Koncept informacn bezpecnosti

Koncept informacn bezpecnosti PV 017 Rzen informacn bezpecnosti Jan Staudek http://www..muni.cz/usr/staudek/vyuka/ Ð Û Å«Æ ±²³ µ ¹º»¼½¾ Ý Verze : podzim 2016

Motto Bezpecnost nen cern a a bl a, bezpecnost je sk ala odstn u sed e rozprostren a pod el cel eho kontinua. Ukazte mne dokonalou bezpecnost a j a V am uk azu spolecnost, kter a se nevyvj dostatecn e rychle. Clem zabezpecov an je { snazit se zabr anit nejkatastroct ejsm sc en ar um, { zabr anit standardnm utok um na zn am e cle (get rid of the low-hanging fruit) a { systematicky se v enovat vylepsov an technologi a jejich bezpecnosti. Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 1

Predm ety FI MU souvisejc s informacn bezpecnost PV017 Rzen informacn bezpecnosti { tento predm et Cl { pozn an princip u managementu / rzen informacn bezpecnosti na slajdech d ale pro pojem informacn bezpecnost casto pouzv ame zkratku InSec D urazn e upozornen { v yklad predpokl ad a znalost kryptograe, spr avy kryptograe a bezpecnostnch z asad alespo n v rozsahu predm etu PV080 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 2

Predm ety FI MU souvisejc s informacn bezpecnost Dals predm ety souvisejc s problematikou InSec PV080 Ochrana dat a informacnho soukrom, prof. Maty as Uvod do bezpecnosti informac, logicky predchoz predm et k PV017 PV119 { Z aklady pr ava pro informatiky, Dr. Smd IV054 { K odov an, kryptograe a kryptograck e protokoly, Prof. Gruska PV079 { Aplikovan a kryptograe, Prof. Maty as PV157 { Autentizace a rzen prstupu, Prof. Maty as, Mgr. Rha Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 3

Obsah predm etu, hlavn t emata predn asek 1. Koncept informacn bezpecnosti, InSec (IT Security) 2. Souvisejc standardizace, legislativa 3. Anatomie informacn bezpecnosti, utok, zraniteln e msto, opatren,... 4. Potenci al k utoku predstavuje riziko, je nutn e zn at rzen/zvl ad an rizik 5. Rzen InSec v organizaci, manazersk e principy 6. Soubor pravidel pro dosazen InSec { politika informacn bezpecnosti 7. Aplikacn bezpecnost, reakce na bezpecnostn incidenty 8. Procesy prosazujc InSec, syst em rzen/spr avy informacn bezpecnosti, ISMS, Information Security Management System 9. M eren ucinnosti / efektivity ISMS 10. Digit aln d ukazy 11. Prezkoum av an a hodnocen ucinnosti / efektivity ISMS, audit ISMS 12. Jak vyhodnotit v ysi z aruky za dosazen stanoven e urovne InSec { krit eria pro hodnocen InSec Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 4

Nach azme se v informacnm v eku Prvn pr umyslov a revoluce (1760... 1840) nastolila pr umyslov y v ek, manufaktury tov arny Druh a pr umyslov a revoluce (konec 19. st.) vylepsila pr umyslov y v ek o elektrikaci Tret pr umyslov a revoluce (1950 { 1970) byla digit aln revoluc, nastolila informacn v ek spolecnost zalozen a na znalostech je obklopen a vysp elou glob aln ekonomikou, kter a ovliv nuje jak vysoce v ykonnou v yrobu, tak i efektivn e a pohodln e fungujc sektor sluzeb Otrepan a pravda { informace jsou m enou informacnho v eku Z akladnm n astrojem pro manipulaci, uchov av an, pred av an,... informac jsou informacn technologie Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 5

Informacn technologie Technologie, τ εχνoλoγια τ εχνη, dovednost + λoγoς, slovo, nauka, znalost + prpona ια Oxford Dictionary: The application of scientific knowledge to practical purposes in a particular field.... a technical method of achieving a practical purpose. odvetv techniky, kter e se zab yv a tvorbou, zav adenm a zdokonalov anm v yrobnch postup u technika { slozka lidsk e kultury, kter a zarucuje schopnost nebo dovednost kon an v kter emkoli oboru, τ εχνη, techné, dovednost, remeslo, um en Z aver: Technologie = jak neco DELAT,,n eco"{ postup, metoda,... dostupn a dky rozvoji technologi Objektivne plat, ze snaha delat veci l epe/efektivneji ex. trvale ex. trval y rozvoj technologi informacn technologie { technologie zpracov an informac Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 6

Rzen IT (IT Governance), informacn bezpecnost, rzen informacn bezpecnosti Rzen IT, IT Governance Prstup k zajist en slad en prstupu k IT s obchodn strategi obchodn strategie { zabezpecen, aby organizace sm erovala spr avn ym smerem k dosazen sv ych cl u a plnen sv ych strategick ych pl an u Disciplna zach azejc se strukturami, standardy, postupy, procesy, kter a t ymy spr avy a rzen organizace vede k efektivnmu rzen, ochran e a vyuzv an informacnch aktiv organizace Aktivum { neco, co m a organizaci hodnotu, co vlastnkovi aktiva prin as nejak y v ynos nebo se ocek av a, ze v ynos prinese v budoucnu Informacn aktivum { informace nebo sluzba, kterou zpracov av a nebo poskytuje informacn nebo komunikacn syst em, zam estnanci a dodavatel e podlejc se na provozu, rozvoji, spr av e nebo bezpecnosti informacnho a/nebo komunikacnho syst emu, technick e vybaven, komunikacn prostredky, programov e vybaven a objekty informacnho a/nebo komunikacnho syst emu, data Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 7

Rzen IT (IT Governance), informacn bezpecnost, rzen informacn bezpecnosti Informacn bezpecnost, InSec predevsm udrzov an d uv ernosti, integrity a dostupnosti informac plus prpadn e udrzov an dalsch vlastnost typu autenticita, prokazatelnost, nepopiratelnost, spolehlivost Rzen informacn bezpecnosti podmnozina rzen IT orientace na ochranu a zabezpecen informacnch aktiv organizace Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 8

V cem spocv a probl em informacn bezpecnosti? Zijeme v informacnm v eku Syst emy zpracov avajc informace jsou b az mnoha (v etsiny) kazdodennch transakc, na nichz je zalozena nase spolecnost Poctace, kter e jsou b az syst em u pro zpracov av an informac, ned elaj nic vc, nez ze manipuluj s posloupnostmi bit u Pritom plat kazd y jednotliv y bit vypad a jako kter ykoliv jin y bit po proveden zmeny bitu vesmes nelze zjistit zda ke zmene bitu doslo posloupnosti bit u lze nezjistiteln e nekonecn ekr at koprovat A my pritom chceme d uverovat syst em um vybudovan ym na b azi poctac u a na b azi potenci alne chybujcch komunikacnch technologi a oba tyto n astroje jsou casto dostupn e subjekt um,,necist ymi"cli Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 9

