Koncept informacn bezpecnosti

Transkript

1 Motto Koncept informacn bezpecnosti PV 017 Rzen informacn bezpecnosti Jan Staudek Ð Û Å«Æ ±²³ µ ¹º»¼½¾ Ý Verze : podzim 2016 Bezpecnost nen cern a a bl a, bezpecnost je sk ala odstn u sed e rozprostren a pod el cel eho kontinua. Ukazte mne dokonalou bezpecnost a j a V am uk azu spolecnost, kter a se nevyvj dostatecn e rychle. Clem zabezpecov an je { snazit se zabr anit nejkatastroct ejsm sc en ar um, { zabr anit standardnm utok um na zn am e cle (get rid of the low-hanging fruit) a { systematicky se v enovat vylepsov an technologi a jejich bezpecnosti. Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 1 Predm ety FI MU souvisejc s informacn bezpecnost PV017 Rzen informacn bezpecnosti { tento predm et Cl { pozn an princip u managementu / rzen informacn bezpecnosti na slajdech d ale pro pojem informacn bezpecnost casto pouzv ame zkratku InSec D urazn e upozornen { v yklad predpokl ad a znalost kryptograe, spr avy kryptograe a bezpecnostnch z asad alespo n v rozsahu predmetu PV080 Predm ety FI MU souvisejc s informacn bezpecnost Dals predm ety souvisejc s problematikou InSec PV080 Ochrana dat a informacnho soukrom, prof. Maty as Uvod do bezpecnosti informac, logicky predchoz predmet k PV017 PV119 { Z aklady pr ava pro informatiky, Dr. Smd IV054 { K odov an, kryptograe a kryptograck e protokoly, Prof. Gruska PV079 { Aplikovan a kryptograe, Prof. Maty as PV157 { Autentizace a rzen prstupu, Prof. Maty as, Mgr. Rha Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 2 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 3

2 Obsah predm etu, hlavn t emata predn asek Nach azme se v informacnm v eku 1. Koncept informacn bezpecnosti, InSec (IT Security) 2. Souvisejc standardizace, legislativa 3. Anatomie informacn bezpecnosti, utok, zraniteln e msto, opatren, Potenci al k utoku predstavuje riziko, je nutn e zn at rzen/zvl ad an rizik 5. Rzen InSec v organizaci, manazersk e principy 6. Soubor pravidel pro dosazen InSec { politika informacn bezpecnosti 7. Aplikacn bezpecnost, reakce na bezpecnostn incidenty 8. Procesy prosazujc InSec, syst em rzen/spr avy informacn bezpecnosti, ISMS, Information Security Management System 9. Meren ucinnosti / efektivity ISMS 10. Digit aln d ukazy 11. Prezkoum av an a hodnocen ucinnosti / efektivity ISMS, audit ISMS 12. Jak vyhodnotit v ysi z aruky za dosazen stanoven e urovne InSec { krit eria pro hodnocen InSec Prvn pr umyslov a revoluce ( ) nastolila pr umyslov y v ek, manufaktury tov arny Druh a pr umyslov a revoluce (konec 19. st.) vylepsila pr umyslov y v ek o elektrikaci Tret pr umyslov a revoluce (1950 { 1970) byla digit aln revoluc, nastolila informacn v ek spolecnost zalozen a na znalostech je obklopen a vyspelou glob aln ekonomikou, kter a ovliv nuje jak vysoce v ykonnou v yrobu, tak i efektivne a pohodlne fungujc sektor sluzeb Otrepan a pravda { informace jsou m enou informacnho v eku Z akladnm n astrojem pro manipulaci, uchov av an, pred av an,... informac jsou informacn technologie Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 4 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 5 Informacn technologie Rzen IT (IT Governance), informacn bezpecnost, rzen informacn bezpecnosti Technologie, τ εχνoλoγια τ εχνη, dovednost + λoγoς, slovo, nauka, znalost + prpona ια Oxford Dictionary: The application of scientific knowledge to practical purposes in a particular field.... a technical method of achieving a practical purpose. odvetv techniky, kter e se zab yv a tvorbou, zav adenm a zdokonalov anm v yrobnch postup u technika { slozka lidsk e kultury, kter a zarucuje schopnost nebo dovednost kon an v kter emkoli oboru, τ εχνη, techné, dovednost, remeslo, umen Z aver: Technologie = jak neco DELAT,,neco"{ postup, metoda,... dostupn a dky rozvoji technologi Objektivne plat, ze snaha delat veci l epe/efektivneji ex. trvale ex. trval y rozvoj technologi informacn technologie { technologie zpracov an informac Rzen IT, IT Governance Prstup k zajisten sladen prstupu k IT s obchodn strategi obchodn strategie { zabezpecen, aby organizace smerovala spr avn ym smerem k dosazen sv ych cl u a plnen sv ych strategick ych pl an u Disciplna zach azejc se strukturami, standardy, postupy, procesy, kter a t ymy spr avy a rzen organizace vede k efektivnmu rzen, ochrane a vyuzv an informacnch aktiv organizace Aktivum { neco, co m a organizaci hodnotu, co vlastnkovi aktiva prin as nejak y v ynos nebo se ocek av a, ze v ynos prinese v budoucnu Informacn aktivum { informace nebo sluzba, kterou zpracov av a nebo poskytuje informacn nebo komunikacn syst em, zamestnanci a dodavatel e podlejc se na provozu, rozvoji, spr ave nebo bezpecnosti informacnho a/nebo komunikacnho syst emu, technick e vybaven, komunikacn prostredky, programov e vybaven a objekty informacnho a/nebo komunikacnho syst emu, data Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 6 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 7

