Analýza bezpečnosti a stupňa ochrany informačných systémov
V zozname znalcov vedenom na Ministerstve spravodlivosti SR pod položkou pre Odbor: 100000 - Elektrotechnika
Odvetvie: 101000 - Bezpečnosť a ochrana informačných systémov
V rámci súdnoznaleckých posudkov v odvetví bezpečnosť a ochrana informačných systémov sú analyzované informačné systémy z pohľadu ich bezpečnosti.
Informačná bezpečnosť znamená ochranu informácií a informačných systémov pred neoprávneným prístupom, používaním, sprístupnením, prerušením, zmenou, nasnímaním, prehliadaním, nahrávaním alebo zničením.
Pojmy informačnej bezpečnosti, zabezpečením počítača a zaistením informácií zdieľajú spoločné ciele: ochrany dôvernosti, integrity a dostupnosti informácií.Rozdiely spočívajú predovšetkým v prístupe k predmetu, použitej metodike a oblasti koncentrácie. Informačná bezpečnosť sa týka dôvernosti, integrity a dostupnosti dát bez ohľadu na formu údajov. Forma môže byť: elektronická, tlačená, či iná.
Počítačová bezpečnosť sa vo všeobecnosti zameriava na zabezpečenie dostupnosti a správneho fungovanie počítačového systému, bez obáv o únik, narušenie a stratu informácií, uložených, alebo spracovaných počítačom.
Vládne a vojenské inštitúcie, korporácie, finančné inštitúcie, nemocnice a súkromné podniky hromadia veľké množstvo dôverných informácií o svojich zamestnancoch, zákazníkoch, produktoch, výskume a finančných stavov. Väčšina týchto informácií je uložená v digitálnej forme, spracovaná a uložená na pamäťových médiách elektronických počítačov. Zároveň sú informácie prenášané cez siete do iných počítačov.
V prípade, zneužitia informácií v obchodnej spoločnosti môže takéto porušenia IT bezpečnosti viesť k strate obchodných aktivít, alebo dokonca k úpadku podniku. Ochrana dôverných informácií je preto v takýchto prípadoch dôležitá nielen ako obchodná požiadavka spolupracujúcich strán, ale v mnohých prípadoch aj ako etická a právna povinnosť.
Oblasť informačnej bezpečnosti zahŕňa zabezpečenia siete a infraštruktúry, zabezpečenie aplikácií a databáz, testovanie bezpečnosti, audit informačného systému, plánovania kontinuity prijatých opatrení a uplatňovanie prístupov forenznej vedy.
Bezpečnosť IT systémov je možné dosiahnuť bezpečnostným procesom. Ide o súbor potrebných krokov,
ktoré organizácie využívajú na dosiahnutie bezpečnostných
cieľov. Tento proces je navrhnutý tak, aby bolo možné identifikovať, zisťovať, merať, riadeniť a
kontrolovať systémové
riziká a riziká dátovej dostupnosti, integrity a dôvernosti ako aj zabezpečenie účtovateľnosti
činnosti systému. Tento proces zahŕňa päť hlavných oblastí:
- Posúdenie IT bezpečnostného rizika
- je proces, ktorý je potrebné vykonať za účelom identifikovania a posúdenia hrozieb, zraniteľnosti systému, možných útokov a pravdepodobnosti ich výskytu.
- Stratégia informačnej bezpečnosti
- plán za účelom redukcie bezpečnostných rizík, ktorý integruje techniku, bezpečnostnú politiku, postupy a školenia. Tento plán by mal byť preskúmaný a schvaľovaný predstavenstvom spoločnosti.
- Implementácia bezpečnostných kontrol
- zahŕňa obstaranie a prevádzku potrebnej techniky, špecifické prideľovanie úloh a zodpovednosti manažérov a zamestnancov, rozdelenie kontrolných mechanizmov na overrenie stavu rizík, kontrola a zabezpečenie stavu, v ktorom vedenie a zamestnanci budú chápať svoje bezpečnostné povinnosti a zároveň budú mať vedomosti, zručnosti a motiváciu potrebnú na plnenie týchto povinností.
- Monitorovanie dodržiavania úrovne zabezpečenia
- použitie určených metodík, za účelom získania záruky, že riziká sú dôsledne posudzované a redukované. Tieto metodiky by mali overovať, že dôležité kontrolné mechanizmy sú dostatočne účinné a vykonávané tak, ako sa bolo určené.
- Zabezpečenie procesu monitorovania a aktualizácie procedúr
- proces neustáleho
zhromažďovania a analýzy informácií, týkajúcich sa nových hrozieb a miest zraniteľnosti, ako aj reálnych útokov na inštitúciu a iných hrozieb v spojitosti s meraním efektívnosti
existujúcich bezpečnostných kontrol. Táto informácia sa používa pre
aktualizáciu posudzovania rizík, stratégie a kontroly. Monitorovanie a aktualizácia
je proces kontinuálny, teda nielen takzvaný jednorazový proces.
Medzi premenné bezpečnostného rizika patria rôzne hrozby, zmeny zraniteľných miest, techniky napadnutia, očakávané frekvencie útokov, operácie a technológie, a obranné pozície. Všetky tieto ukazovatele sa neustále menia. Preto,
manažment riadenia rizík vyžaduje dlhodobý a pokračujúci proces.
Základné spôsoby cieľavedomého narušenia bezpečnosti informačných systémov subjektom, z hľadiska prístupu k dátovým médiám sú možné:
a) fyzickým prístupom (priamym)
b) vzdialeným prístupom cez infomačnú sieť
c) vzdialeným prístupom pomocou iných spôsobov (napríklad monitorovaním a nahrávaním komunikácie s následným zaslaním informácie cez iné kanály)
Náhodné narušenie bezpečnosti uložených informácií dostatočne neošetrených systémov je možné aj vplyvom:
a) prírodných vplyvov (blesk, záplava, požiar a podobne)
b) poruchových stavov hardvérových častí (chyba nosiča)
c) neúmyselným vymazaním dát subjektom z dôvodu chybnej manipulácie
Ochranu údajov je ošetrená legislatívnou normou:
- Zákon č. 428/2002 Z. Z. O ochrane osobných údajov
- Zákon č. 215/2004 Z. Z. O ochrane utajovaných skutočností
- iné, napríklad: Bankový zákon, Daňový zákon, Zákon o zdravotnom poistení a podobne.