Informacn technologie a informacn bezpecnost Bezpecnost Oxford Dictionary: The state of being free from danger or injury. Stav, ve kter em se vlastnk (informacnch) aktiv se chov a tak, aby na techto aktiv ach nedoch azelo ke skod am a a ve kter em nelze zp usobit takovou skodu ani umysln ym ani ne umysln ym aktivnm ci pasivnm z asahem z okolnho prostred Jin ymi slovy: Bezpecnost = jak n eco NEDELAT Aby se bezpecnost zajistila efektivne, mus se zn at co se nesm delat V yvoj bezpecnostnch opatren zajist'ujcch bezpecnost je akcentovan y pozn anm technologi pro jejich implementaci Nelze se br anit proti ucink um akc realizovan ych na b azi dosud neexistujcch/nezn am ych technologi Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 10

Dohonestujc realita uvodem Dosahov an bezpecnosti kr ac za rozvojem technologi, : { ( sk ala n astroj u (opatren) zajist'ujcch bezpecnost nebude nikdy upln a Mnoh a bezpecnostn opatren jsou po jist e dobe m alo (m ene) ucinn a Opatren mohou b yt implementovan a pouze na b azi dostupn ych technologi Technologie je,,umoz novac\ { umoz nuje n eco d elat Bezpecnost je,,zabra novac"{ zabra nuje efektivnm ucink um zn am ych skodliv ych akc Bezpecnost se dosahuje pouzv anm/uplat nov anm opatren Narusov an bezpecnosti jsou implementovan a na b azi dostupn ych technologi stejn e jako bezpecnostn opatren V liber alnm prostred uzavren y kruh, ALE utocnk m a n askok Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 11

(,,Safety",,Security") Bezpecnost ISO/IEC 27032: 2012, Information technology Security techniques { Guidelines for cybersecurity Safety, bezpec Stav byt v chr anen e oblasti, ve kter em je zajistena ochrana proti fyzick emu, soci alnmu, duchovnmu, nancnmu, politick emu, emocion alnmu, pracovnmu, psychologick emu, vzd el avacmu nebo jin emu typu nebo d usledku selh an, poskozen, chyby, nehody, ci jin e ud alosti, kter a by mohla b yt povazov ana za nez adouc Bezpec m uze mt podobu chr anen osob nebo hmotn ych ci nehmotn ych hodnot (aktiv) pred ud alostmi nebo vystavenmi skutecnostem zp usobujcm zdravotn, ekonomick e,... ztr aty (skody) Tedy { bezpec je stav byt, ve kter em plat, ze za denovan ych podmnek n ekdo ci n eco nezp usob skodu. Bezpec se mnohdy ch ape jako chr anen proti nahodil ym ud alostem Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 12

(,,Safety",,Security") Bezpecnost ISO/IEC 27032: 2012, Information technology Security techniques { Guidelines for cybersecurity Security, bezpecnost Ochr an en proti umysln ym skod am na aktivech V sirsm slova smyslu ochr an en pred poskozenm osob nebo hmotn ych ci nehmotn ych aktiv v d usledku umysln ych (trestn ych) cin u, jako jsou prepaden, vloup an nebo vandalismu, kr adez,... information security, informacn bezpecnost ochrana proti umysln ym skod am, nez adoucm akcm na informacnch aktivech Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 13

Co se rozum informacn bezpecnost? ISO/IEC 27002: 2005, Information technology Security techniques { Code of practice for information security management Informacn bezpecnost (Information Security) { systematick e udrzov an (zachov av an) { dostupnosti, Availability { d uv ernosti, Confidentiality { celistvosti, Integrity informac a relevantnch informacnch syst em u v organizaci (informacnch aktiv) Do pojmu informacn bezpecnosti se d ale zahrnuje zajist'ov an { autenticity, Authenticity (pravost, origin alnost, nefalsovatelnost) { zodpov ednosti, prokazatelnosti, Accountability { nepopiratelnosti, Non-repudiation { spolehlivosti, Reliability, bezporuchovost/odolnost v uci poruch am, cinnost ve shod e se specikac Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 14

Zajist en informacn bezpecnosti je komplexn probl em Trivi aln prklad: Casto nech av ate notebook (s podnikov ymi daty) na zadnm sedadle auta Pravdepodobne V am ho drve nebo pozdeji nekdo ukradne Jak snzit riziko takov e kr adeze? Jak zabr anit uniku dat? Lze zav est pravidla (napsan ym predpisem nebo politikou): { notebook nelze nech avat v aute bez dozoru nebo { parkovat auto lze pouze v prostoru s fyzickou ochranou, { prstup k notebooku se mus chr anit siln ym heslem, { data ulozen a v notebooku mus b yt zasifrovan a { v pracovn dohod e zam estnanec podepse odpov ednost za ztr atu, vyzrazen,... citliv ych dat Tato pravidla nebudou ucinn a, pokud zam estnance rma neproskol Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 15

Zajist en informacn bezpecnosti je komplexn probl em Informacn bezpecnost se nezajist jednm opatrenm, pro jej dosazen se jich mus uplat novat vce, soucasn e Opatren se nebudou t ykat pouze IT Mus se resit rovn ez organizacn probl emy, rzen lidsk ych zdroj u, fyzick a bezpecnost, dodrzov an legislativnch omezen,... Nestac chr anit pouze notebooky, rma m uze mt ulozen a data na serverech, v z asuvk ach pracovnch stol u, v mobilech zam estnanc u, na USB pametech, v hlav ach zamestnanc u,... Zajist en informacn bezpecnosti vyzaduje vytvoren a udrzov an bezpecn eho prostred Takov a prostred jsou jiz denovan a standardy: ISO 27001, COBIT, NIST SP 800,... (standardy viz prst predn aska) Standard: katalog bezpecnostnch opatren a zp usob spr avy prostred pro zabezpecov an informac ve vsech jejch form ach, n avod jak d ukladn e, pecliv e rsit informacn bezpecnost Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 16