3 Rzen IT (IT Governance), informacn bezpecnost, rzen informacn bezpecnosti V cem spocv a probl em informacn bezpecnosti? Informacn bezpecnost, InSec predevsm udrzov an d uvernosti, integrity a dostupnosti informac plus prpadne udrzov an dalsch vlastnost typu autenticita, prokazatelnost, nepopiratelnost, spolehlivost Rzen informacn bezpecnosti podmnozina rzen IT orientace na ochranu a zabezpecen informacnch aktiv organizace Zijeme v informacnm v eku Syst emy zpracov avajc informace jsou b az mnoha (vetsiny) kazdodennch transakc, na nichz je zalozena nase spolecnost Poctace, kter e jsou b az syst em u pro zpracov av an informac, ned elaj nic vc, nez ze manipuluj s posloupnostmi bit u Pritom plat kazd y jednotliv y bit vypad a jako kter ykoliv jin y bit po proveden zmeny bitu vesmes nelze zjistit zda ke zmene bitu doslo posloupnosti bit u lze nezjistitelne nekonecnekr at koprovat A my pritom chceme d uverovat syst em um vybudovan ym na b azi poctac u a na b azi potenci alne chybujcch komunikacnch technologi a oba tyto n astroje jsou casto dostupn e subjekt um,,necist ymi"cli Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 8 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 9 Informacn technologie a informacn bezpecnost Bezpecnost Oxford Dictionary: The state of being free from danger or injury. Stav, ve kter em se vlastnk (informacnch) aktiv se chov a tak, aby na techto aktiv ach nedoch azelo ke skod am a a ve kter em nelze zp usobit takovou skodu ani umysln ym ani ne umysln ym aktivnm ci pasivnm z asahem z okolnho prostred Jin ymi slovy: Bezpecnost = jak neco NEDELAT Aby se bezpecnost zajistila efektivne, mus se zn at co se nesm delat V yvoj bezpecnostnch opatren zajist'ujcch bezpecnost je akcentovan y pozn anm technologi pro jejich implementaci Nelze se br anit proti ucink um akc realizovan ych na b azi dosud neexistujcch/nezn am ych technologi Dohonestujc realita uvodem Dosahov an bezpecnosti kr ac za rozvojem technologi, : { ( sk ala n astroj u (opatren) zajist'ujcch bezpecnost nebude nikdy upln a Mnoh a bezpecnostn opatren jsou po jist e dobe m alo (m ene) ucinn a Opatren mohou b yt implementovan a pouze na b azi dostupn ych technologi Technologie je,,umoz novac\ { umoz nuje neco delat Bezpecnost je,,zabra novac"{ zabra nuje efektivnm ucink um zn am ych skodliv ych akc Bezpecnost se dosahuje pouzv anm/uplat nov anm opatren Narusov an bezpecnosti jsou implementovan a na b azi dostupn ych technologi stejne jako bezpecnostn opatren V liber alnm prostred uzavren y kruh, ALE utocnk m a n askok Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 10 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 11

4 (,,Safety",,Security") Bezpecnost (,,Safety",,Security") Bezpecnost ISO/IEC 27032: 2012, Information technology Security techniques { Guidelines for cybersecurity Safety, bezpec Stav byt v chr anen e oblasti, ve kter em je zajistena ochrana proti fyzick emu, soci alnmu, duchovnmu, nancnmu, politick emu, emocion alnmu, pracovnmu, psychologick emu, vzdel avacmu nebo jin emu typu nebo d usledku selh an, poskozen, chyby, nehody, ci jin e ud alosti, kter a by mohla b yt povazov ana za nez adouc Bezpec m uze mt podobu chr anen osob nebo hmotn ych ci nehmotn ych hodnot (aktiv) pred ud alostmi nebo vystavenmi skutecnostem zp usobujcm zdravotn, ekonomick e,... ztr aty (skody) Tedy { bezpec je stav byt, ve kter em plat, ze za denovan ych podmnek nekdo ci neco nezp usob skodu. Bezpec se mnohdy ch ape jako chr anen proti nahodil ym ud alostem ISO/IEC 27032: 2012, Information technology Security techniques { Guidelines for cybersecurity Security, bezpecnost Ochr anen proti umysln ym skod am na aktivech V sirsm slova smyslu ochr anen pred poskozenm osob nebo hmotn ych ci nehmotn ych aktiv v d usledku umysln ych (trestn ych) cin u, jako jsou prepaden, vloup an nebo vandalismu, kr adez,... information security, informacn bezpecnost ochrana proti umysln ym skod am, nez adoucm akcm na informacnch aktivech Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 12 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 13 Co se rozum informacn bezpecnost? ISO/IEC 27002: 2005, Information technology Security techniques { Code of practice for information security management Informacn bezpecnost (Information Security) { systematick e udrzov an (zachov av an) { dostupnosti, Availability { d uv ernosti, Confidentiality { celistvosti, Integrity informac a relevantnch informacnch syst em u v organizaci (informacnch aktiv) Do pojmu informacn bezpecnosti se d ale zahrnuje zajist'ov an { autenticity, Authenticity (pravost, origin alnost, nefalsovatelnost) { zodpovednosti, prokazatelnosti, Accountability { nepopiratelnosti, Non-repudiation { spolehlivosti, Reliability, bezporuchovost/odolnost v uci poruch am, cinnost ve shode se specikac Zajist en informacn bezpecnosti je komplexn probl em Trivi aln prklad: Casto nech av ate notebook (s podnikov ymi daty) na zadnm sedadle auta Pravdepodobne V am ho drve nebo pozdeji nekdo ukradne Jak snzit riziko takov e kr adeze? Jak zabr anit uniku dat? Lze zav est pravidla (napsan ym predpisem nebo politikou): { notebook nelze nech avat v aute bez dozoru nebo { parkovat auto lze pouze v prostoru s fyzickou ochranou, { prstup k notebooku se mus chr anit siln ym heslem, { data ulozen a v notebooku mus b yt zasifrovan a { v pracovn dohode zamestnanec podepse odpovednost za ztr atu, vyzrazen,... citliv ych dat Tato pravidla nebudou ucinn a, pokud zam estnance rma neproskol Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 14 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 15

