Vybrané aspekty bezpečnosti informačních systémů

Vybrané aspekty bezpečnosti informačních systémů Selected aspects of security of information systems Ing. Vladimír Šulc, Ph.D. Ing. Bc. Marek Čandík, PhD. Abstrakt Bezpečnost informačních systémů je dnes velmi aktuálním tématem. Společně s pozitivním přínosem moderních technologií v podobě zrychlení a usnadnění mezilidské komunikace přichází i negativní dopady spočívající ve vzrůstající závislosti na moderních technologiích, i jejichž samotné bezpečnosti. Článek uvádí některé pohledy na problematiku bezpečnosti informačních systémů. Klíčová slova: informační systémy, bezpečnost. Abstract: Security of information systems is today a very topical issue. Together with the positive benefits of modern technology in the form of acceleration and facilitation of interpersonal communication, there are also negative impacts of increasing dependence on modern technologies, and their own security. The article gives some insights into the security of information systems. Keywords: information systems, security. 3

Úvod Vývoj informačních technologií v posledních 30 letech sebou přináší mnohá pozitiva. Ať již se jedná o usnadnění komunikace, organizaci a automatizaci práce, obchod, vědu a výzkum, prakticky ve všech oblastech lidského života se každý den setkáváme s nějakou formou informačních technologií ať již přímo či nepřímo. S tímto rozvojem úzce souvisí i rozvoj informačních systémů, jež si můžeme představit jako jakési řídicí prvky, které nám umožňují dosáhnout požadovaných výsledků. Bohužel ani svět IT není dokonalý a tím méně již informační systémy, které jsou používány. Proto se bezpečnostní experti zaměřují na bezpečnosti informačních systémů, správci sítí dohlížejí na dodržování stanovených zásad a bezpečností sítí a analytici zkoumají a navrhují nová a lepší řešení. Situací, které je nutné řešit, neustále přibývá a samotná problematika ochrany informačních systémů dostává především v posledních letech nový rozměr. 1. Kyberprostor Pochopení problematiky informačních systému vyžaduje definovat prostředí, ve kterém jsou tyto systémy provozovány. V ranných fázích rozvoje IT byly jednotlivé sítě (systémy, informační systémy) od sebe navzájem dislokovány. Tento přístup, vynucený technologickými omezeními, představoval jeden z hlavních bezpečnostních pilířů. Zároveň ovšem představoval omezení celého systémů a to především na poli komunikace. Právě z potřeby komunikace a výměny dat vznikly první počítačové sítě, všeobecně známou je siť ARPANET, která představovala páteř všech počítačových sítí vůbec. Postupným propojováním, případně slučováním jednotlivých lokálních sítí vznikla globální síť, obecně označovaná jako Internet. Internet ovšem představuje pouze služby veřejné, resp. služby zpřístupněné a poskytované a nepokrývá celý prostor světa IT. V problematice 4

zabezpečení IT se proto používá širší pojem kyberprostor. Oproti síti Internet do něj spadají i běžně neveřejné, neuzavřené či nezabezpečené služby jednotlivých sítí, které mohou být útočníkem využity pro nezákonné jednání. 1.1. Terorismus a kyberterosismus Vymezení pojmu terorismus existuje celá řada. Z pohledu bezpečnostního IT manažera jsou důležité především tyto vlastnosti: Terorismus je nekonvenční Teroristické organizace pracují v utajení Terorismus je relativně finančně nenáročný Teroristické útoky jsou překvapivé A právě na těchto vlastnostech je založen kyberterorismus. Dnešní svět informačních technologií dává útočníkům, potažmo teroristům nové nástroje a metody k uskutečňování svých cílů. V širším slova smyslu ho můžeme chápat jako jakého-li využití prostředků IT k teroristickým účelům. Mezi ty hlavní patří: Koordinace funkce teroristických organizací velká skupina organizovaných teroristických skupin provozuje internetové stránky, kde dochází k informování členů organizace o plánovaných útocích a politice hnutí Propagace hnutí a teroristických činů opět formou webových stránek, komunikací s médii Zveřejňování postupů pro sestavení zbraní nekonvenčního charakteru. V užším slova smyslu představuje kyberterorismus formu útoku na informační technologie, případně využití dat a informací, které byly pomocí tohoto útoku získány. Nejčastěji se jedná o napadání informačních systémů oponenta, případně systémů třetích stran za účelem zviditelnění mateřské organizace a šíření paniky ve společnosti. 5

