INFORMAČNÁ BEZPEČNOSŤ 7

1. INFORMAČNÁ BEZPEČNOSŤ 7 RNDr. Eva KOSTRECOVÁ, PhD.

2. SPRÁVA A PREVÁDZKA SYSTÉMOV, POČÍTAČOV A SIETÍ Obsah prednášky: • Prevádzkové procedúry • Plánovanie kapacít zdrojov systému a akceptácia systému • Ochrana pred škodlivým softvérom • Zálohovanie a archivácia informácií • Správa sietí • Bezpečnosť médií a manipulácia s nimi • Výmena a prenos informácií a softvéru

3. ÚVOD Cieľom každej spoločnosti, ktorej záleží na informačnej bezpečnosti, je zabezpečenie správnej a bezpečnej prevádzky prostriedkov spracovávajúcich informácie. Preto je potrebné chrániť tieto prostriedky všetkými prístupnými formami, a to najmä popismi ako správne používať a nezneužívať tieto prostriedky, ako ich chrániť, spravovať, konfigurovať, ale aj zaistiť preventívne opatrenia proti ich zneužitiu, napadnutiu alebo zničeniu. Je nutné ich monitorovať, plánovať ich nákup, rozširovanie, prípadne obmenu. V neposlednom rade netreba zabudnúť ani na zálohovanie, archiváciu, prenos a komunikáciu údajov a informácií, s ktorými sa v spoločnosti pracuje.

4. PREVÁDZKOVÉ PROCEDÚRY Cieľom prevádzkových procedúr je poskytnúť zamestnancom a zmluvným pracovníkom spoločnosti predpisy, ktorých rešpektovanie a dodržiavanie umožní nepretržité udržiavanie bezpečnosti na požadovanej úrovni. Prevádzka je z hľadiska bezpečnosti citlivým miestom. Prevádzkové procedúry musia z bezpečnostného hľadiska okrem iného obsahovať: • návody na údržbu, • podmienky, za ktorých je možné vykonávať zásahy do systému, • určenie dohľadu pri zásahoch údržby, • časovanie požiadaviek, vzájomných súvislostí s inými systémami, najskorší čas začatia práce a najneskorší čas ukončenia,

5. PREVÁDZKOVÉ PROCEDÚRY /2 • pravidlá pre zmeny systémov v prevádzkovom prostredí, • zálohovanie a archiváciu údajov, • plány výnimočných prác, • návody pre zvládnutie nehôd s označením rôznych poplachových stavov a príslušných kompetencií, spolu s kontaktom na podporu pre prípad neočakávaných prevádzkových alebo technických problémov, • spôsob kontroly správ o činnosti, • spôsoby spracovania údajov a manipulácie s nimi, • špeciálne inštrukcie pre zaobchádzanie s výstupmi, použitie špeciálnych formulárov, riadenie dôverného výstupu, bezpečné uloženie alebo odstránenie výstupu z chybnej práce.

6. PREVÁDZKOVÉ PROCEDÚRY PRE PRACOVNÉ STANICE Procedúry pre pracovné stanice a prenosné počítače musia obsahovať: • postupy, ktoré je potrebné aplikovať v prípade detekcie vírusu alebo poruchy, • preventívne antivírové odporúčania, • pravidlá pre zálohovanie a správu údajov, • pravidlá pre prenosné počítače, • pravidlá ochrany a spracovania citlivých údajov, • individuálne bezpečnostné odporúčania týkajúce sa výberu hesiel, prihlasovania a odhlasovania sa, upratanie stola – bezpečnostný mechanizmus - čistý stôl, hlásenie problémov a ďalších požiadaviek riadiacich dokumentov bezpečnostnej politiky spoločnosti.

7. PROCEDÚRY SPRÁVY INCIDENTOV Správa incidentov je trvalý proces, ktorého účelom je minimalizácia vplyvu chýb na funkčnosť systému. Procedúry pre správu incidentov a problémov systému musia popisovať aktivity a úlohy, prostredníctvom ktorých sa zabezpečí, že: • zistené incidenty a problémy budú vyriešené čo najrýchlejšie, • dočasne navrhnuté alternatívne možnosti umožnia pokračovanie práce, • získané informácie o príčinách chýb budú užitočné pri riešení budúcich problémov. Musia byť vypracované procedúry pokrývajúce všetky potenciálne typy incidentov, vrátane: • chyby systému a straty služby, • chyby obsluhy, • odmietnutia služby, • chyby vyplývajúcej z nekompletnosti alebo nepresnosti údajov, • porušenia dôvernosti, integrity alebo dostupnosti údajov.