5 Zajist en informacn bezpecnosti je komplexn probl em Informacn bezpecnost se nezajist jednm opatrenm, pro jej dosazen se jich mus uplat novat vce, soucasn e Opatren se nebudou t ykat pouze IT Mus se resit rovnez organizacn probl emy, rzen lidsk ych zdroj u, fyzick a bezpecnost, dodrzov an legislativnch omezen,... Nestac chr anit pouze notebooky, rma m uze mt ulozen a data na serverech, v z asuvk ach pracovnch stol u, v mobilech zamestnanc u, na USB pametech, v hlav ach zamestnanc u,... Zajist en informacn bezpecnosti vyzaduje vytvoren a udrzov an bezpecn eho prostred Takov a prostred jsou jiz denovan a standardy: ISO 27001, COBIT, NIST SP 800,... (standardy viz prst predn aska) Standard: katalog bezpecnostnch opatren a zp usob spr avy prostred pro zabezpecov an informac ve vsech jejch form ach, n avod jak d ukladne, peclive rsit informacn bezpecnost Zajist en informacn bezpecnosti je komplexn probl em Firma nem uze pri ochrane sv eho podnik an resit pouze n avratnost investic, dobyt trhu, klcov e proly a dlouhodobou strategii, mus resit rovn ez celkov e zajist en bezpecnosti informac Nen rozhodujc kter ym standardem se bude rdit, ale mus se rdit nekter ym standardem systematicky My volime v yklad metodiky podle ISO Informacn bezpecnost nen jednor azove resiteln y probl em pouze IT gury, na zabezpecov an informac se mus podlet cel a remn komunita pod rzenm vrcholov eho managementu rmy Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 16 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 17 Co se rozum informacn bezpecnost? Ztr ata d uvernosti Zajistenm d uvernost se rozum ochrana informac pred neautorizovan ym zprstupnenm { odhalenm, prozrazenm. Neautorizovan e, neocek avan e, nez adouc zprstupnen m uze v est ke ztr ate d uvery, k potzm, k pr avnm akcm v uci organizaci,... Ztr ata celistvosti / integrity Informace maj b yt chr anen e pred podvodnou, nez akonnou, nepatricnou modikac { neautorizovan ymi zmenami dat, software, hardware.... Aktiva mus b yt kompletn a korektn. Nepatricn a modikace m uze b yt umysln a nebo ne umysln a Ignorov an skod na integrite m uze v est k vyd an chybn ych rozhodnut, k podvodu, k nespr avn ym akcm,.... Porusen integrity m uze b yt prvnm krokem utok u na d uvernost a/nebo dostupnost Potenci al skody na integrite v yrazne snizuje urove n vysloviteln e z aruky za bezpecnost Ztr ata dostupnosti Co se rozum informacn bezpecnost? Dostupnost aktiva { opr avnen e entite je na poz ad an prstupn e Pokud dojde ke ztr ate dostupnosti syst emu / informace kritick e pro plnen podnikatelsk ych cinnost organizace pro koncov eho uzivatele, m uze to podnikatelsk e cinnosti negativne ovlivnit Ztr ata funkcionality ci snzen efektivnosti provozu m uze snizovat v ykonnost uzivatel u podporujcch podnik an organizace Rizika pro informacn aktiva Informacn aktiva jsou vystavena sirok e sk ale vnitrnch i vnejsch hrozeb, rizik um Zdrojem rizik m uze b yt prroda, podvodnk, krimin aln cinnost, chybn e chov an uzivatel u,... Rizika mohou ovliv novat vsechny tri b azov e bezpecnostn vlastnosti informacnch aktiv { d uvernost, integritu, dostupnost Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 18 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 19

6 Generick e probl emy budov an bezpecn ych (IT) syst em u Utokem se rozum ud alost, kdy utocnk vyuzije slabinu v ochran ach aktiv (zranitelnost) s clem zp usobit skodu Syst em bude usp esn y (bezpecn y) kdyz bude zajist'ovat ochranu proti vsem mozn ym utok um, a to vc. utok u, kter e se v dobe jeho tvorby dosud nevyskytly Utocnk bude usp esn y, kdyz pro utok vyuzije jedinou nedokonalost v bezpecnostnch ochran ach a m uze vyck avat az mu technologick y rozvoj poskytne adekv atn utocn y n astroj, jehoz existenci tv urci syst emu v ubec nepredpokl adali sk ala dostupn ych relevantnch bezpecnostnch n astroj u nebude nikdy upln a z hlediska mnoziny v budoucnu potenci alnch hrozeb re aln e ucinky dostupn ych bezpecnostnch n astroj u mnohdy nespl nuj nebo postupne prest avaj efektivne plnit jejich p uvodne zam yslen y cl Generick e probl emy budov an bezpecn ych (IT) syst em u existence slabiny v ochran ach aktiv (zranitelnost) a potenci alnho utocnka predstavuje hrozbu hrozba je potencion aln prcina bezpecnostn ud alosti nebo bezpecnostnho incidentu, jejmz v ysledkem m uze b yt poskozen aktiva zranitelnost je slab e msto aktiva nebo syst emu rzen bezpecnosti informac pravd epodobnost, ze se urcit a hrozba uplatn, tj. ze utocnk vyuzije zranitelnosti a zp usob negativn dopad na aktiva je rizikem Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 20 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 21 Generick e probl emy budov an bezpecn ych (IT) syst em u Condicio sine qua non pro dosazen bezpecnosti jsou dostupn e bezpecnostn n astroje relevantn hrozb am (pro ochranu remnch dat,... ) vsechny dostupn e a pro dan y prpad adekv atn bezpecnostn n astroje se pouzvaj eliminace rizik hrozeb, pro kter e relevantn bezpecnostn n astroje (prozatm) dostupn e nejsou, je dosaziteln a kombinac ucink u pouzit vce dostupn ych bezpecnostnch n astroj u (r uzn ych typ u) např. zajišt ování funkčnosti dlouhodobé stabilní paměti Dokonalost funkcionality individu alnch bezpecnostnch (napr. kryptograck ych) n astroj u nemus zarucovat dosazen pozadovan e urovn e (kvality) bezpecnosti, pozadovan y ochrann y ucinek lze dos ahnout i kombinac jejich pouzit (kryptograe + biometriky apod.) A d ale plat Chybn e, ned usledn e prosazovan a denovan a bezpecnost m uze zp usobovat vyss rizika nez nedenovan a bezpecnost Bezpecnost je stav mysli, vedom, pocit... Jsme v bezpec, kdyz jsme skutecne chr aneni Pocit bezpecnosti mus vy ustit do reality, nesm j o placebo Zjevn e neprosazov an bezpecnosti m uze zvysovat pocit povinnosti se chovat odpovedne Moznost dosazen jist e urovn e informacn bezpecnosti urcuj glob aln dodavatel e bezpecnostnch, operacnch a dalsch typ u (IT) syst em u Skutecn e dosazen a urove n informacn bezpecnosti se odvozuje od ch ap an informacn bezpecnosti uzivateli a provozovateli bezpecnostnch, operacnch, komunikacnch a dalsch typ u (IT) syst em u Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 22 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 23