Zajist en informacn bezpecnosti je komplexn probl em Firma nem uze pri ochrane sv eho podnik an resit pouze n avratnost investic, dobyt trhu, klcov e proly a dlouhodobou strategii, mus resit rovn ez celkov e zajist en bezpecnosti informac Nen rozhodujc kter ym standardem se bude rdit, ale mus se rdit n ekter ym standardem systematicky My volime v yklad metodiky podle ISO 27000 Informacn bezpecnost nen jednor azov e resiteln y probl em pouze IT gury, na zabezpecov an informac se mus podlet cel a remn komunita pod rzenm vrcholov eho managementu rmy Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 17

Co se rozum informacn bezpecnost? Ztr ata d uvernosti Zajist enm d uv ernost se rozum ochrana informac pred neautorizovan ym zprstupn enm { odhalenm, prozrazenm. Neautorizovan e, neocek avan e, nez adouc zprstupn en m uze v est ke ztr ate d uvery, k potzm, k pr avnm akcm v uci organizaci,... Ztr ata celistvosti / integrity Informace maj b yt chr an en e pred podvodnou, nez akonnou, nepatricnou modikac { neautorizovan ymi zm enami dat, software, hardware.... Aktiva mus b yt kompletn a korektn. Nepatricn a modikace m uze b yt umysln a nebo ne umysln a Ignorov an skod na integrite m uze v est k vyd an chybn ych rozhodnut, k podvodu, k nespr avn ym akcm,.... Porusen integrity m uze b yt prvnm krokem utok u na d uv ernost a/nebo dostupnost Potenci al skody na integrit e v yrazn e snizuje urove n vysloviteln e z aruky za bezpecnost Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 18

Co se rozum informacn bezpecnost? Ztr ata dostupnosti Dostupnost aktiva { opr avnen e entite je na poz ad an prstupn e Pokud dojde ke ztr ate dostupnosti syst emu / informace kritick e pro pln en podnikatelsk ych cinnost organizace pro koncov eho uzivatele, m uze to podnikatelsk e cinnosti negativn e ovlivnit Ztr ata funkcionality ci snzen efektivnosti provozu m uze snizovat v ykonnost uzivatel u podporujcch podnik an organizace Rizika pro informacn aktiva Informacn aktiva jsou vystavena sirok e sk ale vnitrnch i vn ejsch hrozeb, rizik um Zdrojem rizik m uze b yt prroda, podvodnk, krimin aln cinnost, chybn e chov an uzivatel u,... Rizika mohou ovliv novat vsechny tri b azov e bezpecnostn vlastnosti informacnch aktiv { d uv ernost, integritu, dostupnost Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 19

Generick e probl emy budov an bezpecn ych (IT) syst em u Utokem se rozum ud alost, kdy utocnk vyuzije slabinu v ochran ach aktiv (zranitelnost) s clem zp usobit skodu Syst em bude usp esn y (bezpecn y) kdyz bude zajist'ovat ochranu proti vsem mozn ym utok um, a to vc. utok u, kter e se v dobe jeho tvorby dosud nevyskytly Utocnk bude usp esn y, kdyz pro utok vyuzije jedinou nedokonalost v bezpecnostnch ochran ach a m uze vyck avat az mu technologick y rozvoj poskytne adekv atn utocn y n astroj, jehoz existenci tv urci syst emu v ubec nepredpokl adali sk ala dostupn ych relevantnch bezpecnostnch n astroj u nebude nikdy upln a z hlediska mnoziny v budoucnu potenci alnch hrozeb re aln e ucinky dostupn ych bezpecnostnch n astroj u mnohdy nespl nuj nebo postupn e prest avaj efektivn e plnit jejich p uvodne zam yslen y cl Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 20

Generick e probl emy budov an bezpecn ych (IT) syst em u existence slabiny v ochran ach aktiv (zranitelnost) a potenci alnho utocnka predstavuje hrozbu hrozba je potencion aln prcina bezpecnostn ud alosti nebo bezpecnostnho incidentu, jejmz v ysledkem m uze b yt poskozen aktiva zranitelnost je slab e msto aktiva nebo syst emu rzen bezpecnosti informac pravd epodobnost, ze se urcit a hrozba uplatn, tj. ze utocnk vyuzije zranitelnosti a zp usob negativn dopad na aktiva je rizikem Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 21

Generick e probl emy budov an bezpecn ych (IT) syst em u Condicio sine qua non pro dosazen bezpecnosti jsou dostupn e bezpecnostn n astroje relevantn hrozb am (pro ochranu remnch dat,... ) vsechny dostupn e a pro dan y prpad adekv atn bezpecnostn n astroje se pouzvaj eliminace rizik hrozeb, pro kter e relevantn bezpecnostn n astroje (prozatm) dostupn e nejsou, je dosaziteln a kombinac ucink u pouzit vce dostupn ych bezpecnostnch n astroj u (r uzn ych typ u) např. zajišt ování funkčnosti dlouhodobé stabilní paměti Dokonalost funkcionality individu alnch bezpecnostnch (napr. kryptograck ych) n astroj u nemus zarucovat dosazen pozadovan e urovn e (kvality) bezpecnosti, pozadovan y ochrann y ucinek lze dos ahnout i kombinac jejich pouzit (kryptograe + biometriky apod.) Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 22

A d ale plat Chybn e, ned usledn e prosazovan a denovan a bezpecnost m uze zp usobovat vyss rizika nez nedenovan a bezpecnost Bezpecnost je stav mysli, vedom, pocit... Jsme v bezpec, kdyz jsme skutecne chr aneni Pocit bezpecnosti mus vy ustit do reality, nesm j o placebo Zjevn e neprosazov an bezpecnosti m uze zvysovat pocit povinnosti se chovat odpov edn e Moznost dosazen jist e urovn e informacn bezpecnosti urcuj glob aln dodavatel e bezpecnostnch, operacnch a dalsch typ u (IT) syst em u Skutecn e dosazen a urove n informacn bezpecnosti se odvozuje od ch ap an informacn bezpecnosti uzivateli a provozovateli bezpecnostnch, operacnch, komunikacnch a dalsch typ u (IT) syst em u Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 23

Spolu-souvisejc bezpecnostn sf ery Informacn bezpecnost ochrana d uv ernosti, integrity a dostupnosti informac v nejsirsm slova smyslu vyhovujc potreb am prslusn eho uzivatele informace generick a kategorie informacn bezpecnosti, metodick a, terminologick a,... b aze ch ap an informacn bezpecnosti P REDM ET STUDIA Aplikacn bezpecnost proces uplat nov an opatren a m eren na aplikacn syst emy organizace s clem rzen rizik plynoucch z jejich pouzv an Opatren a m eren lze aplikovat na { vlastn aplikacn syst emy (procesy, komponenty, software, v ysledky,... ) { data aplikacnch syst em u (konguracn, uzivatelsk a, podnikov a,... ) { vsechny technologie, procesy a subjekty zapojen e do zivotnho cyklu aplikace Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 24