8. PROCEDÚRY SPRÁVY INCIDENTOV /2 Správa incidentov a problémov systému je proces, ktorý sa realizuje pomocou nasledujúcich krokov: • identifikácia incidentu alebo problému, • podanie správy o probléme, • záznam správy o probléme, jeho popis, rozsah vplyvu problému na funkčnosť systému, • zistenie naliehavosti problému a jeho vplyv na ostatné funkcie systému, • začatie prípadných akcií, • upozornenie osoby, ktorá rieši problém, • informovanie vedenia spoločnosti, ak je to potrebné, • pridelenie priority, • určenie alternatív – hľadanie alternatívnych ciest na obídenie problému, • riešenie problému musí byť zaznamenané do správy o probléme spolu so stanoviskom kompetentným riadiacim pracovníkom.

9. PLÁNOVANIE KAPACÍT ZDROJOV SYSTÉMU Kapacita zdrojov systému a jeho komponentov musí byť plánovaná vopred, aby sa zaistila dostupnosť primeraných zdrojov pri prevádzke systému. Požiadavky na kapacitu a výkonnosť zdrojov systému musia byť monitorované administrátorom systému. Základnými informáciami, ktoré sú potrebné pre efektívne plánovanie kapacít systému sú informácie o: • súčasnom stave disponibility systému – diagnostika, • predpokladaných zmenách disponibility systému – predikcia. V spoločnosti je potrebné zvážiť použitie automatizovaného systému merania a predikcie disponibility jeho zdrojov. Zavedenie takéhoto prostriedku umožní administrátorovi systému predpovedať, kedy sa disponibilita systému môže znížiť natoľko, že ohrozí funkčnosť niektorého zo svojich subsystémov. Takýmto spôsobom je možné v predstihu riešiť rôzne problémy.

10. PLÁNOVANIE KAPACÍT ZDROJOV SYSTÉMU /2 Automatizovaný systém merania a predikcie disponibility musí zabezpečiť nasledujúce činnosti: • diagnostika disponibility, • predikcia zmien disponibility, • generovanie zostáv súčasného stavu, • rýchla identifikácia úzkych miest systému, • návrh riešenia problémových stavov. Informácie o disponibilite systému musia byť zálohované, archivované a dostupné, pretože slúžia ako podklad pri výpočte predikcie zmien disponibility.

11. AKCEPTÁCIA SYSTÉMU V spoločnosti by mali byť stanovené akceptačné kritériá pre implementáciu nových informačných systémov do prevádzky a pre aktualizácie a nové verzie už prevádzkovaných systémov. Pred akceptáciou musia byť vykonané všetky druhy testov – systémové, integračné, záťažové, užívateľské. Požiadavky a kritériá na akceptáciu nových systémov do rutinnej prevádzky musia byť jasne definované, odsúhlasené, zdokumentované a otestované. Súčasťou akceptačných kritérií musia byť: • požiadavky na výkon a kapacitu počítačov, • klauzula o zaškolení prevádzkových pracovníkov a užívateľov systému, • procedúry obnovy po chybových stavoch, procedúra reštartu a plán kontinuity, • popis manuálnych procedúr, • potvrdenie, že inštalácia nového systému neovplyvní negatívne prevádzku existujúcich systémov, • potvrdenie, že boli zohľadnené všetky bezpečnostné požiadavky a štandardy platné v spoločnosti.