7 Spolu-souvisejc bezpecnostn sf ery Informacn bezpecnost ochrana d uvernosti, integrity a dostupnosti informac v nejsirsm slova smyslu vyhovujc potreb am prslusn eho uzivatele informace generick a kategorie informacn bezpecnosti, metodick a, terminologick a,... b aze ch ap an informacn bezpecnosti P REDM ET STUDIA Aplikacn bezpecnost proces uplat nov an opatren a meren na aplikacn syst emy organizace s clem rzen rizik plynoucch z jejich pouzv an Opatren a meren lze aplikovat na { vlastn aplikacn syst emy (procesy, komponenty, software, v ysledky,... ) { data aplikacnch syst em u (konguracn, uzivatelsk a, podnikov a,... ) { vsechny technologie, procesy a subjekty zapojen e do zivotnho cyklu aplikace St'ov a bezpecnost Spolu-souvisejc bezpecnostn sf ery n avrh, realizace a provozov an st clen e na dosazen informacn bezpecnosti v stch v r amci organizac nebo mezi organizacemi, jakoz i mezi organizacemi a uzivateli. Internetovsk a bezpecnost rozsren st'ov e bezpecnosti v organizacch i doma ochrana internetov ych sluzeb a souvisejcch ICT syst em u a st zajisten dostupnosti a spolehlivosti internetov ych sluzeb. CIIP, Critical Information Infrastructure Protection ochrana syst em u poskytovan ych nebo provozovan ych poskytovateli kritick ych infrastruktur { energetika, telekomunikace a vodn hospod arstv,... CIIP chr an a cin odoln e tyto syst emy a ste jak proti rizik um v oblastech informacn bezpecnosti, st'ov e bezpecnosti, internetovsk e bezpecnosti, tak i v uci kybernetick ym rizik um. Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 24 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 25 Kybernetick y prostor, kybernetick a bezpecnost Kybernetick y prostor, Cyberspace, kyberprostor ISO/IEC 27032: 2012, Information technology Security techniques Guidelines for cybersecurity virtu aln prostred, kter e neexistuje v jak ekoliv fyzik aln forme, ale spse komplexn prostred nebo prostor vypl yvajc z n astupu internetu, plus lid e, organizace a aktivity na vsech druh u technologick ych zarzen a st, kter e jsou k internetu pripojeny. Aplikace v kyberprostoru prekracuj meze B2C a C2C model u maj charakter m : n interakc a transakc Kybernetick a bezpecnost, Cybersecurity, Cyberspace security aplikacn bezpecnost ve virtu alnm svete { v kyberprostoru resen probl em u kybernetick e bezpecnosti vyzaduje masov e komunikace a koordinace mezi jednotliv ymi soukrom ymi a verejn ymi subjekty z r uzn ych zem a organizac stavebn kameny: informacn, st'ov a, internetov a bezpecnost hraje nepominutelnou roli pro CIIP Vztahy mezi bezpecnostnmi sf erami velmi casto se setk av ame s ch ap anm / s pouzv anm pojm u informacn bezpecnost a kybernetick a bezpecnost jako synonym Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 26 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 27

8 Vztahy mezi bezpecnostnmi sf erami Business continuity, BC, udrzen podnikatelsk ych proces u Standard BS :2007: strategic and tactical capability of the organization to plan for and respond to incidents and business disruptions in order to continue business operations at an acceptable predefined level BC neres se pouze technologick e hrozby, vliv maj i prrodn katastrofy BC potrebuje zajisten dostupnosti { to je jeden z cl u InSec IT res InSec jen c astecne (ne vce nez z poloviny) Informace se v organizaci chr an pomoc opatren specikovan ych bezpecnostn politikou ISO/IEC 27000: means of managing risk, including policies, procedures, guidelines, practices or organizational structures, which can be administrative, technical, management, or legal in nature Kybernetick a bezpecnost V kyberprostoru existuj bezpecnostn probl emy, jejichz resen nen pokryto informacn, st'ovou a internetovou bezpecnost a jejich dobr ymi praktikami obrovsk e mnozstv uzivatel u v kyberprostoru m a individu aln podnikatelsk e, provozn, rdic,... z ajmy resen jsou roztrsten a B azov a rizika v kyberprostoru utoky veden e pres soci aln inzen yrstv, hackov an, malware, spyware Klcov e probl emy pro resen kyberbezpecnosti sdlen informac, koordinace, zvl ad an incident u, dosazen d uveryhodnosti, syst emy integrace a v ymeny informac mezi uzivateli,... s emantick e utoky, podvody v prostred e-comm,... Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 28 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 29 Kybernetick a bezpecnost (KB) KB nen probl emem pouze IT, napr. Nastvan y administr ator umyslne potlac aplikaci a zrus jej data. Jak byl vybran y, proskolen y a dozorovan y? Jak zn smlouva s nm?... KB je probl emem i vrcholov eho managementu (VM) organizace VM uvol nuje nancn zdroje na zabezpecov an, ovliv nuje pravidla bezpecnostn politiky,... Clen VM m uze na letisti ztratit notebook s citliv ymi daty,... Investice do KB nejsou investice pouze do IT Investice do KB se vr at Kybernetick a bezpecnost snizuje se v yse vznikl ych skod snzenm poctu kyber utok u KB nen jednor azov y projekt, korekce procedur,... se res pr ubezne, korekce politik se res alespo n jednou rocne Kdyz d a v ypoved' osoba odpovedn a Samotn e seps an spousty dokument u politik a procedur KB nezajist Prosazov an politik a procedur je potreba tr enovat, dozorovat, { 50 % investic do KB jde do IT, vetsina investic do KB jde do v yvoje politik, procedur, do skolen,... Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 30 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 31

9 Kybernetick a bezpecnost Citace z The National Cyber Security Strategy 2011, Dutch Ministry of Security and Justice Cybersecurity is to be free from danger or damage caused by disruption or fall-out of ICT or abuse of ICT. The danger or the damage due to abuse, disruption or fall-out can be comprised of a limitation of the availability and reliability of the ICT, breach of the confidentiality of information stored in ICT or damage to the integrity of that information. Cl predmetu PV 017 Pochopení bázových principů informační bezpečnosti anal yza rizik, politiky, ISMS, audit, evaluace,... Sf ery aplikacn, st'ov e a internetov e bezpecnosti a CIIP se zmi nuj pouze jako prklady platforem pro uplatn en informacn bezpecnosti Kybernetick a bezpecnost se zmi nuje pouze jako vzd alen y profesn cl pro ty, kter porozum resenm informacn, st'ov e a internetov e bezpecnosti a budou (cht ej) participovat na resen prostred typu { MMORPGs, Massively Multiplayer Online Role-Playing Games { nadn arodnch soci alnch st,... Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 32 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 33 Existuje resen probl emu zajist en informacn bezpecnosti? Perfektn bezpecnost { absolutn eliminace vsech rizik teoreticky mozn a resen zn am a mnohdy jsou, prakticky vyuziteln a vsak nejsou, inklinuj ke stavu charakterizovateln ym parafr az,,kdo nic nedel a, nic nepokaz" Rozlomen vsech ostatnch zp usob u zabezpecen je ot azkou pouze casu (a energie) od (mili)sekund po miliardy n asobk u dob existence slunecn soustavy Na kazd y bezpecnostn algoritmus lze utocit,,hrubou silou\ Jak e chceme resen? Kazd y pouzit y n astroj,,dostatecne" zabezpecujc jist e aktivum, mus b yt odpovdajc uzivatelskou komunitou akceptovateln y Zabezpecuj n astroje mus b yt pouzit e vyrovnane, syst em je tak bezpecn y, jak je bezpecn y jeho nejslabs cl anek Existuje resen probl emu zajist en informacn bezpecnosti? Spln en nutn e podmnky dosazen bezpecnosti informac je nekonecn y proces Ide aln, ale mnohdy iracion aln forma zabezpecen { prevence Racion aln forma zabezpecen { heuristick e snizov an rizik Nem a smysl si kl ast za cl nalezen svatého grálu { absolutn / perfektn bezpecnosti M a smysl se smyslupln ymi cestami pokouset o jeho nach azen a postupn e slep e/neefektivn cesty eliminovat, a to i za cenu respektov an trval e existence zbytkov ych rizik Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 34 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 35