1.2. Informační bezpečnost Jako reakce na tyto hrozby se objevily postupy, které měly za úkol těmto útokům zabránit. V počátcích se jednalo pouze o dílčí řešení konkrétních situací, zabezpečujících příslušný informační systém. Později začaly vznikat normy a metodiky ochrany informačních systémů, pro kterou se obecně ustálil pojem Informační bezpečnost. V současné době existuje několik certifikovaných ISO norem, které postihují problematiku bezpečnosti informačních systémů již v samotném zárodku, tj. v jejich návrhové fázi. Pro korektnost je nutné dodat, že první útoky na informační systémy případně počítačové sítě nebyly útoky teroristického charakteru, ale jednalo se o snahu jednotlivců s jinými motivy. 2. MOŽNOSTI NAPADENÍ INFORMAČNÍCH SYSTÉMŮ 2.1. Hrozby v informačních systémech Vzhledem ke skutečnosti, že informace, se kterými pracují informační systémy, představují dnes prakticky nejcennější komoditu, je zde zřejmý prioritní význam hrozeb vnějšího a vnitřního útoku, a to: neautorizovaný uživatel se pokouší získat přístup k systému autorizovaný uživatel se pokouší získat přístup k informacím a datům, ke kterým nemá přístup povolen Dále, s ohledem na veřejné požadavky rychlosti a spolehlivosti informačních systémů, mají nezanedbatelný vliv hrozby poruch, havárií a působení přírodních sil (tzv. vyšší moci), a to: 6

Uživatelům může být zabráněno ve využívání služeb systému zničením nebo poškozením funkčnosti nebo integrity systému. V rámci přenosů informací, zejména prostřednictvím veřejných telekomunikačních sítí, mezi jednotlivými lokalitami instituce objektivně existují hrozby vnějšího útoku a poruch komunikačního systému, a to: data, přenášená veřejnou nebo sdílenou datovou sítí, jsou odposlouchávána neautorizovaným uživatelem data, přenášená veřejnou nebo sdílenou datovou sítí, jsou modifikována buďto neautorizovaným uživatelem, nebo poruchou přenosu V případě, že v informačním systému chybí bezpečnostní subsystém, nebo takovýto subsystém nemá dostatečnou kvalitu, lze zde odhalit všeobecné hrozby, a to: nelze zjistit původce některých akcí, které mají vztah k bezpečnosti systém je dodán, instalován nebo používán způsobem, který není bezpečný dojde k narušení bezpečnosti systému, protože nejsou použity bezpečnostní mechanismy nebo jsou použity nesprávně uživatelé mohou obejít bezpečnostní mechanismy použité v systému Pro firemní informační systémy a informační systémy klíčových institucí představují rovněž značné nebezpečí tzv. softwarové hrozby zapříčiněné různými typy virů. Obecně pak lze konstatovat, že v informačních systémech může být ohrožena jak integrita, tak i důvěryhodnost a dostupnost dat. Přitom z celosvětových zkušeností vyplývá, že nejfrekventovanější příčinou hrozeb je vnitřní útok vlastního personálu. 7

2.2. Zranitelnost informačních systémů Zranitelnost informačních systémů představuje jejich obecnou vlastnost. Jedná se vlastně o zranitelná místa (zranitelné komponenty, prvky) těchto systémů jak z hlediska funkčnosti, tak i správnosti (přesněji, míry záruky za správnost). V této souvislosti nutno poznamenat, že zranitelnost fyzického prostředí řady informačních systémů je dosud značná. Dále pak, že u celé řady firem a institucí je zcela neopodstatněně podceňována zranitelnost organizačního prostředí, především pak personálních (lidských) prvků informačních systémů. Poněkud více pozornosti, ale stále to není dost, je věnováno logickému a komunikačnímu (WAN) prostředí. Prakticky to znamená, že informační technologie bývá nevhodně dislokována a neautorizovaný přístup do prostor jejího umístění bývá často snadný. Samostatnou kapitolou je "úroveň" služeb ochrany a ostrahy objektů. Využívání automatizovaných systémů kontroly vstupu a pohybu osob v objektech je ojedinělé, a snad jen systémy EZS (elektronická zabezpečovací signalizace) lze vidět v provozuschopném stavu v některých objektech. Velkým problémem zranitelnosti informačních systémů v praxi bývá nedokonalost jejich organizačních zázemí, to znamená dokumentování (formalizace) všech informačních toků a procedur, představované celou řadou směrnic a jiných písemných dokumentů. Lze také předpokládat, že jen nemnoho ze správců informačních systémů má k dispozici tzv. havarijní plány, stejně tak, že jen málo firem a institucí má k dispozici kvalifikovaný bezpečnostní management. Specifickou oblastí při posuzování zranitelnosti organizačního prostředí je pak personální management. Výběr a výchova pracovníků informačních systémů má celou řadu slabin a je smutné, že teprve několik kriminálních případů v posledním období způsobilo na tomto úseku, jak lze doufat, obrat k lepšímu. 8

