Cele i strategie bezpieczeństwa

Strategia bezpieczeństwa

Użycie bądź udostępnienie dowolnej usługi internetowej stwarza zagrożenie bezpieczeństwa systemu i sieci, do której jest on podłączony. Strategia bezpieczeństwa to zestaw reguł dotyczących czynności związanych z zasobami komunikacyjnymi i komputerowymi należącymi do jednej organizacji. Reguły te obejmują takie zagadnienia, jak ochrona fizyczna, ochrona personelu, ochrona administracyjna i bezpieczeństwo sieci.

Strategia bezpieczeństwa definiuje obiekty, które mają być chronione, i oczekiwania wobec użytkowników systemu. Stanowi podstawę niezbędną do planowania zabezpieczeń podczas projektowania nowych aplikacji lub rozszerzania posiadanej sieci. Opisuje zakres odpowiedzialności użytkownika, na przykład za ochronę poufnych informacji lub tworzenie haseł, które nie są łatwe do odgadnięcia. Strategia bezpieczeństwa powinna też określać sposób monitorowania skuteczności podjętych zabiegów. Stałe monitorowanie tego typu pozwala wykrywać na bieżąco podejmowane próby obejścia zastosowanych zabezpieczeń.

Aby opracować własną strategię bezpieczeństwa, należy precyzyjnie zdefiniować cele związane z bezpieczeństwem. Po utworzeniu strategii bezpieczeństwa należy podjąć kroki w celu wdrożenia reguł w niej zawartych. Działania te obejmują szkolenie pracowników oraz instalację sprzętu i oprogramowania niezbędnego do wdrożenia tych reguł.

Przydatne może okazać się wysłanie wytycznych bezpieczeństwa do wszystkich pracowników, aby podkreślić strategie bezpieczeństwa dotyczące ochrony fizycznej i systemowej. W tych wytycznych należy uwzględnić instrukcje dotyczące ochrony systemu, takie jak wypisywanie się ze stacji roboczych, odpowiednie używanie haseł oraz zabezpieczanie sieci przed nieautoryzowanymi intruzami. Strategia bezpieczeństwa może również wyjaśniać procedurę szkolenia pracowników i instalowania niezbędnego oprogramowania i sprzętu w celu zapewnienia bezpieczeństwa systemu.

Należy pamiętać, że zawsze można zmienić strategię bezpieczeństwa. Podczas wprowadzania zmian w środowisku przetwarzania danych należy zaktualizować strategię bezpieczeństwa, aby uwzględnić nowe czynniki ryzyka, które te zmiany nakładają.

Strategia bezpieczeństwa

Podczas tworzenia i wdrażania strategii bezpieczeństwa należy precyzyjnie określić jej cele. Cele związane z bezpieczeństwem należą do jednej lub kilku wymienionych kategorii:

Ochrona zasobów

Zapewnia dostęp do zasobów systemu tylko uprawnionym użytkownikom. Możliwość zabezpieczania wszystkich typów zasobów systemowych jest cechą systemu IBM® i . Należy dokładnie zdefiniować kategorie użytkowników mających dostęp do systemu. W ramach tworzenia strategii bezpieczeństwa należy także zdefiniować uprawnienia dostępu, jakie będą miały grupy użytkowników.

Uwierzytelnianie

Sprawdzenie, czy zasób (człowiek lub komputer) znajdujący się po drugiej stronie sesji rzeczywiście jest tym, za co lub kogo się podaje. Niezawodne uwierzytelnianie chroni system przed użytkownikami, którzy - używając fałszywych danych identyfikacyjnych - usiłują uzyskać dostęp do systemu. Do uwierzytelniania systemy zwykle wykorzystują nazwy i hasła użytkowników; bezpieczniejszą metodą są certyfikaty cyfrowe, które ponadto przynoszą inne korzyści w zakresie bezpieczeństwa. Po podłączeniu systemu do sieci publicznej, takiej jak Internet, uwierzytelnianie użytkowników uzyskuje nowy wymiar. Istotną różnicą pomiędzy siecią Internet i intranet jest to, że można mieć zaufanie do podanej tożsamości użytkownika wpisującego się do systemu. Dlatego też należy wziąć pod uwagę używanie lepszych metod uwierzytelniania, niż tradycyjne sprawdzanie nazwy użytkownika i hasła podczas logowania. Uwierzytelnieni użytkownicy mogą mieć różne typy uprawnień, w zależności od nadanych im poziomów uprawnień.