Spolu-souvisejc bezpecnostn sf ery St'ov a bezpecnost n avrh, realizace a provozov an st clen e na dosazen informacn bezpecnosti v stch v r amci organizac nebo mezi organizacemi, jakoz i mezi organizacemi a uzivateli. Internetovsk a bezpecnost rozsren st'ov e bezpecnosti v organizacch i doma ochrana internetov ych sluzeb a souvisejcch ICT syst em u a st zajist en dostupnosti a spolehlivosti internetov ych sluzeb. CIIP, Critical Information Infrastructure Protection ochrana syst em u poskytovan ych nebo provozovan ych poskytovateli kritick ych infrastruktur { energetika, telekomunikace a vodn hospod arstv,... CIIP chr an a cin odoln e tyto syst emy a ste jak proti rizik um v oblastech informacn bezpecnosti, st'ov e bezpecnosti, internetovsk e bezpecnosti, tak i v uci kybernetick ym rizik um. Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 25

Kybernetick y prostor, kybernetick a bezpecnost Kybernetick y prostor, Cyberspace, kyberprostor ISO/IEC 27032: 2012, Information technology Security techniques Guidelines for cybersecurity virtu aln prostred, kter e neexistuje v jak ekoliv fyzik aln form e, ale spse komplexn prostred nebo prostor vypl yvajc z n astupu internetu, plus lid e, organizace a aktivity na vsech druh u technologick ych zarzen a st, kter e jsou k internetu pripojeny. Aplikace v kyberprostoru prekracuj meze B2C a C2C model u maj charakter m : n interakc a transakc Kybernetick a bezpecnost, Cybersecurity, Cyberspace security aplikacn bezpecnost ve virtu alnm sv et e { v kyberprostoru resen probl em u kybernetick e bezpecnosti vyzaduje masov e komunikace a koordinace mezi jednotliv ymi soukrom ymi a verejn ymi subjekty z r uzn ych zem a organizac stavebn kameny: informacn, st'ov a, internetov a bezpecnost hraje nepominutelnou roli pro CIIP Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 26

Vztahy mezi bezpecnostnmi sf erami velmi casto se setk av ame s ch ap anm / s pouzv anm pojm u informacn bezpecnost a kybernetick a bezpecnost jako synonym Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 27

Vztahy mezi bezpecnostnmi sf erami Business continuity, BC, udrzen podnikatelsk ych proces u Standard BS 25999-2:2007: strategic and tactical capability of the organization to plan for and respond to incidents and business disruptions in order to continue business operations at an acceptable predefined level BC neres se pouze technologick e hrozby, vliv maj i prrodn katastrofy BC potrebuje zajisten dostupnosti { to je jeden z cl u InSec IT res InSec jen c astecne (ne vce nez z poloviny) Informace se v organizaci chr an pomoc opatren specikovan ych bezpecnostn politikou ISO/IEC 27000: means of managing risk, including policies, procedures, guidelines, practices or organizational structures, which can be administrative, technical, management, or legal in nature Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 28

Kybernetick a bezpecnost V kyberprostoru existuj bezpecnostn probl emy, jejichz resen nen pokryto informacn, st'ovou a internetovou bezpecnost a jejich dobr ymi praktikami obrovsk e mnozstv uzivatel u v kyberprostoru m a individu aln podnikatelsk e, provozn, rdic,... z ajmy resen jsou roztrst en a B azov a rizika v kyberprostoru utoky veden e pres soci aln inzen yrstv, hackov an, malware, spyware Klcov e probl emy pro resen kyberbezpecnosti sdlen informac, koordinace, zvl ad an incident u, dosazen d uv eryhodnosti, syst emy integrace a v ymeny informac mezi uzivateli,... s emantick e utoky, podvody v prostred e-comm,... Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 29

Kybernetick a bezpecnost (KB) KB nen probl emem pouze IT, napr. Nastvan y administr ator umysln e potlac aplikaci a zrus jej data. Jak byl vybran y, proskolen y a dozorovan y? Jak zn smlouva s nm?... KB je probl emem i vrcholov eho managementu (VM) organizace VM uvol nuje nancn zdroje na zabezpecov an, ovliv nuje pravidla bezpecnostn politiky,... Clen VM m uze na letisti ztratit notebook s citliv ymi daty,... Investice do KB nejsou investice pouze do IT 10 { 50 % investic do KB jde do IT, vetsina investic do KB jde do v yvoje politik, procedur, do skolen,... Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 30

Investice do KB se vr at Kybernetick a bezpecnost snizuje se v yse vznikl ych skod snzenm poctu kyber utok u KB nen jednor azov y projekt, korekce procedur,... se res pr ubezne, korekce politik se res alespo n jednou rocne Kdyz d a v ypoved' osoba odpovedn a Samotn e seps an spousty dokument u politik a procedur KB nezajist Prosazov an politik a procedur je potreba tr enovat, dozorovat,... Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 31

Kybernetick a bezpecnost Citace z The National Cyber Security Strategy 2011, Dutch Ministry of Security and Justice Cybersecurity is to be free from danger or damage caused by disruption or fall-out of ICT or abuse of ICT. The danger or the damage due to abuse, disruption or fall-out can be comprised of a limitation of the availability and reliability of the ICT, breach of the confidentiality of information stored in ICT or damage to the integrity of that information. Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 32

Cl predmetu PV 017 Pochopení bázových principů informační bezpečnosti anal yza rizik, politiky, ISMS, audit, evaluace,... Sf ery aplikacn, st'ov e a internetov e bezpecnosti a CIIP se zmi nuj pouze jako prklady platforem pro uplatn en informacn bezpecnosti Kybernetick a bezpecnost se zmi nuje pouze jako vzd alen y profesn cl pro ty, kter porozum resenm informacn, st'ov e a internetov e bezpecnosti a budou (cht ej) participovat na resen prostred typu { MMORPGs, Massively Multiplayer Online Role-Playing Games { nadn arodnch soci alnch st,... Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 33