Zatím největší pozornost byla věnována zranitelnosti informačních systémů z hlediska jejich logického prostředí. Odborníci vědí, že například některá hardwarová vybavení mají vlastnosti Fault Tolerant System, některá jsou certifikována (spolu s operačními systémy, ale zatím pouze dle TSEC), budují se záložní výpočetní centra. Jsou aplikovány řízené přístupy k objektům a začínají se projevovat počátky odklonu od systému přístupových hesel směrem k využívání personálních inteligentních čipových karet Smart Cards. Ve vztahu k eliminaci zranitelnosti komunikačního prostředí (z hlediska dostupnosti) již dnes řada firem a institucí využívá záložních spojovacích cest a některé z nich se začaly zajímat o šifrovou ochranu, enkrypci, svých datových přenosů (z hlediska integrity a důvěrnosti). 2.3. Rizika informačních systémů Pravděpodobnost, že se uplatní některá z výše uvedených hrozeb nebo zranitelných míst informačních systémů je vyjádřena hodnotou informačního rizika. Teoretické odhady jsou potvrzovány praktickými zkušenostmi, ze kterých vyplývá, že nejpravděpodobnější riziko pramení z uplatnění hrozby - systém je dodán, instalován nebo používán způsobem, který není bezpečný. Přitom nejčastějšími příčinami tohoto rizika bývají omyly a nedbalost personálu spolu s nesprávnou manipulací. [15] Je zajímavé, že již zmíněné aktuální případy uplatněné hrozby - autorizovaný uživatel se pokouší získat přístup k prostředkům, ke kterým nemá přístup povolen - zaujímají z pohledu dlouhodobých zahraničních statistik místo ve spodní části žebříčku četnosti. V našich podmínkách však bude situace poněkud odlišná, vzhledem k rozdílu mezi úrovní bezpečnostních systémů našich a zahraničních institucí. V této souvislosti je vhodné poznamenat, že za velký nedostatek řady informačních systémů je nutno považovat nedostatky v kvalitní formalizaci informačních procedur a toků. Například je naprosto nepřípustné, aby firemní programátor měl přístup do systému v provozu, nebo naopak, aby ladění 9

programů byl prováděno na tzv. ostrých datech. Rovněž tak je nepřípustné, aby třeba informaci jisté klasifikační úrovně bylo možno neautorizovaně získat i tak, že jsou autorizovaně získány její jednotlivé části s nižší klasifikační úrovní. 2.4. Bezpečnostní systém Některé z firem a institucí již přišly na to, že nejefektivnějším a z dlouhodobého hlediska nejhospodárnějším způsobem řešení bezpečnosti (důvěryhodnosti) jejich informačních systémů, je odborně provedená výstavba bezpečnostního systému. Takovýto krok vyžaduje ze strany firemního managementu zájem o řešení informační bezpečnosti na straně jedné, na straně druhé přijetí dlouhodobého programu informační bezpečnosti. Realizace tohoto programu předpokládá v prvé fázi provedení bezpečnostní analýzy firemního informačního systému, na základě které by měla být vypracována bezpečnostní politika, a v případě potřeby vypracován bezpečnostní projekt. Výstavba konkrétního bezpečnostního systému se pak obvykle provádí buď na základě bezpečnostního projektu, nebo dle závěrů bezpečnostní analýzy. Na tomto místě je vhodné poznamenat, že v rámci firemních a institucionálních informačních systémů lze, vzhledem k odlišným a specifickým vlastnostem, naprosto samostatně řešit informační bezpečnost zpracování dat a informační bezpečnost přenosu dat. [5] Kvalitní ochrana informací a informačních systémů je nejen vizitkou firmy nebo instituce, ale i nezbytným předpokladem bezproblémových auditů prováděných například s cílem získat např. certifikát kvality dle ISO 9001. 2.5. Napadení informačního systému V době stále se zvyšující komplexnosti operačních systémů i aplikačního programového vybavení dochází ke stále častějším objevům bezpečnostních děr (security holes) v těchto produktech. Různé skupiny, sdružující se převážně na internetu, těchto "děr" využívají a tvoří programy, které mohou 10