10 B azov e bezpecnostn paradigma B azov e bezpecnostn paradigma Ucastnk (informacnho) prostred vlastn/pouzv a n eco, co pro nej m a nepominutelnou hodnotu, toto je jeho aktivem Aktivum m a hodnotu i pro utocnka, kter y m a ale protich udn y z ajem v uci ucastnkovi, zp usobuje ucastnkovi skodu, ztr ata / snzen hodnoty aktiva pro ucastnka zp usobuje skodu skoda je d usledek (dopad) utoku na (hodnotu) aktiva (m uze b yt zanedbateln a, akceptovateln a, v yznamn a, katastrock a,... ) utok (bezpecnostn incident) je realizac hrozby hrozba reprezentuje potenci aln motivaci k utoku, { existuje dky zranitelnosti syst emu obhospodarujcho aktiva, a dky zdroj um moznost vyuzt zranitelnost { utocnk um,... { potenci al narusen pravidel prijat e politiky informacn bezpecnosti moznost v yskytu utoku predstavuje riziko, pravd epodobnost proveden utoku a potenci aln dopad realizovan eho utoku urcuje urove n rizika (m uze b yt zanedbateln e, akceptovateln e, v yznamn e, katastrock e,... ) zranitelnost syst emu obhospodarujcho aktiva je dan a { existenc zraniteln ych mst a { existenc potenci alnch utocnk u zraniteln e msto { slabina v n avrhu, implementaci, provozu,... syst emu, kter y obhospodaruje aktiva bezpecnost: zamezen skod am eliminac zraniteln ych mst nebo utocnk u prpadn e snzenm vyuzitelnosti zraniteln ych mst pomoc bezpecnostnch opatren Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 36 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 37 B azov e bezpecnostn paradigma Obecn y model zabezpecov an opatren { sluzba, pozadovan a ochrana, relevantn jist e hrozb e zajisten d uvernosti, integrity, dostupnosti, rzen prstupu,... bezpecnostn sluzba (opatren) je n astrojem, kter y riziko dan e existenc hrozby odstra nuje nebo je alespo n snizuje synonyma { protiopatren, funkce/sluzba prosazujc bezpecnost,... mechanismus { metoda / technologie zajist en ochrany technologie implementace opatren pouzit kryptograe, ACL, unixov e rwx ochrany prstupu, digit aln podepisov an, predpis, z akon, z avora, pojisten... Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 38 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 39

11 Obecn y model zabezpecov an Obecn y model zabezpecov an Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 40 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 41 Obecn y model zabezpecov an Obecn y model zabezpecov an Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 42 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 43

12 B azov y fenom en pri zajist'ov an bezpecnosti { riziko pravd epodobnost uplatn en hrozby ( utoku) a potencion aln v yse skody zp usoben e utokem predstavuje riziko riziko se vyjadruje { jednak v pravd epodobnostnch pojmech (s jakou pravd epodobnost se hrozba uplatn) { a jednak v pojmech charakterizujcch dopad hrozby (velikost skody apod.) Generick e kombinovan e vyj adren ( urovn e) rizika urove n rizika = F (pravd epodobnost utoku) F(dopad utoku) Prklad odvozen z avaznosti, urovn e rizika riziko = F (pravd epodobnost) F(dopad) vse ve vhodn em sk alov an, nikdy v absolutnch mr ach, napr. pravdepodobnostn charakter rizika: 1, (L, Low), zanedbateln y v yskyt utoku, jednou za dek adu let 2, (M, Medium), bezn y v yskyt utoku, jednou rocne 3, (H, High), v yskyt utoku hranicc s jistotou, kazd y den dopad odpovdajcho utoku: 1, (L) zanedbateln y / akceptovateln y, v destk ach tisc u Kc 2, (M) bezn y, ve statisicch Kc 3, (H) katastrock y, v milionech Kc riziko, resp. v yznamnost rizika: resp. tabulkou (L) zanedbateln e riziko, (souciny = 1,2) pravdep./dopad L M H (M) bezn e riziko, (souciny = 3,4) L L L M (H) katastrock e riziko, (souciny = 6,9) M L M H H M H H Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 44 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 45 Prklad odvozen z avaznosti, urovn e rizika vyj adren v yznamu rizika prkladem ve v ysi skod / dek adu: (L) zanedbateln e riziko, stovky tisc Kc / dek adu (M) bezn e riziko, jednotky mili on u Kc / dek adu (H) katastrock e riziko, destky a vce mili on u Kc / dek adu prklad z aver u pro zvl ad an rizik: (L) zanedbateln e riziko je akceptovateln e riziko, skody nevad obchodnmu modelu, lze je prp. osetrit pojistenm (M) bezn e riziko clem je (bezpecnostnmi) opatrenmi riziko eliminovat nebo alespo n snzit na zanedbateln e riziko snzenm pravdepodobnosti utoku (H) katastrock e riziko je neakceptovateln e riziko, clem je preventivne bezpecnostnmi opatrenmi riziko eliminovat nebo alespo n je zmenit na bezn e nebo na zanedbateln e riziko Bezpecnostn opatren prijm ame/zav adme/prosazujeme (bezpecnostn) opatren, kter a dopad a/nebo pravd epodobnosti uplatn en hrozeb (rizika) omezuj na akceptovatelnou hodnotu Pro katastrock a rizika m a b yt vypracovan y pl an realizace opatren eliminujcch tato rizika nebo alespo n v pevne dan em casov em horizontu redukujcch tato rizika na bezn a nebo na zanedbateln a rizika Pro bezn a rizika m a b yt urcena odpovednost na urovni konkr etnch osob/rol za uplat nov an stanoven ych opatren eliminujcch tato rizika nebo redukujcch tato rizika na zanedbateln a rizika Zanedbateln a rizika maj b yt zvl adnuteln a (eliminovan a) rutinnmi provoznmi procedurami nebo maj b yt vedome prohl asen a za zbytkov a, tj. akceptovateln a rizika Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 46 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 47

