NAMIFOT3, INFORTE3 přednáška 3 8.10.2013

1. NAMIFOT3, INFORTE3přednáška 38.10.2013 Ing. Monika Šimková

2. Aktivum • Cokoliv, co má pro organizaci hodnotu např. • Fyzická aktiva (budovy, HW,…) • Informace/data (dokumenty, databáze, …) • Software • Schopnost vytvářet produkty nebo poskytovat služby • Lidé • Nehmotné hodnoty (image firmy, …) Nejsou-li aktiva chráněna je nutný akceptovaný odhad rizik. Stupeň náročnosti a podrobnosti analýzy aktiv musí být dán poměrem spotřebovaného času a nákladů vůči hodnotě aktiv. Stupeň podrobnosti je dán bezpečnostními cíli organizace. Velmi často je praktické a užitečné sdružit aktiva do skupin. Požadavky na ochranu aktiv jsou ovlivněny jejich zranitelností při výskytu specifických hrozeb. Atributy aktiv mohou podléhat prostředí a kultuře.

3. Zranitelnost • Slabina či slabé místo aktiva nebo skupiny aktiv, které může být využito hrozbou. • Podstata zranitelného místa může být: • Fyzická … umístění IS v místě, které je snadno dostupné sabotáži a/nebo vandalismu, výpadek napětí … • Přírodní … objektivní faktory – záplava, požár, zemětřesení, blesk • V HW nebo SW • fyzikální … vyzařování, útoky na výměnu zprávy při komunikaci • lidský faktor … největší zranitelnost ze všech možných • vznikají jako důsledek selhání (opomenutí, zanedbání): • v návrhu … nedostatečná nebo nesprávná analýza • ve specifikaci požadavků …. Nekvalifikovaná • v řešení …. Nedodržení projektu • v konstrukci … analytické nebo programátorské chyby • v provozu … neadekvátní režimové nástroje

4. Dopad • Důsledek nežádoucího incidentu způsobeného náhodně nebo úmyslně, který má vliv na aktiva. • Kvantitativní a kvalitativní měření dopadu lze docílit např. • Stanovením finančních nákladů • Přiřazením empirické stupnice síly (1-10) • Použitím adjektiv z předem definovaného seznamu: • Nízký, střední, vysoký • Následky mohou být: • Přímé – zničení či poškození aktiva • Nepřímé – ztráta podílu na trhu • Měření dopadů umožňuje vybudování rovnováhy mezi výsledky nežádoucích incidentů a náklady na ochranná opatření.

5. Hrozba • Možnost využít zranitelné místo k útoku na něj – ke způsobení škody na aktivech Objektivní • Přírodní, fyzické …. Požár, povodeň, výpadek napětí, poruchy,… • Obtížná prevence, řešení minimalizace dopadů vhodným plánek obnovy a vypracování havarijního plánu • Fyzikální …. Elektromagnetické vyzařování • Technické nebo logické … porucha paměti, špatné propojení jinak bezpečných komponent, krádež, resp. Zničení paměťového média, nebo nedokonalé zrušení informace na něm Subjektivní, tj. hrozby plynoucí z lidského faktoru • Neúmyslné …. Nekvalifikovaný uživatel/správce • Úmyslné …. Vnější útočníci (špioni, teroristi, kriminální živly, konkurenti, hackeři) a vnitřní útočníci (propuštěný, rozzlobený, vydíraný, chamtivý … zaměstnanec)

6. Útok – bezpečnostní incident

7. Útočník

8. Riziko

9. Bezpečnost ICT

10. Bezpečnost ICT • Je zajištěna: • Důvěrnosti • Integritou • Autenticity • Dostupnosti • Individuální odpovědnosti • Spolehlivosti

11. Základní pojmy

12. Základní pojmy

14. Hezký den 