12. OCHRANA PRED ŠKODLIVÝM SOFTVÉROM Každá spoločnosť by mala chrániť integritu svojich informačných systémov, ich komponentov a informácií, najmä pred stratou a narušením vírusmi a inými neželanými kódmi. Do praxe je potrebné uviesť preventívne opatrenia proti prieniku vírusov a neželených kódov. Ich aplikovanie by malo prebehnúť v nasledujúcich oblastiach: • antivírový systém je potrebné nainštalovať vo všetkých bodoch, kde prichádza ku komunikácii s externým prostredím, • softvér pre zisťovanie a odstraňovanie vírusov musí vyhovovať požiadavkám bezpečnostnej architektúry spoločnosti. Vybraný antivírový produkt musí byť pravidelne aktualizovaný a spúšťaný v stanovených intervaloch, • problematike vírusov, spôsobom infiltrácie a detekcie by sa mal venovať bezpečnostný informatik špecialista, schopný zasiahnuť v prípade napadnutia.

13. PREVENCIA PRED ŠKODLIVÝM SOFTVÉROM Na pracovných staniciach, serveroch a ďalších komponentoch systému by mal byť používaný len autorizovaný softvér. Kopírovanie softvéru typu „freeware" alebo súborov z anonymných ftp serverov musí byť explicitne zakázané. V prípade udelenia výnimky musia prejsť takéto softvéry cez karanténnu stanicu. Kopírovanie súborov a softvéru z externých sietí a iných médií, musí byť zabezpečené schválenými procedúrami a opatreniami. Karanténny počítač bude nainštalovaný všade tam, kde si to vyžaduje vysoké množstvo novoinštalovaného softvéru. V spoločnosti by sa mali vykonávať pravidelné revízie obsahu softvéru a údajov v komponentoch systému. Prítomnosť neschválených súborov a neautorizovaných zmien by mala byť preskúmaná a hlásená ako bezpečnostný incident.

14. PREVENCIA PRED ŠKODLIVÝM SOFTVÉROM V OBLASTI ELEKTRONICKEJ POŠTY Pre prichádzajúcu elektronickú poštu musí byť nainštalovaný antivírový program. V prípade potreby sa doporučuje nainštalovať aj filter, ktorý bude odchytávať neetické alebo výhražné správy, prípadne poštu z anonymných serverov. Je potrebné vypracovať procedúru, ktorá usmerní ďalší postup v prípade prijatia nakazeného súboru pripojeného k poštovej správe. Nakazená správa nesmie byť smerovaná k adresátovi. Je možné postupovať niektorým z nasledujúcich spôsobov: • upozorniť odosielateľa a pracovníka spoločnosti zodpovedajúceho za bezpečnosť, • pokúsiť sa o odvírenie správy antivírovým softvérom, • presmerovať správu na karanténnu pracovnú stanicu, • zablokovať správu.

15. ZÁLOHOVANIE A ARCHIVÁCIA INFORMÁCIÍ V spoločnosti je nutné pravidelne vykonávať zálohovanie dôležitých údajov a softvéru pre zabezpečenie ochrany integrity a dostupnosti služieb a údajov. Pre zálohovanie musia byť použité také mechanizmy a prostriedky, aby bola možná obnova spracovania po havárii. Pre zálohovanie a archiváciu údajov spracúvaných v jednotlivých aplikáciách je potrebné vypracovať procedúru a plán zálohovania a archivácie, ktorý by mal obsahovať: • popis dát, ktoré podliehajú zálohovaniu a archivácii, • cykly a typ zálohovania - kompletné, prírastkové, rozdielové, • cykly archivácie, doby uchovávania archivačných záznamov v súlade s požiadavkami legislatívy, • čas vykonávania zálohovania a archivácie, • spôsob a miesto uskladnenia zálohovacích a archívnych médií a spôsob nakladania s nimi, • riadenie prístupu k záložným a archívnym médiám, • kontrolu kvality zálohovania a archivácie reštauračnými testami, • stanovenie životnosti záložných a archívnych kópií, • klasifikáciu údajov.

16. OPERÁTORSKÉ ZÁZNAMY Je potrebné zaznamenávať a udržiavať záznamy udalostí týkajúcich sa prevádzky systému a aktivity zamestnancov zabezpečujúcich prevádzku systému. Operátorské záznamy musia byť monitorované a vyhodnocované, aby bolo možné detekovať odchýlky a zaznamenávať udalosti, ktoré môžu poskytnúť dôkazy pre prípad bezpečnostných incidentov.