Existuje resen probl emu zajist en informacn bezpecnosti? Perfektn bezpecnost { absolutn eliminace vsech rizik teoreticky mozn a resen zn am a mnohdy jsou, prakticky vyuziteln a vsak nejsou, inklinuj ke stavu charakterizovateln ym parafr az,,kdo nic ned el a, nic nepokaz" Rozlomen vsech ostatnch zp usob u zabezpecen je ot azkou pouze casu (a energie) od (mili)sekund po miliardy n asobk u dob existence slunecn soustavy Na kazd y bezpecnostn algoritmus lze utocit,,hrubou silou\ Jak e chceme resen? Kazd y pouzit y n astroj,,dostatecn e" zabezpecujc jist e aktivum, mus b yt odpovdajc uzivatelskou komunitou akceptovateln y Zabezpecuj n astroje mus b yt pouzit e vyrovnan e, syst em je tak bezpecn y, jak je bezpecn y jeho nejslabs cl anek Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 34

Existuje resen probl emu zajist en informacn bezpecnosti? Spln en nutn e podmnky dosazen bezpecnosti informac je nekonecn y proces Ide aln, ale mnohdy iracion aln forma zabezpecen { prevence Racion aln forma zabezpecen { heuristick e snizov an rizik Nem a smysl si kl ast za cl nalezen svatého grálu { absolutn / perfektn bezpecnosti M a smysl se smyslupln ymi cestami pokouset o jeho nach azen a postupn e slep e/neefektivn cesty eliminovat, a to i za cenu respektov an trval e existence zbytkov ych rizik Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 35

B azov e bezpecnostn paradigma Ucastnk (informacnho) prostred vlastn/pouzv a n eco, co pro nej m a nepominutelnou hodnotu, toto je jeho aktivem Aktivum m a hodnotu i pro utocnka, kter y m a ale protich udn y z ajem v uci ucastnkovi, zp usobuje ucastnkovi skodu, ztr ata / snzen hodnoty aktiva pro ucastnka zp usobuje skodu skoda je d usledek (dopad) utoku na (hodnotu) aktiva (m uze b yt zanedbateln a, akceptovateln a, v yznamn a, katastrock a,... ) utok (bezpecnostn incident) je realizac hrozby hrozba reprezentuje potenci aln motivaci k utoku, { existuje dky zranitelnosti syst emu obhospodarujcho aktiva, a dky zdroj um moznost vyuzt zranitelnost { utocnk um,... { potenci al narusen pravidel prijat e politiky informacn bezpecnosti Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 36

B azov e bezpecnostn paradigma moznost v yskytu utoku predstavuje riziko, pravd epodobnost proveden utoku a potenci aln dopad realizovan eho utoku urcuje urove n rizika (m uze b yt zanedbateln e, akceptovateln e, v yznamn e, katastrock e,... ) zranitelnost syst emu obhospodarujcho aktiva je dan a { existenc zraniteln ych mst a { existenc potenci alnch utocnk u zraniteln e msto { slabina v n avrhu, implementaci, provozu,... syst emu, kter y obhospodaruje aktiva bezpecnost: zamezen skod am eliminac zraniteln ych mst nebo utocnk u prpadn e snzenm vyuzitelnosti zraniteln ych mst pomoc bezpecnostnch opatren Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 37

B azov e bezpecnostn paradigma opatren { sluzba, pozadovan a ochrana, relevantn jist e hrozb e zajist en d uv ernosti, integrity, dostupnosti, rzen prstupu,... bezpecnostn sluzba (opatren) je n astrojem, kter y riziko dan e existenc hrozby odstra nuje nebo je alespo n snizuje synonyma { protiopatren, funkce/sluzba prosazujc bezpecnost,... mechanismus { metoda / technologie zajist en ochrany technologie implementace opatren pouzit kryptograe, ACL, unixov e rwx ochrany prstupu, digit aln podepisov an, predpis, z akon, z avora, pojisten... Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 38

Obecn y model zabezpecov an Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 39

B azov y fenom en pri zajist'ov an bezpecnosti { riziko pravd epodobnost uplatn en hrozby ( utoku) a potencion aln v yse skody zp usoben e utokem predstavuje riziko riziko se vyjadruje { jednak v pravd epodobnostnch pojmech (s jakou pravd epodobnost se hrozba uplatn) { a jednak v pojmech charakterizujcch dopad hrozby (velikost skody apod.) Generick e kombinovan e vyj adren ( urovn e) rizika urove n rizika = F (pravd epodobnost utoku) F(dopad utoku) Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 44

Prklad odvozen z avaznosti, urovn e rizika riziko = F (pravd epodobnost) F(dopad) vse ve vhodn em sk alov an, nikdy v absolutnch mr ach, napr. pravd epodobnostn charakter rizika: 1, (L, Low), zanedbateln y v yskyt utoku, jednou za dek adu let 2, (M, Medium), bezn y v yskyt utoku, jednou rocne 3, (H, High), v yskyt utoku hranicc s jistotou, kazd y den dopad odpovdajcho utoku: 1, (L) zanedbateln y / akceptovateln y, v destk ach tisc u Kc 2, (M) b ezn y, ve statisicch Kc 3, (H) katastrock y, v milionech Kc riziko, resp. v yznamnost rizika: resp. tabulkou (L) zanedbateln e riziko, (souciny = 1,2) pravd ep./dopad L M H (M) bezn e riziko, (souciny = 3,4) L L L M (H) katastrock e riziko, (souciny = 6,9) M L M H H M H H Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 45

Prklad odvozen z avaznosti, urovn e rizika vyj adren v yznamu rizika prkladem ve v ysi skod / dek adu: (L) zanedbateln e riziko, stovky tisc Kc / dek adu (M) bezn e riziko, jednotky mili on u Kc / dek adu (H) katastrock e riziko, destky a vce mili on u Kc / dek adu prklad z aver u pro zvl ad an rizik: (L) zanedbateln e riziko je akceptovateln e riziko, skody nevad obchodnmu modelu, lze je prp. osetrit pojist enm (M) bezn e riziko clem je (bezpecnostnmi) opatrenmi riziko eliminovat nebo alespo n snzit na zanedbateln e riziko snzenm pravd epodobnosti utoku (H) katastrock e riziko je neakceptovateln e riziko, clem je preventivn e bezpecnostnmi opatrenmi riziko eliminovat nebo alespo n je zmenit na bezn e nebo na zanedbateln e riziko Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 46

Bezpecnostn opatren prijm ame/zav adme/prosazujeme (bezpecnostn) opatren, kter a dopad a/nebo pravd epodobnosti uplatn en hrozeb (rizika) omezuj na akceptovatelnou hodnotu Pro katastrock a rizika m a b yt vypracovan y pl an realizace opatren eliminujcch tato rizika nebo alespo n v pevne dan em casov em horizontu redukujcch tato rizika na b ezn a nebo na zanedbateln a rizika Pro bezn a rizika m a b yt urcena odpovednost na urovni konkr etnch osob/rol za uplat nov an stanoven ych opatren eliminujcch tato rizika nebo redukujcch tato rizika na zanedbateln a rizika Zanedbateln a rizika maj b yt zvl adnuteln a (eliminovan a) rutinnmi provoznmi procedurami nebo maj b yt vedome prohl asen a za zbytkov a, tj. akceptovateln a rizika Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 47