kompromitovat informační systém. Tyto programy jsou pak volně dostupné pro všechny uživatele Internetu. To znamená, že pro narušení systému již nejsou potřebné žádné speciální znalosti a techniky - narušení může provést kdokoli, kdo si daný program zrovna "stáhne". Velmi alarmující jsou statistiky, které uvádějí, že až 90% realizovaných útoků na informační systém probíhá zevnitř organizace, to znamená, že je provádějí vlastní zaměstnanci V současnosti existuje více než 800 různých způsobů, kterými lze napadnout zařízení, připojená do počítačové sítě. Tyto útoky se liší použitými prostředky a cíli. Útoky mohou způsobit následující škody: Nedostupnost služby - tzv. DoS útoky (Denial of Service) - způsobí, že případná služba (http, ftp ), na kterou byl prováděn útok přestane být funkční - může dojít i k "zatuhnutí", případně restartu serveru apod. Neoprávněný přístup - výsledkem útoku může být to, že útočník neoprávněně získá plný nebo částečný přístup k zařízení, a to mu následně umožní provádět neautorizované změny v konfiguraci, mazání nebo modifikaci souborů apod. Často bývá takto napadený server využíván jako základna pro provádění útoků na další zařízení. Získání důvěrných informací - výsledkem útoku může být získání citlivých informací - např. seznam uživatelských jmen a hesel apod. [15] Způsobů, kterými lze zaútočit na informační systém je nespočet, obecně se odhaduje, že takovýchto způsobů může být až 800 a nové metody neustále vznikají vzhledem k zájmu různých skupin o informační systémy a data v nich uložená. K těm nejdůležitějším, se kterými se lze setkat nejčastěji, patří: 11

Backdoory jedná se obecně o škodlivý kód - programy, umožňující útočníkovi získat kontrolu nad strojem, na kterém je program spuštěn, včetně možnosti provádět jeho vzdálenou administraci. Na počítač je obvykle tento program nainstalován bez vědomí uživatele (např. prostřednictvím otevření přílohy e-mailu). CGI scripty jedná se o skripty (skupiny příkazů, provádějících definovanou činnost), obvykle umístěné na www serveru. U řady těchto skriptů byla objevena možnost jejich zneužití útočník tak má např. možnost získat plnou kontrolu nad www serverem (a po jeho kompromitaci pak i k dalším částem IS). DNS systémy jedná se o službu převodu jmenné adresy počítače nebo síťového zdroje do formátu číselné IP adresy. Při chybné konfiguraci DNS je možné zneužití této služby např. předstíráním identity síťového zařízení. mailové systémy celá řada systémů pro přenos a zpracovávání emailové komunikace vykazuje vážné bezpečnostní chyby, které mohou být zneužity nejrůznějším způsobem. Může se jednat o útoky od využití poštovního cizího serveru pro posílání vlastních zpráv (problematika spamu) až po získání plné kontroly nad strojem, na kterém je mailový systém provozován. ftp systémy systémy, poskytující nebo využívající službu přenosu souborů (File Transfer Protocol) jsou v závislosti na použitém operačním systému a verzi softwaru ftp ohroženy řadou potenciálních zranitelností, jejichž zneužitím může být zpřístupnění celého stroje (a následně dalších strojů v síti) útočníkovi, nebo vzdálené zastavení počítače, na němž je služba ftp spuštěna. LDAP systémy jedná se o systémy, využívající adresářovou službu LDAP (Lightweight directory access protocol). S používáním této služby 12

jsou spojena některá bezpečnostní rizika, spočívající v možnosti využití této služby neoprávněnými uživateli. síťové odposlouchávání v lokálních počítačových sítích je velkým problémem možnost síťového odposlouchávání, kdy kterýkoli uživatel sítě má možnost za pomoci některého z řady jednoduchých, volně dostupných, programů monitorovat jednotlivé pakety s daty. Pomocí tohoto programu může sledovat např. pouze komunikaci jednotlivé vybrané osoby, může dále určit, že v rámci této komunikace bude sledovat pouze zadávaná hesla, příchozí nebo odchozí poštu, webové stránky, které si daná osoba prohlíží apod. Je ale možné detekovat tyto programy na pracovních stanicích jednotlivých uživatelů a to i za pomoci dalších vodítek (zejména softwarové přepnutí síťové karty do tzv. promiskuitního režimu ) identifikovat potenciálně problematické uživatele. NFS systémy jedná se o technologii zpřístupňující data na síťových discích lokálním uživatelům prostřednictvím protokolu NFS (Network file systém), primárně na systémech UNIXového typu. S používáním tohoto protokolu souvisí řada bezpečnostních rizik, spočívajících v možnosti neautorizovaného přístupu k jednotlivým diskovým svazkům a následné kompromitaci celého systému. systémy založené na RPC jedná se o specifické zranitelnosti systémů, využívající vzdálené volání procedur (Remote procedure call). Zranitelnosti tohoto typu může útočník využít k získání plného přístupu ke stroji. systémy se sdílením zdrojů jedná se o systémy, které nabízejí své prostředky (např. diskový prostor) ostatním prvkům informačního systému. Sdílení zdrojů může být realizováno prostřednictvím technologie SMB, samba a další. U těchto systémů byla objevena řada zranitelností, umožňující získání neautorizovaného přístupu. 13