17. AUDITNÉ ZÁZNAMY Pomocou sledovania a vyhodnocovania auditných záznamov je možné zaznamenávať a analyzovať činnosti používateľov v systéme a zmeny dôležitých údajov. Prostredníctvom auditných záznamov je možné aplikovať preventívne opatrenia proti neautorizovaným udalostiam v systéme a detekovať a potláčať ich. Auditné záznamy musia obsahovať všetky údaje, ktoré umožnia vyšetrovanie straty údajov alebo neautorizovaného zásahu. Všetky auditné záznamy musia byť chránené pred neautorizovaným prístupom a zásahom. Auditné záznamy musia byť v pravidelných intervaloch zálohované a analyzované bezpečnostnými špecialistami.

18. SPRÁVA KONFIGURÁCIE SIETE Cieľom správy sietí je zabezpečenie informácií v sieťach a ochranu podpornej infraštruktúry. Správa konfigurácie siete zahŕňa nasledujúce úlohy: • identifikácia - udržiavanie záznamov o všetkých komponentoch siete, • riadenie zmien konfigurácie siete, • záznam súčasného stavu - zaznamenávanie, ukladanie a prezentácia všetkých stavových údajov, ktoré sú významné z hľadiska správy konfigurácie siete, • kontrola konfigurácie siete - úplná kontrola všetkých zaznamenaných stavových informácií s cieľom zistiť, či všetky zmeny konfigurácie boli vykonané autorizovaným spôsobom a či nemajú nepriaznivý dopad na systém.

19. SPRÁVA SIEŤOVÉHO SOFTVÉRU,SPRÁVA SIEŤOVÝCH KOMPONENTOV Správa sieťového softvéru zahŕňa obnovu, opätovnú inštaláciu, rozšírenie a vymazávanie systémového a aplikačného softvéru. V spoločnosti by mali byť vypracované procedúry, ktoré formalizujú proces správy sieťového softvéru. Do procesu správy sieťových komponentov patrí ochrana sieťových káblov a pripojených aktívnych prvkov siete pred náhodnou alebo úmyselnou modifikáciou, ktorá môže viesť k strate dostupnosti, integrity alebo kompromitovaniu citlivých údajov počas prenosu cez sieť.

20. BEZPEČNOSŤ MÉDIÍ A MANIPULÁCIA S NIMI Každé médium obsahujúce citlivé údaje alebo informácie musí byť klasifikované v súlade s pravidlami pre klasifikáciu údajov a musí mu byť poskytnutá patričná ochrana. Medzi média patria: • papierové dokumenty, formuláre, hlavičkové papiere, kopírovací papier, pásky do tlačiarní, • magnetické pásky, • prenosné disky alebo kazety, • hlasové a iné nahrávky, • optické archivačné médiá. Na fyzické média, ktoré sú nosičmi citlivých údajov sa vzťahujú rovnaké bezpečnostné požiadavky, ako na údaje, ktoré sa na nich nachádzajú. Každé médium bude zaradené do jednej z tried citlivosti údajov, podľa najvyššej triedy citlivosti, do ktorej sú zaradené údaje na ňom zapísané. Pravidlá pre klasifikáciu údajov sa aplikujú na celé médium.

21. BEZPEČNÝ PRENOS MÉDIÍ Transportované médiá musia byť pri prenose chránené pred neautorizovaným prístupom, zneužitím a zničením. Na zabezpečenie médií pri ich prenose by mali byť prijaté nasledujúce opatrenia: • nepotrebný obsah prenosného média, ktoré opúšťa spoločnosť by mal byť zmazaný, • všetky médiá opúšťajúce spoločnosť by mali byť zaznamenané a monitorované, aby sa dal sledovať ich pohyb, • mal by byť použitý dôveryhodný spôsob transportu alebo kuriér, • média musia byť zabalené tak, aby nedošlo k ich fyzickému poškodeniu počas transportu, • pri prenose citlivých médií musia byť prijaté dodatočné opatrenia na ochranu citlivých údajov, aby sa zabránilo ich neautorizovanej modifikácii, a to napr.: použitím uzavretých kontajnerov, osobným doručením, balením, ktoré prezradí pokus o otvorenie, rozdelením dodávky na viac častí a doručenie častí rôznymi cestami.

