Szlifowanie kluczy

Infrastruktura klucza publicznego to nie tylko sprzęt i oprogramowanie. Kilkuletnie doświadczenia ZUS pokazują, że do prawidłowego funkcjonowania PKI konieczne są rozwiązania organizacyjne i procedury.

Infrastruktura klucza publicznego to nie tylko sprzęt i oprogramowanie. Kilkuletnie doświadczenia ZUS pokazują, że do prawidłowego funkcjonowania PKI konieczne są rozwiązania organizacyjne i procedury.

Zakład Ubezpieczeń Społecznych rozpoczął przygotowania do wdrożenia infrastruktury klucza publicznego (PKI) na długo przed powstaniem Ustawy o podpisie elektronicznym. Ponad dwa lata zarządzania bezpieczeństwem dostępu do informacji przy użyciu wewnętrznych certyfikatów klucza publicznego pozwoliły ZUS zebrać pokaźny bagaż doświadczeń. Certyfikaty wykorzystuje ok. 17 tys. spośród ok. 47 tys. pracowników ZUS rozlokowanych w ponad 300 jednostkach terenowych na terenie całego kraju.

Marek GdowiakNiedawno wszystkie procedury i instrukcje dotyczące identyfikacji użytkowników w systemach informatycznych i zarządzania ich uprawnieniami zostały zebrane i ujednolicone w ramach jednego dokumentu pt. Procedura zarządzania uprawnieniami użytkowników KSI - Kompleksowego Systemu Informatycznego. Ten nietechniczny aspekt wdrożenia systemu bezpieczeństwa opartego na PKI jest, jak się okazuje, nie mniej ważny niż stworzenie infrastruktury technicznej na jego potrzeby.

"W codziennej praktyce infrastruktura PKI to żadna magia. Jak każde rozwiązanie techniczne, także i ona, aby funkcjonować zgodnie z założeniami, wymaga otoczki proceduralnej. Dopiero gdy technika współgra z rozwiązaniami organizacyjnymi, można mówić o bezpieczeństwie, pewności czy zaufaniu" - mówi Marek Gdowiak, wicedyrektor Departamentu Ochrony Informacji w ZUS.

Zaistnieć w systemie

Kontrola dostępu i weryfikowanie uprawnień w ramach KRSB (Kompleksowego Rozproszonego Systemu Bezpieczeństwa) w ZUSCertyfikaty, wydawane w ramach wewnętrznej infrastruktury klucza publicznego, pracownicy ZUS otrzymują w formie kart mikroprocesorowych. Proces zarządzania certyfikatami w ramach tzw. KRSB (Kompleksowego Rozproszonego Systemu Bezpieczeństwa) rozpoczyna się od wypełnienia przez pracownika wniosku o wydanie karty zawierającej certyfikat. We wniosku znajdują się podstawowe dane osobowe pracownika, zajmowane stanowisko i nazwy komórek organizacyjnych, którym podlega itd. Musi on zostać zatwierdzony przez bezpośredniego przełożonego pracownika, lokalnego administratora bezpieczeństwa oraz kierownika terenowej jednostki organizacyjnej. Następnie trafia on do Centrum Certyfikacji w centrali ZUS w Warszawie, gdzie jego zawartość jest weryfikowana. Gdy wszystko się zgadza, następuje personalizacja kart.

Gotowa karta z nadrukowanym imieniem, nazwiskiem, nazwą oddziału oraz zdjęciem użytkownika wędruje do niego pocztą wewnętrzną ZUS. Ze względów bezpieczeństwa, podobnie jak w przypadku kart bankowych, zabezpieczający kartę numer PIN jest dostarczany osobno. Odbiór karty użytkownik ma obowiązek potwierdzić własnoręcznym podpisem. Podobna procedura towarzyszy aktualizacji istotnych danych dotyczących użytkownika, np. zmianom nazwiska, jednostki organizacyjnej czy zakresu uprawnień, wymianie karty uszkodzonej, odblokowaniu karty zablokowanej i zwolnieniu pracownika.

Rozbudowana i restrykcyjna polityka dotycząca weryfikacji tożsamości użytkowników systemów informatycznych jest w przypadku ZUS usprawiedliwiona. Karta jest jedynym identyfikatorem pracownika w całym środowisku informatycznym ZUS: stacji roboczej, zasobach sieciowych i aplikacji KSI, wszelkie pomyłki lub niedopatrzenia mogą więc mieć potencjalnie poważne konsekwencje. Do celów dowodowych unieważnione certyfikaty klucza publicznego są przechowywane przez Centrum Certyfikacji.

Udowodnij co możesz

Weryfikacja uprawnień użytkownika rozpoczyna się tuż po włączeniu przez niego komputera. Czytnik kart jest sprzężony z działającym na poziomie BIOS-u oprogramowaniem PC-Lock, które przeprowadza wstępną kontrolę uprawnień na podstawie kategorii karty (np. użytkownik, kierownik, administrator, serwisant, pracownik kontroli itd.) oraz PIN-u - jeszcze zanim zostanie uruchomiony system operacyjny. "W ten sposób uniemożliwiamy potencjalnym "pomysłowym" pracownikom obejście zabezpieczeń poprzez uruchomienie systemu operacyjnego z dyskietki czy dysku USB" - wyjaśnia Marek Gdowiak.

Uprawnienia lokalne komputerów zostały skonstruowane w taki sposób, aby przełożony miał prawo do logowania się na komputerze swojego pracownika, ale nie odwrotnie. Dostęp do stacji roboczych kierowników mają, oprócz nich, tylko serwisanci i administratorzy bezpieczeństwa. Na komputerach pracowników kontroli mogą się logować tylko oni. Logowanie na komputerze innym niż własny jest w ZUS o tyle ułatwione, że każdemu użytkownikowi sieci przysługuje tzw. profil przechodni Windows NT o wielkości 2 MB (w przypadku administratorów 5 MB), który pozwala na odtwarzanie środowiska użytkownika na dowolnym komputerze.