SNMP systémy jedná se o skupinu zranitelností, využívající bezpečnostních děr v implementaci Simple Network Management Protocolu. Tohoto protokolu je typicky využíváno především při vzdálené správě aktivních prvků sítě. Útočník, který zneužije některé ze slabin, založených na tomto protokolu může např. změnit adresaci celé počítačové sítě. X window systémy jedná se o skupinu zranitelností, založených na X- Window (grafická nadstavba operačních systémů UNIXového typu, založená na architektuře klient-server). X server poslouchá na vybraném portu, aplikace se na něj může připojit a komunikovat s X serverem, což jí umožní nejenom se graficky prezentovat, ale samozřejmě i vidět obsah obrazovky, snímat stisknuté klávesy a monitorovat pohyby myší. Tímto základním způsobem může útočník monitorovat např. nezabezpečenou komunikaci mezi X serverem a stanicí uživatele. firewally firewally, oddělující prostředí lokální sítě od okolního prostředí mají velmi rozsáhlou množinu specifických zranitelností [11]. Mezi ně patří především DoS útoky, zranitelnosti, založené na změně směrování apod. 2.6. Lidský faktor a jeho podíl na útocích na informační systém Více než 90 % veškerých mimořádných událostí a narušení bezpečnosti informačního systému je způsobeno úmyslným (krádež, pomsta, zlomyslnost) i neúmyslným (nezkušenost, neznalost, nedbalost) jednáním člověka - zaměstnance společnosti. Stalo se již téměř každodenní praxí, že novináři uvádějí jako zdroj svých informací dobře informovaného pracovníka banky, ministerstva, policie a dalších organizací, který si nepřál být jmenován. Tato krátká informace by měla být velkým varováním pro vedoucí pracovníky příslušné organizace, protože se v její struktuře nachází slabý článek - pracovník, jehož zájmy nejsou shodné se zájmy společnosti. Může mít přístup k důvěrným informacím, často i vysoká nebo dokonce správcovská práva v informačním 14

systému dané společnosti, což mu umožňuje kopírování a modifikaci vybraných záznamů. Pokud se pracovník společnosti rozhodne spolupracovat s novináři a data, která odcizí ve své společnosti jsou uveřejněna v tisku, ve velké většině případů se podaří tohoto pracovníka odhalit. [8] Daleko nebezpečnější jsou rezidenti, kteří skrytě a mnohdy po velmi dlouhou dobu poskytují informace získané v rámci svého pracovního zařazení třetí straně nebo ve prospěch třetí strany směřují činnost "své" společnosti (v uvozovkách úmyslně, protože takový pracovník vlastně pracuje pro dvě strany). To v konečném důsledku může velmi vážně poškodit kredit nebo dokonce ohrozit samotnou existenci společnosti, ve které tuto činnost provádí. Závadová činnost takovéhoto člověka uvnitř firmy může oblasti informatiky a správy informačního systému společnosti může spočívat především v : modifikaci vlastních přístupových práv úpravě v centrálních a pobočkových databázích a příslušných auditních souborů znepřístupnění dat dalším spolupracovníkům přerušení datových okruhů modifikaci přístupových práv ostatních uživatelů změně konfigurace počítačů nebo komunikačních prostředků nedodržování antivirové ochrany neprovádění nebo pouze částečném zálohování dat porušování pravidel platných pro tvorbu a používání přístupových hesel Pro zajištění trvale dobrého jména společnosti a důvěryhodnosti jejího informačního systému je tedy nutné, vedle stálého monitorování všech funkcí, které zajišťují bezpečnost a spolehlivost informačního systému, věnovat pozornost i personálnímu obsazení jednotlivých důležitých funkcí v organizaci a každodenní práci s lidmi. 15