22. BEZPEČNOSŤ SYSTÉMOVEJ DOKUMENTÁCIE Systémová dokumentácia môže obsahovať množstvo citlivých údajov, napr. popis procesov v aplikáciách, procedúry, údajové štruktúry, autorizačné procesy. Pre ochranu systémovej dokumentácie pred neautorizovaným prístupom by mali byť zohľadnené nasledujúce opatrenia: • systémová dokumentácia musí byť uložená na bezpečnom mieste, • zoznam osôb s prístupom k systémovej dokumentácii musí byť minimalizovaný a autorizovaný garantom aplikácie, • systémová dokumentácia uchovávaná na verejných sieťach alebo prenášaná cez verejné siete, musí byť chránená.

23. BEZPEČNOSŤ ELEKTRONICKEJ POŠTY Spoločnosť by mala zabezpečiť, aby citlivé údaje prenášané a prijímané prostredníctvom elektronickej pošty boli chránené takým stupňom ochrany, aký vyžaduje pôvodca údajov. Údaje musia byť chránené proti porušeniu, strate, omeškaniu a neautorizovanému odhaleniu. Používanie elektronickej pošty v spoločnosti by malo byť povolené len pre služobné účely a plnenie povinností vyplývajúcich z pracovnej náplne. Každá správa elektronickej pošty obsahujúca citlivé informácie musí obsahovať text, v ktorom je príjemca upozornený na spôsob narábania so správou a jej obsahom.

24. BEZPEČNOSŤ ELEKTRONICKEJ POŠTY /2 V spoločnosti by mala byť vypracovaná procedúra popisujúca použitie elektronickej pošty, ktorá bude zahŕňať opatrenia pre tieto prípady : • útoky na elektronickú poštu - vírus, zachytenie správy, • ochrana príloh elektronickej pošty, • prípady, kedy nepoužívať elektronickú poštu, • zodpovednosť zamestnancov za to, aby nekompromitovali organizáciu, napr. posielaním urážlivej alebo obťažujúcej pošty, • použitie kryptografických techník na zabezpečenie dôvernosti a integrity elektronických správ, • uchovanie správ použiteľných v súdnych sporoch, • automatická kontrola správ, ktoré sa nepodarilo autentizovať.

25. BEZPEČNOSŤ ELEKTRONICKÝCH KANCELÁRSKYCH SYSTÉMOV Elektronické kancelárske systémy umožňujú rýchlejšie šírenie a zdieľanie firemných informácií vďaka použitiu kombinácie dokumentov, počítačov, prenosných počítačov, mobilnej komunikácie, pošty, hlasovej pošty, hlasovej komunikácie, multimédií, poštových služieb a faxov. Na ochranu týchto systémov sa aplikujú bezpečnostné mechanizmy v súlade s požiadavkami klasifikácie citlivých údajov. Musia sa zohľadniť dôsledky spojenia týchto technických prostriedkov na bezpečnosť a prevádzku a zvážiť: • citlivosť informácií v kancelárskych systémoch, napr. uložené telefónne čísla, dôvernosť hovorov, uloženie faxov, otváranie pošty, distribúcia pošty, • vylúčenie kategórií citlivých informácií, ak systém nezabezpečuje primeranú úroveň ochrany,

26. BEZPEČNOSŤ ELEKTRONICKÝCH KANCELÁRSKYCH SYSTÉMOV /2 • zamedzenie prístupu do kalendára vybraných osôb, napr. personálu pracujúceho na citlivých projektoch, • vhodnosť systému na podporu obchodných aplikácií pre posielanie objednávok alebo ich schvaľovanie, • kategórie personálu, zmluvných a obchodných partnerov, ktorým je povolené používať systém a miesta, z ktorých ho smú využívať, • obmedzenie použitia vybraných prostriedkov pre určité kategórie používateľov, • identifikovanie funkcie používateľov, • uchovávanie a zálohovanie informácií v systéme, • požiadavky na zabezpečenie kontinuity.