Upoważnienie

Pewność, że osoba lub komputer znajdujący się po drugiej stronie sesji ma uprawnienia do wykonania żądania. Nadawanie uprawnień to proces określania, kto lub co może uzyskać dostęp do zasobu systemu lub wykonać w systemie określoną czynność. Zazwyczaj nadawanie uprawnień jest częścią uwierzytelniania.

Integralność

Pewność, że napływające informacje są identyczne z wysłanymi. Zrozumienie integralności wymaga zrozumienia koncepcji integralności danych i integralności systemu.

• Integralność danych: Dane są chronione przed nieautoryzowanymi zmianami lub naruszeniem. Integralność danych chroni przed niebezpieczeństwem manipulacji, polegającym na nieuprawnionym przechwytywaniu i zmienianiu informacji. Oprócz ochrony danych przechowywanych w sieci mogą być potrzebne dodatkowe zabezpieczenia w celu zapewnienia integralności podczas wprowadzania danych do systemu z niezaufanego źródła. Jeśli napływające do systemu dane pochodzą z sieci publicznej, potrzebne są zabezpieczenia, które pozwolą:
  • chronić dane przed ich podsłuchaniem i interpretowaniem - w tym celu zwykle stosuje się szyfrowanie;
  • upewniać się, że transmisja nie została zmieniona (integralność danych);
  • udowodnić, że transmisja miała miejsce (nieodrzucanie). W przyszłości może być potrzebny elektroniczny odpowiednik listu poleconego.

• Integralność systemu: system dostarcza spójne, oczekiwane wyniki przy zachowaniu spodziewanej wydajności. W przypadku systemu IBM iintegralność systemu jest najczęściej pomijanym komponentem zabezpieczeń, ponieważ jest podstawową częścią architektury systemu IBM i . Na przykład architektura systemu IBM i utrudnia hakerowi imitowanie lub zmianę programu systemu operacyjnego, gdy używany jest poziom bezpieczeństwa 40 lub 50.

Nieodrzucanie

Dowód przeprowadzenia transakcji lub wysłania albo odebrania wiadomości. Użycie certyfikatów cyfrowych i szyfrowania z kluczem publicznym do podpisywania transakcji, komunikatów i dokumentów obsługuje nieodrzucanie. Zarówno nadawca, jak i odbiorca zgadzają się, że odbyła się wymiana. Za dowód wystarcza opatrzenie danych cyfrowym podpisem.

Poufność

Pewność, że tajne informacje pozostają prywatne i nie są widoczne dla podglądaczy. Poufność jest kluczowym elementem pełnej ochrony danych. Szyfrowanie danych za pomocą certyfikatów cyfrowych i połączeń TLS (Transport Layer Security) lub VPN (Virtual Private Network) pomaga zapewnić poufność podczas przesyłania danych przez niezaufane sieci. Strategia bezpieczeństwa powinna określać sposób ochrony poufności informacji wewnątrz sieci lokalnej i poza nią.

Kontrolowanie działań związanych z bezpieczeństwem

Monitorowanie zdarzeń związanych z bezpieczeństwem w celu protokołowania pomyślnych i niepomyślnych (odrzuconych) prób dostępu. Zapisy pomyślnie zakończonych prób dostępu informują o wykonywanych w systemie czynnościach i zachowaniu użytkowników. Zapisy niepomyślnie zakończonych (odrzuconych) prób dostępu informują o próbach przełamania zabezpieczeń lub trudnościach z uzyskaniem dostępu do systemu.