3. ZPŮSOBY OCHRANY INFORMAČNÍCH SYSTÉMŮ Při hodnocení bezpečnosti informačních technologií v dnešních podmínkách je možné konstatovat, že dochází k určitému přibližování se úrovni vyspělých států. Ve většině našich firem došlo k výraznému posílení fyzických bezpečnostních opatření, zejména v oblasti ostrahy, fyzického přístupu, vytváření bezpečnostních zón, běžně se provádí antivirová ochrana. Bezpečnostní úroveň operačních systémů středních počítačů již v řadě případů odpovídá obvyklé minimální úrovni amerických kritérií TCSEC (Trusted Computer Security Evaluation Criteria). Dosud však není dostatečné povědomí o nutnosti implementovat zásady bezpečnosti ve všech částech životního cyklu automatizovaného zpracování, prosazení a naplnění všech aspektů bezpečnosti (personální, administrativní, technický). V roce 1993 byla vydána Ministerstvem hospodářství první verze přeložených harmonizovaných evropských kriterií pro hodnocení bezpečnosti informačních technologií ITSEC (Information Technology Security Evaluation Criteria). Byly tím vytvořeny předpoklady pro to, aby jak ze strany výrobců produktů a systémů IT, tak ze strany jejich uživatelů bylo pohlíženo na hodnocení bezpečnosti IT jednotně. Jako formální základ pro vzájemné mezinárodní uznávání hodnocení uzavřely Kanada, Francie, Německo, Velká Británie a Spojené státy americké v roce 1998 dohodu "Arrangement on the Recognition of Common Criteria Certificates in the field of Information Technology Security", zkráceně nazývanou CCRA (CC Recognition Arrangement). Česká republika se připojila k dohodě v září roku 2004 jako certifikáty využívající účastník. Přijímáním izolovaných řešení, do kterých nejsou začleněny podmínky pro některé nové standardní přístupy, vzniká určité nebezpečí budoucích zvýšených nákladů. Ve světě např. dochází k pronikání systému EDI (Elektronic Data Interchange) z oblasti průmyslu a obchodu do oblasti celní a do světa bank. Zavádění EDI je provázeno při výměně dokumentů všeho druhu mezi jednotlivými hospodářskými subjekty logickým sjednocováním 16

a přijímáním standardů. V našich firmách nebyla při vytváření nových systémů problematika EDI dostatečně známa. Při přechodu na on-line propojení mezi firmami a jejich klienty (i mezi klientskými IS) má při využití systému EDI stěžejní význam zabudování bezpečnostních prvků do těchto systémů. V souladu s vývojem ve světě je jedním z hlavních úkolů v oblasti bezpečnosti informačních technologií prosadit implementaci mezinárodních a evropských standardů, které dávají záruku vysoké úrovně bezpečnostních řešení. Při řešení otázek bezpečnosti informačních systémů je nutné především stanovit úroveň rizika a její nejvýznamnější atributy, tj. co má největší negativní vliv na důvěrnost, integritu a dostupnost informačního systému. Dále je nutné se zabývat problémem jak na tyto negativní vlivy reagovat. Nabízí se zde celá řada reakcí, od jejich akceptování až po přijímání opatření na jejich eliminaci. Úroveň rizika může být zmenšena tím, že se v rámci procesu zvládání rizik implementuje taková architektura systému, která zahrnuje organizační, administrativní, personální, fyzické a technické bezpečnostní komponenty. Proces zvládání rizik tvoří plánování, organizování, řízení a kontrola zdrojů za účelem zajištění přijatelné zbytkové úrovně rizika a úměrných nákladů. V oblasti bezpečnosti informačních systémů se setkáváme s určitými obtížemi, které vznikají jako důsledek dynamických změn rizikových faktorů a prudkého vývoje informačních technologií. Nejsou-li včas a adekvátně vzaty v úvahu všechny faktory rizika, může to vést k neefektivním a zbytečně drahým opatřením. Zvládání rizik musí být považováno za jeden z rozhodujících kroků řešení bezpečnosti 17

3.1. Analýza rizik Při snaze efektivně zabezpečit informační systém je obvyklým problémem, jaká bezpečnostní opatření přijmout k zajištění přiměřené ochrany informačního systému tak, aby byla dostatečně účinná a současně finančně a organizačně přiměřená povaze chráněné věci. Pro stanovení relevantních protiopatření obecně slouží tzv. analýza rizik. Jedná se o proces, který hodnotí míru rizika, působící na chráněný objekt a v závislosti na dalších aspektech, jako je hodnota chráněného objektu následně navrhne relevantní protiopatření. Způsoby realizace bezpečnostní analýzy (analýzy rizik), popisuje např. mezinárodní norma ISO/IEC TR 13335. Tato norma definuje následující způsoby provádění analýzy rizik: základní přístup neformální přístup podrobná analýza rizik kombinovaný přístup Tyto přístupy se liší rozsahem analýzy, rychlostí a samozřejmě finanční náročností. Rizika, identifikovaná v průběhu analýzy, by následnými kroky měla být ošetřena tak, aby se jednak snížila pravděpodobnost vzniku bezpečnostního incidentu (preventivní protiopatření), popřípadě aby byly sníženy následky incidentu. Při použití základního přístupu se relativně rychle zavede vybraná množina bezpečnostních opatření a žádná detailní analýza se ve skutečnosti neprovádí. Opatření jsou obvykle přejata z některého standardu v oblasti bezpečnosti. Při analýze je pouze porovnán doporučený standard s již přijatými bezpečnostními opatřeními a použijí se ta, která v informačním sytému implementována nejsou. Pozitivem je zejména rychlost a úspory všech zdrojů finančních i personálních. Negativem je, že bezpečnostní opatření 18