27. VEREJNE PRÍSTUPNÉ SYSTÉMY V spoločnosti je potrebné venovať pozornosť zabezpečeniu integrity elektronicky publikovaných údajov a dokladov s cieľom predísť ich neautorizovanej zmene, ktorá by mohla spôsobiť narušenie dobrého mena spoločnosti. Údaje vystavené na verejne prístupnom systéme, napr. na webovom serveri, prístupnom cez Internet musia spĺňať požiadavky legislatívy SR. Softvér a údaje umiestnené na takomto systéme si vyžadujú vysoký stupeň integrity a musia byť chránené bezpečnostnými mechanizmami. V systémoch, ktoré umožňujú spätnú väzbu a priame vkladanie údajov, musí byť zabezpečené, aby: • údaje boli získavané a uchovávané v súlade s legislatívou o ochrane údajov - osobné údaje, údaje obchodného tajomstva, • získané údaje boli spracované kompletne, presne a aktuálne, • citlivé údaje boli primerane chránené počas získavania, uloženia a spracovania, • prístup k publikačnému systému neumožňoval nestrážený prístup do siete, ku ktorej je systém pripojený.

28. FAXOVÁ KOMUNIKÁCIA Všetky prenosy informácií pomocou faxov alebo faxmodemov, ktoré sú spojené s pracovnými stanicami alebo servermi, by mali byť kontrolované podľa schváleného zoznamu telefónnych čísel, na ktoré je možné informácie faxom posielať. Ak sa pomocou faxu prenášajú citlivé údaje, na sprievodnom liste alebo na prvej strane faxovej správy by mala byť poznámka o tom, že ide o citlivé údaje, ktorým musí byť zabezpečená primeraná úroveň ochrany. Pri prenose citlivých údajov musí byť zabezpečená ochrana dôvernosti prenášaných údajov. Umiestnenie faxového prístroja nesmie umožniť prístup neautorizovaných osôb bez kontroly. Každý fax obsahujúce citlivé informácie musí obsahovať text, v ktorom je príjemca upozornený na spôsob narábania s prijatým dokumentom.

29. OCHRANA TELEFONICKÝCH SPOJENÍ Každá spoločnosť by mala mať zabezpečenú kontinuitu a dôvernosť telefonickej komunikácie a primerané riadenie výhražných telefonátov. Zamestnanci by mali byť poučení, aby obmedzili riziko prezradenia citlivých údajov pri telefonických hovoroch spôsobené: • používaním mobilného telefónu na verejnosti, • odpočúvaním pri použití analógových liniek, • inými osobami prítomnými na strane príjemcu hovoru. Zamestnanci by mali byť tiež upozornení, aby dôverné hovory neviedli na verejných miestach, v otvorených kanceláriách a v miestnostiach s tenkými stenami a nenechávali citlivé informácie ako odkazy na záznamníkoch.

30. POUŽÍVANIE TECHNOLÓGIÍ ŠIFROVANIA Citlivé údaje prenášané a uchovávané v systémoch spoločnosti by mali byť šifrované. Doporučuje sa, aby šifrovacie technológie používané v spoločnosti podporovali funkcie „key recovery“, aby bola zabezpečená dostupnosť chránených údajov v prípade straty kľúča, úmyselného zneprístupnenia kľúča alebo potreby kontroly obsahu. Použitie „key recovery“ je podmienené prítomnosťou dvoch osôb vlastniacich časti kľúča – špecialista pre bezpečnosť, riadiaci pracovník. Každý používateľ ručí za dôvernosť svojho šifrovacieho kľúča a za jeho zneužitie. Každé podozrenie na zneužitie šifrovacieho kľúča je považované za bezpečnostný incident. V prípade straty alebo zneužitia šifrovacieho kľúča, sa tento okamžite zablokuje alebo inak znefunkční.

31. VÝSTUPNÉ KOPÍROVACIE ZARIADENIA Výstupným kopírovacím zariadením sa rozumie mechanické alebo elektronické zariadenie umožňujúce použiť údaje mimo priestorov spoločnosti. K výstupným kopírovacím zariadeniam patria: • tlačiareň, • disketová mechanika, CD mechanika, • video, • pásková mechanika, • pevný disk, • kopírovací prístroj, • scanner. Výstupné zariadenia, ktoré vytvárajú kópie citlivých údajov, by mali byť chránené pred neautorizovaným prístupom a prezeraním ich výstupov. Smú ich používať len autorizovaní zamestnanci spoločnosti.