13 Bezpecnostn mechanismy 2 Bezpecnostn politika (bezpecnostn ) opatren mus me u cinnou formou implementovat vhodnymi (bezpecnostn mi) mechanismy 2 X mechanismy administrativn ho, technickeho, logickeho,... charakteru X opatren r es c problem nepopiratelnosti { digitaln podpis mechanismus = asymetricka kryptogra e X opatren r es c r zen pr stupu v souladu s prijatou politikou r zen pr stupu mechanismus = fyzicke kl c e, iden kacn karty, biometriky,... X opatren r es c problem duv ernosti v souladu s prijatou politikou zajisten duv ernosti mechanismus = s ifrovan, trezory, smluvn zavazek (NDA),... Jan Staudek, FI MU Brno X soubor pravidel speci kuj c u cinny zpusob uplatnov an opatren (implementovanych adekvatn mi mechanismy) potrebnych pro dosazen pozadovane urovn e akceptovatelnych rizik 2 urcuje zpusob dosazen bezpecnostn ch c lu pomoc uplatnov an opatren implementovanych vhodnymi mechanismy zen informacn PV017, R bezpecnosti, Koncept informacn bezpecnosti 48 Jan Staudek, FI MU Brno 2 X Bezpecnostn politika zavad ej c pe ci o bezpecnost informac 2 v organizaci rozhodnut m veden m organizace nekolikastrankov y dokument, prokazatelne schvalen y veden m organizace vymezuj c chran enou oblast a zakladn bezpecnostn c le. Obvykle nazvy { bezpecnostn politika, resp. celkova / korporatn bezpecnostn politka,... X Bezpecnostn politika stanovuj c uplatnov an konkretn ch opatren v konkretn ch systemech v chran ene oblasti je duv erny obsazny dokument. Obvykle nazvy { plan zvlad an rizik, resp. bezpecnostn politka systemu XXX, systemov a bezpecnostn politika zen informacn PV017, R bezpecnosti, Koncept informacn bezpecnosti zen informacn PV017, R bezpecnosti, Koncept informacn bezpecnosti 49 Duv eryhodn a bezpecnostn politika Detailnost bezpecnostn politiky zavis na chran ene oblasti, ve ktere je politika uplatnovan a Jan Staudek, FI MU Brno Bezpecnostn politika (BP) r ka X co se chran, proti c emu/komu { stanovuje bezpecnostn c le X jak se ochrana uplatnuje { Bezpecnostn politika 2 Politika r zen pr stupu, politika zajisten duv ernosti,... pr klady soucast bezpecnostn politiky, resp. politiky informacn bezpecnosti 50 Duv eryhodnost je,,pevnym bodem"tvor c m zaklad bezpecnosti informac,,dejte mi pevny bod ve vesmı ru a ja pohnu celou Zemı.\ Archimed es, O zakonech paky Jan Staudek, FI MU Brno zen informacn PV017, R bezpecnosti, Koncept informacn bezpecnosti 51

14 D uv eryhodn a bezpecnostn politika Jestlize se dodrzov anm bezpecnostn politiky prokazateln e dos ahne pozadovan e urovn e ochrany aktiv, je bezpecnostn politika d uv eryhodn a jak vypracovat bezpecnostn politiku, aby byla d uv eryhodn a? podmnka nutn a (nikoli vsak postacujc) pro vypracov an d uveryhodn e BP: 1. musíme znát a umět stanovit bezpečnostní cíle 2. musíme znát a umět zvolit a implementovat adekvátní opatření d uv eryhodnost, tj.,,mt moznost d uv erovat", predstavuje z aklad vesker e informacn bezpecnosti, ve vsech jejch aspektech D uv era/d uv eryhodnost, jej predpoklady a z aruka D uv eryhodn e bezpecnostn politiky jednoznacne stanovuj/popisuj stavy syst emu spr avne zvl adaj reakce na bezpecnostn incidenty podle jednoznacne stanoven ych pozadavk u na bezpecnost D uv eryhodn a bezpecnostn opatren (funkce, sluzby) prosazuj d uveryhodnou politiku jsou implementov any spr avne Za dosazenou urove n d uv eryhodnosti lze vyslovit (d at) z aruku akceptovateln a forma vysloven z aruky { auditn zpr ava vypracovan a d uveryhodnou tret stranou pragmaticky nejvyss forma vysloven z aruky { certik at vydan y respektovanou (prp. legislativne autorizovanou) autoritou certik at { dokument, kter y prokazuje nejakou skutecnost... Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 52 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 53 D uv era/d uv eryhodnost, jej predpoklady a z aruka Modelov y prklad bezpecnostn politiky Z aruka (za bezpecnost) z aruku lze d at jen za to, co je r adne specikov ano { specikujeme pozadavky, bezpecnostn cle, bezpecnostn opatren { čím jsou specifikace přesnější, tím vyšší záruku lze vyslovit z aruku lze d at jen za to, co m a systematicky vypracov an n avrh { n avrh { urcen jak splnit specikace { čím jsou návrhy přesnější, jednoznačnější a (semi-)formálně ověřitelnější, tím vyšší záruku lze vyslovit z aruku lze d at jen za to, co je adekv atne implementov ano { Programy, technologick e syst emy,..., vse, co realizuje to, co bylo specikov ano a navrzeno { čím přesněji implementace odpovídají specifikacím a návrhu, tím vyšší záruku lze vyslovit zaveden a v yukov a bezpecnostn politika nepovoluje podvod { ops an dom ac ulohy (plagi at) at' jiz s vedomm nebo i bez vedom autora origin alu politikou stanoven y bezpecn y stav (bezpecnostn cl) { nikdo nevlastn kopii dom ac ulohy jin eho studenta studenti si uchov avaj sv e dom ac pr ace na skolnm poctaci Alice soubor se svou dom ac ulohou neoznac jako chr anen y proti cten jinou osobou Bob ulohu opse Kdo se choval v rozporu s bezpecnostn politikou? Alice?? Bob?? oba? Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 54 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 55