nezohledňují specifika konkrétního informačního systému, a proto mohou být předimenzována nebo poddimenzována. U neformálního přístupu je využíváno výhradně zkušeností a znalostí osob, které informační systém znají a mají o něm detailní informace. Pozitivem je rychlost zpracování analýzy a úspora zdrojů, záporů je celá řada. Metoda závisí pouze na subjektivních znalostech a zkušenostech, a ne na objektivním hodnocení podpořeném vhodnými prostředky. Proto se tento postup doporučuje pouze jako počáteční krok pro určité rychlé řešení s následnou podrobnou analýzou rizik. Podrobná analýza rizik je nejpřesnější, ale i nejnáročnější metoda z hlediska časového i finančního. Při tomto postupu se nejdříve musí identifikovat aktiva organizace, následně tato aktiva ohodnotit, posoudit hrozby pro tato aktiva a stanovit úroveň jejich zranitelnosti. Na základě těchto zjištěných údajů je stanovena míra rizika pro každé hodnocené aktivum a navržena protiopatření, která tato rizika částečně nebo zcela eliminují. Vzhledem ke složitosti celého procesu analýzy jsou často jako podpůrný prostředek používány expertní systémy, jako je např. RiskWatch, Cobra, Marion apod. Protože podrobná analýza rizik je relativně náročný proces (finančně i časově), lze provést kombinovaný přístup, kdy se podrobnou analýzou rizik hodnotí pouze některé oblasti a ostatní výše popsaným základním nebo neformálním přístupem. Analýza rizik obvykle pokrývá celou řadu aktiv organizace, tj. aktiva materiální povahy (zařízení, budovy apod.), tak i aktiva povahy nehmotné (informace, dobrá pověst organizace apod.). 19

3.2. Fyzická bezpečnost Informační bezpečnost začíná minimalizací rizik hardwaru, na němž jsou informace uloženy. Fyzickou bezpečností můžeme rozumět fyzickou ochranu a organizaci fyzického přístupu ke zdrojům informace, umístění zabezpečovacích a monitorovacích zařízení, stanovení zodpovědnosti a hierarchii. Musí být vytvořen seznam preventivních, kontrolních a řídících procedur chránících před škodami způsobenými ohněm nebo vodou. Při spolupráci jednotlivých oddělení při vytváření těchto procedur je nutno dbát na to, že ideou není spojení bezpečnostních plánů jednotlivých budov, ale napsat pregnantní přehled fyzických oblastí, které přímo ovlivňují počítačové vybavení. Tento materiál by měl vést k tomu, aby technické vybavení IT bylo umístěno nad úrovní okolního terénu, nebylo umístěno pod vodními nádržemi nebo vodovodními systémy a před instalací by mělo být zváženo riziko záplav způsobených okolními vodními zdroji. V této sekci by mělo být také opatření a procedury evakuace včetně výcviku zaměstnanců a v neposlední řadě vymezení zodpovědnosti vedoucích pracovníků za udržování fyzické bezpečnosti svých oddělení. [5] 3.3. Řízení přístupu Přístup do vyhrazených oblastí musí být monitorován a řízen. Musí být vyžadováno, aby systém byl schopen identifikovat zaměstnance a podle jeho úrovně oprávnění mu povolit nebo odmítnout vstup, o všech pokusech o vstup do dané oblasti by měl být veden záznam, aby bylo možno sledovat pohyb zaměstnanců v oblasti. Pro tyto účely je v současné době nabízeno nepřeberné množství různých systémů a většina z nich využívá kromě jiného autentizaci heslem. Musí být vydány instrukce pro výběr hesla, zacházení s vlastním heslem a doba platnosti hesla. Jako závažný přestupek by mělo být označeno vyzrazení vlastního hesla jiným zaměstnancům nebo půjčování identifikačních předmětů. [7] 20