Bezpecnostn mechanismy (bezpecnostn) opatren musme ucinnou formou implementovat vhodn ymi (bezpecnostnmi) mechanismy mechanismy administrativnho, technick eho, logick eho,... charakteru opatren resc probl em nepopiratelnosti { digit aln podpis mechanismus = asymetrick a kryptograe opatren resc rzen prstupu v souladu s prijatou politikou rzen prstupu mechanismus = fyzick e klce, idenkacn karty, biometriky,... opatren resc probl em d uv ernosti v souladu s prijatou politikou zajist en d uv ernosti mechanismus = sifrov an, trezory, smluvn z avazek (NDA),... Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 48

Bezpecnostn politika Politika rzen prstupu, politika zajist en d uv ernosti,... prklady souc ast bezpecnostn politiky, resp. politiky informacn bezpecnosti soubor pravidel specikujc ucinn y zp usob uplat nov an opatren (implementovan ych adekv atnmi mechanismy) potrebn ych pro dosazen pozadovan e urovn e akceptovateln ych rizik Bezpecnostn politika (BP) rk a co se chr an, proti cemu/komu { stanovuje bezpecnostn cle jak se ochrana uplat nuje { urcuje zp usob dosazen bezpecnostnch cl u pomoc uplat nov an opatren implementovan ych vhodn ymi mechanismy Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 49

Bezpecnostn politika Detailnost bezpecnostn politiky z avis na chr an en e oblasti, ve kter e je politika uplat novan a Bezpecnostn politika zav ad ejc p eci o bezpecnost informac v organizaci rozhodnutm vedenm organizace n ekolikastr ankov y dokument, prokazateln e schv alen y vedenm organizace vymezujc chr an enou oblast a z akladn bezpecnostn cle. Obvykl e n azvy { bezpecnostn politika, resp. celkov a / korpor atn bezpecnostn politka,... Bezpecnostn politika stanovujc uplat nov an konkr etnch opatren v konkr etnch syst emech v chr anen e oblasti je d uvern y obsazn y dokument. Obvykl e n azvy { pl an zvl ad an rizik, resp. bezpecnostn politka syst emu XXX, syst emov a bezpecnostn politika Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 50

Duv eryhodn a bezpecnostn politika 2 2 Duv eryhodnost je,,pevnym bodem"tvo r c m zaklad bezpe cnosti informac,,dejte mi pevn y bod ve vesm ıru a ja pohnu celou Zem ı.\ Archimed es, O zakonech paky Jan Staudek, FI MU Brno zen informacn PV017, R bezpecnosti, Koncept informacn bezpecnosti 51

D uv eryhodn a bezpecnostn politika Jestlize se dodrzov anm bezpecnostn politiky prokazateln e dos ahne pozadovan e urovn e ochrany aktiv, je bezpecnostn politika d uv eryhodn a jak vypracovat bezpecnostn politiku, aby byla d uv eryhodn a? podmnka nutn a (nikoli vsak postacujc) pro vypracov an d uveryhodn e BP: 1. musíme znát a umět stanovit bezpečnostní cíle 2. musíme znát a umět zvolit a implementovat adekvátní opatření d uv eryhodnost, tj.,,mt moznost d uv erovat", predstavuje z aklad vesker e informacn bezpecnosti, ve vsech jejch aspektech Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 52

D uv era/d uv eryhodnost, jej predpoklady a z aruka D uv eryhodn e bezpecnostn politiky jednoznacn e stanovuj/popisuj stavy syst emu spr avn e zvl adaj reakce na bezpecnostn incidenty podle jednoznacn e stanoven ych pozadavk u na bezpecnost D uv eryhodn a bezpecnostn opatren (funkce, sluzby) prosazuj d uv eryhodnou politiku jsou implementov any spr avn e Za dosazenou urove n d uv eryhodnosti lze vyslovit (d at) z aruku akceptovateln a forma vysloven z aruky { auditn zpr ava vypracovan a d uv eryhodnou tret stranou pragmaticky nejvyss forma vysloven z aruky { certik at vydan y respektovanou (prp. legislativn e autorizovanou) autoritou certik at { dokument, kter y prokazuje n ejakou skutecnost... Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 53

D uv era/d uv eryhodnost, jej predpoklady a z aruka Z aruka (za bezpecnost) z aruku lze d at jen za to, co je r adne specikov ano { specikujeme pozadavky, bezpecnostn cle, bezpecnostn opatren { čím jsou specifikace přesnější, tím vyšší záruku lze vyslovit z aruku lze d at jen za to, co m a systematicky vypracov an n avrh { n avrh { urcen jak splnit specikace { čím jsou návrhy přesnější, jednoznačnější a (semi-)formálně ověřitelnější, tím vyšší záruku lze vyslovit z aruku lze d at jen za to, co je adekv atne implementov ano { Programy, technologick e syst emy,..., vse, co realizuje to, co bylo specikov ano a navrzeno { čím přesněji implementace odpovídají specifikacím a návrhu, tím vyšší záruku lze vyslovit Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 54

Modelov y prklad bezpecnostn politiky zaveden a v yukov a bezpecnostn politika nepovoluje podvod { ops an dom ac ulohy (plagi at) at' jiz s vedomm nebo i bez vedom autora origin alu politikou stanoven y bezpecn y stav (bezpecnostn cl) { nikdo nevlastn kopii dom ac ulohy jin eho studenta studenti si uchov avaj sv e dom ac pr ace na skolnm poctaci Alice soubor se svou dom ac ulohou neoznac jako chr anen y proti cten jinou osobou Bob ulohu opse Kdo se choval v rozporu s bezpecnostn politikou? Alice?? Bob?? oba? Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 55

Modelov y prklad bezpecnostn politiky Odpov ed { bezpecnostn politiku nedodrzel pouze Bob politika zakazuje opisov an dom acch uloh Bob opisoval syst em se dostal do jin eho nez bezpecn eho stavu, Bob vlastn kopii Aliciny ulohy Alice si svoji dom ac ulohu nechr anila proti cten To ale bezpecnostn politika to nepozadovala Alice nijak nenarusila denovanou bezpecnostn politiku Pokud by politika student um predepisovala povinnost chr anit sv e dom ac ulohy pred ops anm, pak by Alice bezpecnostn politiku porusila Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 56