15 Modelov y prklad bezpecnostn politiky Odpov ed { bezpecnostn politiku nedodrzel pouze Bob politika zakazuje opisov an dom acch uloh Bob opisoval syst em se dostal do jin eho nez bezpecn eho stavu, Bob vlastn kopii Aliciny ulohy Alice si svoji dom ac ulohu nechr anila proti cten To ale bezpecnostn politika to nepozadovala Alice nijak nenarusila denovanou bezpecnostn politiku Pokud by politika student um predepisovala povinnost chr anit sv e dom ac ulohy pred ops anm, pak by Alice bezpecnostn politiku porusila Vybran e m yty a nekter a dals fakta Vybran e m yty o n ekter ych bezpecnostnch n astrojch Nepopiratelnost (Non-repudiability) zajist pouzit digit alnch podpis u Hrozba kr adeze identity (Identity Theft) ve svete budovan em na b azi IT je a bude cm d al vce bude zdrojem nejv yznamejsch rizik N ekter a dals fakta o charakteru nastupujcch hrozeb Men se charakter utok u veden ych na IT { Dos ahlo se racion aln zvl adnut ochran proti fyzick ym utok um (ztr ata energie, propojen, dat... ) { Jakz takz se postupne zvl adaj ochrany proti syntaktick ym utok um (buer overow, command injection, protokolov e dry,... ) { Zacn a rychl y n ar ust s emantick ych utok u ( utok u clen ych na to, jak lid e ch apou obsah) Slozitost skladby IT n astroj u exponenci alne roste Men se zranitelnost aplikac po prevodu do st'ov eho prostred,... Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 56 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 57 Hrozba s emantick ych utok u V yznamn e riziko dky,,prost'ov an"sv eta Lid e maj tendenci verit tomu co ctou na potvrzov an verohodnosti,,nen cas" lid e jsou casto obetmi chybn ych/falsovan ych statistik, legend a podvod u Podfuk se s velkou pravd epodobnost rozsr st'ov ym prostredm extr emn e rychle Komunikacn m edia se pouzvaj pro sren verohodn ych stupidnost jiz po celou vecnost Soucasn e- a blzko-budouc poctacov e ste spusten takov ych utok u usnad nuj a zpr avy diseminuj extr emne rychle digit aln podpisy, autentizace, integritn opatren... sren podfuk u nezabr an { s emantick e utoky jsou vedeny na HCI, nejm ene bezpecn e rozhran Internetu Hrozba s emantick ych utok u, 2 Pouze amat er utoc na poctace a software Profesion al utoc na lidi ochrana proti s emantick ym utok um mus b yt clen a na soci aln resen, ne na matematicko-logick a (a technick a) resen Nastupuje fenom en kybernetick eho prostoru, je nutn e fenom en informacn bezpecnosti rozsrit na fenom en kybernetick e bezpecnosti Ke konceptu kybernetick eho prostoru a kybernetick e bezpecnosti se v uvodu jeste vr atme Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 58 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 59

16 Principy e-comm usnad nujc devastujc podvody Snadnost automatizace proces u stejn a automatizace, kter a cinn e-comm efektivnejs nez klasick y byznys, zefektiv nuje i prov aden podvod u podvod vyzadujc vynalozen destek minut casu v paprov em syst emu lze snadno prov est,,na jedno kliknut" resp. lze snadno jej periodicky opakovat principem 24 7 singul arn podvod s nzkou skodou ignorovateln y v paprov em syst emu m uze b yt hrozbou s velk ym rizikem v e-comm syst emu Izolovanost jurisdikce v mstech zdroje a cle utoku Geograe v elektronick em svete nehraje z adnou roli Utocnk nemus b yt fyzicky blzko syst emu, na kter y utoc. Utocit m uze ze zeme, { kter a,,nevyd av a zlocince", { kter a nem a adekv atn policejn apar at, { kter a nem a potrebn e pr avn z azem vhodn e ke sth an,... Principy e-comm usnad nujc devastujc podvody, 2 Rychlost sren,,prost'ovan ym sv etem" padelatel paprov ych penez monet arn syst em nezdevastuje { sirok a diseminace padelatelsk eho n astroje je nere aln a, { rychl e sren padelk u je obtzn e zpr ava jak podv est siroce pouzvan y e-comm syst em,,diseminovan a Internetem" (prp. s pripojen ym adekv atnm softwarov ym n astrojem) umozn,,si vhodne kliknout"statisc um lid behem nekolika dn { znalost jak podv est zskal 1 clovek, utocit mohou statisce lid Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 60 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 61 D uv eryhodnost nepopiratelnosti, co je to digit aln podpis? Predpoklad mnoha soucasn ych pr avnch norem: D uveryhodnost digit alnho podpisu je alespo n takov a jako d uveryhodnost rukopisn eho podpisu Spl nuje digit aln podpis tento predpoklad? Form alne pouzit y matematick y (kryptologick y) z aklad je vyhovujc S emanticka aktu digit alnho podpisu predpokladu nevyhovuje Predpoklad soucasn ych pr avnch norem: Alicin podpis dokumentu indikuje odsouhlasen jeho obsahu Alic D uveryhodnost podpisu se zesiluje podpisem u not are Z digit alnho podpisu Alice nem uze soudce odvodit, ze Alice dokument vid ela Alice v z adn em prpade nepoctala podpis = dokument P Kmod n, v ypocet Alicina podpisu,,dokumentu"(kter eho???) delal jej poctac D uv eryhodnost nepopiratelnosti, co je to digit aln podpis?, 2 v ypocet Alicina podpisu,,dokumentu"d elal jej poctac Alice mus mt d uveru v to, ze jej aplikacn syst em podpisuje dokument, kter y j prezentuje (probl em trojsk ych ko n u) Alice mus mt d uveru, ze v jejm poctaci nikdo neodchyt av a jej PK { uchov an PK v bezpecn em modulu (karta) neres probl em podvrzen falesn eho dokumentu trojsk ym konem M a-li b yt d uveryhodn y Alicin podpis dokumentu, mus b yt d uv eryhodn y Alicin poctac podpisujc dokument Nelze se spol ehat pouze na matematiku pro dosazen bezpecnosti vysok e riziko predstavuje d uveryhodnost pouzit eho hardw./softw. Digit aln podpis Alice vypovd a pouze o tom, ze v dobe podpisov an byl pouzit y Alicin PK Digit aln podpis nic nerk a o tom, ze Alice podepsala dokument, kter y videla pri podpisov an Zad an pro budoucno { jak zajistit, ze Alicin poctac bude nezfalsovateln y (tamperproof ) Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 62 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 63