3.4. Bezpečnost softwaru Náležité otestování softwaru je podstatnou součástí bezpečnosti informací. Musí být určeno, kdo je zodpovědný za schválení a instalaci softwaru, jak a kde uložit a chránit hlavní kopii softwaru, jak prosadit jednání v souladu s licenční smlouvou a jak zajistit ochranu proti virům. V případě potřeby nového softwaru musí určené oddělení nový software otestovat a v případě, že odpovídá stanoveným předpisům, povolit jeho instalaci. Testy musí být zdokumentovány a záznamy o testech uloženy do souboru. Stejně jako u technického vybavení by mělo být za veškerý software zodpovědné pouze jedno oddělení. Je třeba také doporučit standardní postup pro doručování softwaru, konkrétně by veškerý přijatý software měl být registrován a měly by být záznamy, kdy byl přijat, osoba a oddělení, které ho přijaly, licence. Příkladem jak si udržet přehled o softwaru je knihovna obsahující přesné a bezpečné kopie veškerého softwaru, který je společností používán, byl vyvinut nebo zakoupen. Při práci s touto knihovnou by veškeré operace měly být monitorovány. Vedoucí oddělení by měl být zodpovědný za to, že všichni přijímaní zaměstnanci budou informováni, že nahrávání nebo používání neautorizovaného softwaru nebo pirátského softwaru je přísně zakázáno a bude projednáváno vedením jako disciplinární přestupek. 3.5. Bezpečnost dat Materiál, který nelze označit jako technické nebo programové vybavení můžeme považovat za datové soubory. Datové soubory by měly být chráněny hesly, sledováním aktivit, kontrolou distribuce, virovou kontrolou, šifrováním. Musí být definován vlastník dat a definována důležitá data. Důležitá data mohou být například data obsahující informace získané nebo modifikované v průběhu běžných operací, dále informace, jejichž dostupnost může ohrozit obchodní operace a zejména informace, pro které je ze zákona požadavek, aby byly správné, kompletní a dostupné. Je důležité, aby byly vybrány takové zásady a procedury, které jsou účinné, ale ne příliš omezující. 21

4. Závěr V dnešní době, s dynamickým rozvojem světa IT, celosvětové dostupnosti sítě internet včetně všech jejich výhod a nevýhod, skutečně neexistuje počítač, o kterém bychom mohli prohlásit, že mu nehrozí žádné nebezpečí. Je nutné si uvědomit, že problematika ochrany informačních systémů již není jen záležitost velkých sítí, jejich expertů a správců. Největší rizika představují právě systémy menší, kde nejsou pravidla ochrany jasně stanovena ani vynucovaná. Právě v těchto systémech také dochází k největšímu počtu bezpečnostních incidentů. Pro každou konkrétní situaci je zcela jistě nutné stanovit příslušný model ochrany vzhledem požadovanému stupni výkonu a bezpečnosti. Vzhledem k neustále se navyšujícímu počtu přímých útoků na počítačové sítě a informační systémy, které generují vysoké finanční ztráty, považuji právě oblast bezpečnosti informačních technologií za jednu z největším potenciálem. 5. Použitá literatura: 1. Čandík, Marek. Bezpečnost informačních systémů. In: Security magazín,roč. XI, vyd. 60, 4/2004, vyd. Familymedia Praha, 2004, s. 24-26, ISSN 1210-8723. 2. Čandík, Marek. Politika informační bezpečnosti. In: Security magazín, Roč. XI, vyd. 60, 4/2004, vyd. Familymedia Praha, 2004, s. 43-46, ISSN 1210-8723. 3. KRÁL, M. Bezpečnost domácího počítače. Praha : Grada a.s., 2006, ISBN 80-247-1408-6 4. JIROVSKÝ, V. Kybernetická kriminalita. Praha : Grada a.s., 2007, ISBN 978-80-247-1561-2 22

5. ČANDÍK, M. Bezpečnost informačních systémů a jejich kvalita. Sborník ISMS (ISO 2700x), ISBN 978-80-7251-356-7. 6. BATT, E., SIECHERT, C., Zabezpečení Microsoft Windows 2000 a XP, Computer Press, 2004, ISBN 80-7226-878-3 7. NORTHCUTT, S., a kol., Bezpečnost počítačových sítí, Computer Press, 2005, ISBN 80-251-0697-7 8. ENDOR, C., a kol., Detekce a prevence počítačového útoku, Grada, 2005, ISBN 80-247-1035-8 9. SZOR, P., Počítačové viry, Zoner press, 2006, ISBN 80-86815-04-8 10. KOCMAN, R., LOHNINKSKY, J., Jak se bránit virům, spamu a spyware, Computer Press, 2005, ISBN 80-251-0793-0 11. http://wikipedia.org/ 12. http://spyware.cz/ 13. http://viry.cz/ 14. http://www.lupa.cz/ 15. http://www.security-portal.cz/ 23