Vybran e m yty a nekter a dals fakta Vybran e m yty o n ekter ych bezpecnostnch n astrojch Nepopiratelnost (Non-repudiability) zajist pouzit digit alnch podpis u Hrozba kr adeze identity (Identity Theft) ve sv et e budovan em na b azi IT je a bude cm d al vce bude zdrojem nejv yznamejsch rizik N ekter a dals fakta o charakteru nastupujcch hrozeb Men se charakter utok u veden ych na IT { Dos ahlo se racion aln zvl adnut ochran proti fyzick ym utok um (ztr ata energie, propojen, dat... ) { Jakz takz se postupne zvl adaj ochrany proti syntaktick ym utok um (buer overow, command injection, protokolov e dry,... ) { Zacn a rychl y n ar ust s emantick ych utok u ( utok u clen ych na to, jak lid e ch apou obsah) Slozitost skladby IT n astroj u exponenci aln e roste M en se zranitelnost aplikac po prevodu do st'ov eho prostred,... Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 57

Hrozba s emantick ych utok u V yznamn e riziko dky,,prost'ov an"sv eta Lid e maj tendenci verit tomu co ctou na potvrzov an v erohodnosti,,nen cas" lid e jsou casto ob etmi chybn ych/falsovan ych statistik, legend a podvod u Podfuk se s velkou pravd epodobnost rozsr st'ov ym prostredm extr emn e rychle Komunikacn m edia se pouzvaj pro sren v erohodn ych stupidnost jiz po celou vecnost Soucasn e- a blzko-budouc poctacov e st e spust en takov ych utok u usnad nuj a zpr avy diseminuj extr emn e rychle digit aln podpisy, autentizace, integritn opatren... sren podfuk u nezabr an { s emantick e utoky jsou vedeny na HCI, nejm en e bezpecn e rozhran Internetu Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 58

Hrozba s emantick ych utok u, 2 Pouze amat er utoc na poctace a software Profesion al utoc na lidi ochrana proti s emantick ym utok um mus b yt clen a na soci aln resen, ne na matematicko-logick a (a technick a) resen Nastupuje fenom en kybernetick eho prostoru, je nutn e fenom en informacn bezpecnosti rozsrit na fenom en kybernetick e bezpecnosti Ke konceptu kybernetick eho prostoru a kybernetick e bezpecnosti se v uvodu jeste vr atme Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 59

Principy e-comm usnad nujc devastujc podvody Snadnost automatizace proces u stejn a automatizace, kter a cinn e-comm efektivn ejs nez klasick y byznys, zefektiv nuje i prov ad en podvod u podvod vyzadujc vynalozen destek minut casu v paprov em syst emu lze snadno prov est,,na jedno kliknut" resp. lze snadno jej periodicky opakovat principem 24 7 singul arn podvod s nzkou skodou ignorovateln y v paprov em syst emu m uze b yt hrozbou s velk ym rizikem v e-comm syst emu Izolovanost jurisdikce v mstech zdroje a cle utoku Geograe v elektronick em svete nehraje z adnou roli Utocnk nemus b yt fyzicky blzko syst emu, na kter y utoc. Utocit m uze ze zeme, { kter a,,nevyd av a zlocince", { kter a nem a adekv atn policejn apar at, { kter a nem a potrebn e pr avn z azem vhodn e ke sth an,... Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 60

Principy e-comm usnad nujc devastujc podvody, 2 Rychlost sren,,prost'ovan ym sv etem" pad elatel paprov ych pen ez monet arn syst em nezdevastuje { sirok a diseminace padelatelsk eho n astroje je nere aln a, { rychl e sren padelk u je obtzn e zpr ava jak podv est siroce pouzvan y e-comm syst em,,diseminovan a Internetem" (prp. s pripojen ym adekv atnm softwarov ym n astrojem) umozn,,si vhodn e kliknout"statisc um lid b ehem n ekolika dn { znalost jak podv est zskal 1 clov ek, utocit mohou statisce lid Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 61

D uv eryhodnost nepopiratelnosti, co je to digit aln podpis? Predpoklad mnoha soucasn ych pr avnch norem: D uv eryhodnost digit alnho podpisu je alespo n takov a jako d uv eryhodnost rukopisn eho podpisu Spl nuje digit aln podpis tento predpoklad? Form aln e pouzit y matematick y (kryptologick y) z aklad je vyhovujc S emanticka aktu digit alnho podpisu predpokladu nevyhovuje Predpoklad soucasn ych pr avnch norem: Alicin podpis dokumentu indikuje odsouhlasen jeho obsahu Alic D uv eryhodnost podpisu se zesiluje podpisem u not are Z digit alnho podpisu Alice nem uze soudce odvodit, ze Alice dokument vid ela Alice v z adn em prpade nepoctala podpis = dokument P Kmod n, v ypocet Alicina podpisu,,dokumentu"(kter eho???) d elal jej poctac Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 62

D uv eryhodnost nepopiratelnosti, co je to digit aln podpis?, 2 v ypocet Alicina podpisu,,dokumentu"d elal jej poctac Alice mus mt d uveru v to, ze jej aplikacn syst em podpisuje dokument, kter y j prezentuje (probl em trojsk ych ko n u) Alice mus mt d uveru, ze v jejm poctaci nikdo neodchyt av a jej PK { uchov an PK v bezpecn em modulu (karta) neres probl em podvrzen falesn eho dokumentu trojsk ym kon em M a-li b yt d uveryhodn y Alicin podpis dokumentu, mus b yt d uv eryhodn y Alicin poctac podpisujc dokument Nelze se spol ehat pouze na matematiku pro dosazen bezpecnosti vysok e riziko predstavuje d uv eryhodnost pouzit eho hardw./softw. Digit aln podpis Alice vypovd a pouze o tom, ze v dobe podpisov an byl pouzit y Alicin PK Digit aln podpis nic nerk a o tom, ze Alice podepsala dokument, kter y videla pri podpisov an Zad an pro budoucno { jak zajistit, ze Alicin poctac bude nezfalsovateln y (tamperproof ) Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 63

Hrozba enormnho n ar ustu slozitosti a rozsahu Enorm e nar ust a slozitost vnitrnch algoritm u (j adra) OS pocty instrukc spotrebovan ych ve Windows pri Zasl an zpr avy mezi procesy: 6K { 120 K podle pouzit e metody Vyvtoren procesu: 3M Vytvoren vl akna: 100K Vytvoren souboru: 60K Vytvoren semaforu: 10K { 30K Nahr an DLL knihovny: 3M Obsluha prerusen/v yjimky: 100K { 2M Prstup do syst emov e datab aze Registry: 20K... Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 64