17 Hrozba enormnho n ar ustu slozitosti a rozsahu Proc se zav ad syst em rzen informacn bezpecnosti Enorm e nar ust a slozitost vnitrnch algoritm u (j adra) OS pocty instrukc spotrebovan ych ve Windows pri Zasl an zpr avy mezi procesy: 6K { 120 K podle pouzit e metody Vyvtoren procesu: 3M Vytvoren vl akna: 100K Vytvoren souboru: 60K Vytvoren semaforu: 10K { 30K Nahr an DLL knihovny: 3M Obsluha prerusen/v yjimky: 100K { 2M Prstup do syst emov e datab aze Registry: 20K... Ctyri hlavn d uvody, proc organizace mus zajist'ov an informacn bezpecnosti manazersky rdit Urcuje tak pro organizaci z avazn a strategie, vl ada, matersk a organizace, spr avn rada,... rozhodla, ze v kontextu vseobecn ych podnikatelsk ych rizik je nutn e informacn bezpecnost spravovat (rdit) l epe Je nutn e, aby z akaznci/dodavatel e organizaci d uverovali, je potreba z akaznk um ci dodavatel um demonstrovat, ze organizace pouzv a ty nejleps praktiky rzen informacn bezpecnosti existuje sance zskat konkurencn v yhodu Vyzaduj to z akonn e predpisy person aln soukrom, ochrana dat, nespr avn e pouzv an poctace Je nutn e vylepsit vnitrn efektivnost rzen IT Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 64 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 65 Syst em rzen informacn bezpecnosti, ISMS Syst em rzen informacn bezpecnosti, ISMS Pro efektivn rzen InSec mus organizace aplikovat adekv atn syst em manazersk eho resen Information Security Management System, ISMS souc ast celkov eho syst emu rzen organizace cl: na z aklade pozn ani podnikatelsk ych rizik vybudov an, implementace, provozov an, monitorov an, prezkoum av an, udrzov an a vylepsov an InSec pripome nme pojem InSec, informacn bezpecnost: zabezpecen d uvernosti, integrity a dostupnosti informacnch aktiv skladba: organizacn struktura, politiky, pl anovac cinnosti, odpovednosti, praktiky (obvykl e metody), procedury, procesy, zdroje Hardwarov a / softwarov a,,pultov a"resen individu alnch probl em u informacn bezpecnosti jsou nedostatecn a Rychle se mnoz st ale komplexnejs, propracovanejs a glob alnejs hrozby pro informacn bezpecnost dky rozvoji technologi Roste pocet pozadavk u na vyhoven regulacnm opatrenm v oblasti zpracov an informac a zachov av an soukrom Resen: v organizaci mus fungovat, jako souc ast celkov eho syst emu rzen organizace, syst em rzen informacn bezpecnosti, ISMS syst em proces u zameren y na ustaven, zav aden, provozov an, prosazov an, monitorov an, prezkoum av an, udrzov an a zlepsov an informacn bezpecnosti zalozen y na prstupu organizace k rizik um v kontextu informacn bezpecnosti Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 66 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 67

18 Syst em rzen informacn bezpecnosti, ISMS ISMS reprezentuje ucelen y strukturovan y prstup k rzen InSec Navrhuje se tak, aby se postaral o efektivn interakci tr b azov ych komponent implementace InSec procesy (procedury) technologie chov an uzi vatel u N avrh a implementace ISMS mus vych azet z potreb a cl u, bezpecnostnch pozadavk u, organizacnch proces u, velikosti a struktury organizce nejde o jednor azov e, vsepokr yvajc resen ISMS mus b yt sk alovan y podle potreb organizace Syst em rzen informacn bezpecnosti, ISMS Syst em rzen informacn bezpecnosti mus b yt prim eren y a sit y na mru konkr etn organizaci Politiky, procesy, procedury ISMS mus odr azet styl a kulturu organizace Prijat e procesy a procedury do ISMS mus odr azet v ysledky ohodnocen rizik. I kdyz nekter a rizika jsou generick a pro vce organizac, jejich osetren b yv a vhodn e ust na mru konkr etnmu prostred organizace Politik am, proces um, procedur am ISMS mus organizace rozumet, nejl epe se jim porozum podlenm se na jejich v yvoji Politiky, procesy, procedury mus b yt aktu aln, hrozby bezpecnosti informac nar ustaj soucasne s rozsirov anm a inovacemi IT organizace Soucasn a,,top"technologie budov an ISMS je denovan a standardem ISO/IEC 27001:2013 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 68 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 69 Ekonomick y pohled { fakta Vybudovat si vlastn t ym zajist'ujc a prosazujc informacn bezpecnost je n akladn y a dlouhodob y proces. Aplikace strukturovan ych inzen yrsk ych postup u pri zabezpecov an IT se proto cm d al sreji uplat nuje jako samostatn y byznys. Na trhu outsourcingu informacn bezpecnosti popt avka prevysuje kvalitn nabdku, kupovat si informacn zabezpecov an jako sluzbu proto nen levn e. Mnoho rem a organizac si proto zabezpecov an d el a, v lepsm prpad e amat ersky vlastnmi silami, citem, v horsm prpad e myln e predpokl ad a, ze ochranu jejich zdroj u zajist v yrobce dodan eho software a hardware (a nebo p anb uh). Tri cesty k zajist en informacn bezpecnosti Pro obhospodarov an citliv ych aktiv existuj 3 moznosti: A. Vytvorit v organizacn strukture alespo n na manazersk e urovni roli bezpecnostnho manazera a informacn bezpecnost zajistit outsourcingem pod jeho rzenm. B. Vytvorit v organizacn strukture bezpecnostn infrastrukturu a t ym schopn y plne prosazovat informacn bezpecnost sv ymi silami. C. Nechat si bezpecnost IT zajist'ovat mnohdy i velmi iniciativne vnitrnmi silami p usobcmi bez systematicky rzen eho veden vhodnou politikou, casto majoritne motivovan ymi snahou prok azat sv e vlastn dokonalosti.!!! The road to hell is paved with good intentions!!! V enov an bezpecnosti IT pouze tolik energie, kolik je nutn e pro v yber,,bezpecn eho" software, cestu do pekel jen zkr at. Nic jin eho se tm nedos ahne. Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 70 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 71

19 Epiloque uvah zajist'ov an informacn bezpecnosti Z pohledu rzen organizace pomoc IT pesimismus nen na mst e Informacn bezpecnost v organizaci v yrazn e podpor politika informacn bezpecnosti a syst em rzen informacn bezpecnosti r adne vypracovan a a systematicky prosazovan a politika, politika s kvalitou odpovdajc v ysi potenci alnch skod politika periodicky auditovan a z hlediska jejho dodrzov an a ucinnosti politika periodicky upres novan a podle v ysledk u auditu politika vypracovan a v uzk e n avaznosti na ostatn politiky organizace tak, aby byla zarucen a adekv atn kontinuita plnen cl u organizace i pri selh an nekter ych ochran informacn bezpecnosti Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 72