nėra KS įvairių techninių priemonių apsaugai skirtos specialios įrangos. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

39. KS susideda iš tokių pagrindinių struktūrinių-funkcinių elementų: • darbo stočių (worstation) – atskirų kompiuterių arba nutolusių tinklo terminalų, kuriuose realizuojamos vartotojų (abonentų, operatorių) kompiuterizuotosios darbo vietos; • serverių, arba tarnybinių stočių, (server, host computer) – didelio našumo kompiuterių, skirtų saugojimo, duomenų spausdinimo, tinklo aptarnavimo darbo stočių funkcijoms ir panašiems veiksmams realizuoti; • tarptinklinių tiltų (paketų komutacijos centrų, komunikacinių kompiuterių) – elementų, užtikrinančių keleto duomenų perdavimo tinklų ar keleto to paties tinklo segmentų, turinčių skirtingus sąveikos protokolus sujungimą; • ryšio kanalus (vietinius, telefoninius, su komutacijos mazgais ir t. t.). A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

40. Darbo stotys yra prieinamiausi tinklo komponentai ir dažniausia būtent nuo jų gali prasidėti bandymai atlikti nesankcionuotus veiksmus. • Iš darbo stočių valdomi informacijos apdorojimo procesai, programų paleidimas, duomenų įvedimas ir koregavimas, darbo stočių diskuose gali būti laikomi svarbūs duomenys ir apdorojimo programos. • Būtent todėl darbo stotys turi būti patikimai apsaugotos nuo pašalinių asmenų prieigos ir turėti teisėtų vartotojų, turinčių įvairius įgaliojimus, prieigos prie išteklių apribojimo priemones. • Be to, apsaugos priemonės turi neleisti nepatyrusiems (neatidiems) vartotojams netyčia pažeisti darbo stočių normalios konfigūracijos ir jų funkcionavimo režimų. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

41. Ypatingos apsaugos reikia tokiems piktadariams patraukliems tinklų elementams kaip serveriai ir tiltai. • Pirmiesiems – nes juose saugomi ir apdorojami dideli informacijos kiekiai; • antriesiems, nes juose transformuojami (galbūt atvira, nešifruota forma) duomenys, derinant apsikeitimo protokolus, įvairiose tinklo dalyse. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

42. Kadangi serveriai ir tiltai yra lokalizuoti, juos patikimai apsaugoti galima fizinėmis ir organizacinėmis priemonėmis, iki minimumo sumažinant asmenų iš kompiuterinės sistemos personalo, turinčių tiesioginę prieigą prie jų, skaičių. • Tuo pat metu reikia laukti masinės atakos prieš serverius ir tiltus naudojant nuotolinės prieigos priemones. • Gali būti naudojamos visos galimybės ir priemonės – nuo standartinių (be komponentų modifikavimo) iki specialių įrangos priemonių prijungimo (kanalai yra silpnai apsaugoti nuo prijungimo) ir aukštos klasės programų apsaugos sistemai įveikti. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

43. Kanalams ir ryšio priemonėms taip pat reikalinga apsauga. • Kadangi ryšio linijos paskirstytos erdvėje (nekontroliuojamoje ar silpnai kontroliuojamoje teritorijoje), visada yra galimybė prie jų prisijungti arba įsikišti į duomenų perdavimo procesą. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

44. Grėsmė • Grėsmė apskritai suprantama kaip potencialiai įmanomas įvykis, veiksmas (poveikis), procesas ar reiškinys, kuris gali padaryti žalos kieno nors interesams. • Grėsme informacinių santykių subjektų interesams vadinsime potencialiai įmanomą įvykį, procesą ar reiškinį, kuris paveikęs informaciją ar kitus KS komponentus gali tiesiogiai arba netiesiogiai padaryti žalos tų subjektų interesams. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

45. Saugumo pažeidimas • Saugumo pažeidimu (arba tiesiog pažeidimu) vadinsime saugumo grėsmės realizavimą. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

46. Pagrindinės KS ir informacijos saugumo grėsmės informacinių santykių subjektams yra: • stichinės nelaimės ir avarijos (potvynis, uraganas, žemės drebėjimas, gaisras ir pan.); • KS įrangos sutrikimai ir gedimai (techninių priemonių); • KS projektavimo ir realizavimo klaidų padariniai (įrangos priemonių, informacijos apdorojimo technologijų, programų, duomenų struktūrų ir pan.); • eksploatavimo klaidos (vartotojų, operatorių ir kito personalo); • pažeidėjų ir piktadarių tyčiniai veiksmai (įžeistų asmenų iš personalo tarpo, nusikaltėlių, šnipų, diversantų ir pan.). A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

47. Saugumo grėsmių klasifikavimas Daugybė potencialių grėsmių pagal jų prigimtį skirstoma į dvi klases: • natūraliosios (objektyviosios) grėsmės; • dirbtinės (subjektyviosios) grėsmės A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

48. Grėsmių skirstymas pagal jų prigimtį A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

49. Natūraliosios (objektyviosios) grėsmės – tai grėsmės kompiuterinei sistemai ir jos elementams, sukeliamos objektyvių fizinių procesų ar stichinių gamtos reiškinių, nepriklausančių nuo žmogaus. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai

50. Dirbtinės (subjektyviosios) grėsmės – tai grėsmės kompiuterinei sistemai ir jos elementams, sukeliamos žmogaus veiklos. Iš jų, remiantis veiksmų motyvacija, galima išskirti: • netyčines (neapgalvotas, atsitiktines) grėsmes, sukeltas KS ir jos elementų projektavimo klaidų, programinės įrangos klaidų, personalo veiklos klaidų ir pan.; • tyčines (apgalvotas) grėsmes, sukeltas savanaudiškų žmonių (piktadarių) siekių. A. Venčkauskas, 2007 Organizacijų sistemos | Informacijos saugos sąvokos, principai