Proc se zav ad syst em rzen informacn bezpecnosti Ctyri hlavn d uvody, proc organizace mus zajist'ov an informacn bezpecnosti manazersky rdit Urcuje tak pro organizaci z avazn a strategie, vl ada, matersk a organizace, spr avn rada,... rozhodla, ze v kontextu vseobecn ych podnikatelsk ych rizik je nutn e informacn bezpecnost spravovat (rdit) l epe Je nutn e, aby z akaznci/dodavatel e organizaci d uv erovali, je potreba z akaznk um ci dodavatel um demonstrovat, ze organizace pouzv a ty nejleps praktiky rzen informacn bezpecnosti existuje sance zskat konkurencn v yhodu Vyzaduj to z akonn e predpisy person aln soukrom, ochrana dat, nespr avn e pouzv an poctace Je nutn e vylepsit vnitrn efektivnost rzen IT Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 65

Syst em rzen informacn bezpecnosti, ISMS Pro efektivn rzen InSec mus organizace aplikovat adekv atn syst em manazersk eho resen Information Security Management System, ISMS souc ast celkov eho syst emu rzen organizace cl: na z aklad e pozn ani podnikatelsk ych rizik vybudov an, implementace, provozov an, monitorov an, prezkoum av an, udrzov an a vylepsov an InSec pripome nme pojem InSec, informacn bezpecnost: zabezpecen d uv ernosti, integrity a dostupnosti informacnch aktiv skladba: organizacn struktura, politiky, pl anovac cinnosti, odpov ednosti, praktiky (obvykl e metody), procedury, procesy, zdroje Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 66

Syst em rzen informacn bezpecnosti, ISMS Hardwarov a / softwarov a,,pultov a"resen individu alnch probl em u informacn bezpecnosti jsou nedostatecn a Rychle se mnoz st ale komplexn ejs, propracovan ejs a glob aln ejs hrozby pro informacn bezpecnost dky rozvoji technologi Roste pocet pozadavk u na vyhov en regulacnm opatrenm v oblasti zpracov an informac a zachov av an soukrom Resen: v organizaci mus fungovat, jako souc ast celkov eho syst emu rzen organizace, syst em rzen informacn bezpecnosti, ISMS syst em proces u zameren y na ustaven, zav aden, provozov an, prosazov an, monitorov an, prezkoum av an, udrzov an a zlepsov an informacn bezpecnosti zalozen y na prstupu organizace k rizik um v kontextu informacn bezpecnosti Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 67

Syst em rzen informacn bezpecnosti, ISMS ISMS reprezentuje ucelen y strukturovan y prstup k rzen InSec Navrhuje se tak, aby se postaral o efektivn interakci tr b azov ych komponent implementace InSec procesy (procedury) technologie chov an uzi vatel u N avrh a implementace ISMS mus vych azet z potreb a cl u, bezpecnostnch pozadavk u, organizacnch proces u, velikosti a struktury organizce nejde o jednor azov e, vsepokr yvajc resen ISMS mus b yt sk alovan y podle potreb organizace Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 68

Syst em rzen informacn bezpecnosti, ISMS Syst em rzen informacn bezpecnosti mus b yt prim eren y a sit y na mru konkr etn organizaci Politiky, procesy, procedury ISMS mus odr azet styl a kulturu organizace Prijat e procesy a procedury do ISMS mus odr azet v ysledky ohodnocen rizik. I kdyz n ekter a rizika jsou generick a pro vce organizac, jejich osetren b yv a vhodn e ust na mru konkr etnmu prostred organizace Politik am, proces um, procedur am ISMS mus organizace rozum et, nejl epe se jim porozum podlenm se na jejich v yvoji Politiky, procesy, procedury mus b yt aktu aln, hrozby bezpecnosti informac nar ustaj soucasn e s rozsirov anm a inovacemi IT organizace Soucasn a,,top"technologie budov an ISMS je denovan a standardem ISO/IEC 27001:2013 Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 69

Ekonomick y pohled { fakta Vybudovat si vlastn t ym zajist'ujc a prosazujc informacn bezpecnost je n akladn y a dlouhodob y proces. Aplikace strukturovan ych inzen yrsk ych postup u pri zabezpecov an IT se proto cm d al sreji uplat nuje jako samostatn y byznys. Na trhu outsourcingu informacn bezpecnosti popt avka prevysuje kvalitn nabdku, kupovat si informacn zabezpecov an jako sluzbu proto nen levn e. Mnoho rem a organizac si proto zabezpecov an d el a, v lepsm prpad e amat ersky vlastnmi silami, citem, v horsm prpad e myln e predpokl ad a, ze ochranu jejich zdroj u zajist v yrobce dodan eho software a hardware (a nebo p anb uh). Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 70

Tri cesty k zajist en informacn bezpecnosti Pro obhospodarov an citliv ych aktiv existuj 3 moznosti: A. Vytvorit v organizacn strukture alespo n na manazersk e urovni roli bezpecnostnho manazera a informacn bezpecnost zajistit outsourcingem pod jeho rzenm. B. Vytvorit v organizacn strukture bezpecnostn infrastrukturu a t ym schopn y pln e prosazovat informacn bezpecnost sv ymi silami. C. Nechat si bezpecnost IT zajist'ovat mnohdy i velmi iniciativn e vnitrnmi silami p usobcmi bez systematicky rzen eho veden vhodnou politikou, casto majoritn e motivovan ymi snahou prok azat sv e vlastn dokonalosti.!!! The road to hell is paved with good intentions!!! V enov an bezpecnosti IT pouze tolik energie, kolik je nutn e pro v yber,,bezpecn eho" software, cestu do pekel jen zkr at. Nic jin eho se tm nedos ahne. Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 71

Epiloque uvah zajist'ov an informacn bezpecnosti Z pohledu rzen organizace pomoc IT pesimismus nen na mst e Informacn bezpecnost v organizaci v yrazn e podpor politika informacn bezpecnosti a syst em rzen informacn bezpecnosti r adn e vypracovan a a systematicky prosazovan a politika, politika s kvalitou odpovdajc v ysi potenci alnch skod politika periodicky auditovan a z hlediska jejho dodrzov an a ucinnosti politika periodicky upres novan a podle v ysledk u auditu politika vypracovan a v uzk e n avaznosti na ostatn politiky organizace tak, aby byla zarucen a adekv atn kontinuita pln en cl u organizace i pri selh an n ekter ych ochran informacn bezpecnosti Jan Staudek, FI MU Brno PV017, Rzen informacn bezpecnosti, Koncept informacn bezpecnosti 72