Zagrożenia i usługi ochrony informacji w sieci teleinformatycznej

Usługa integralność, integralność uwierzytelnienie, niezaprzeczalność poufność

Aby wybrać odpowiedni dla naszych potrzeb zestaw usług, możemy zastosować metodę analizy ryzyka lub oprzeć się na uniwersalnych wytycznych dotyczących zabezpieczania systemów (baseline controls lub codes of practice).

Analiza ryzyka przebiega w sposób indywidualny dla każdego przedsiębiorstwa. Jej celem jest przede wszystkim zidentyfikowanie tych informacji (i dróg ich obiegu), których utrata może być dla firmy szkodliwa. Straty są pojęciem bardzo szerokim - mogą to być w szczególności straty niematerialne, np. utrata dobrego imienia firmy, czy też poznanie przez konkurencyjną firmę poufnych danych o nowych produktach. Kolejnym krokiem jest określenie potencjalnych atakujących. Mogą to być hakerzy, szpiedzy przemysłowi lub własny personel.

Pierwsi często nie dysponują zbyt dużymi zasobami, a próby przełamania przez nich zabezpieczeń są motywowane jedynie chęcią zdobycia sławy wśród kolegów. Drudzy kierują się chęcią zysku, mają dostęp do nowoczesnego sprzętu i oprogramowania ułatwiającego przeprowadzanie włamań. Wyniki ich pracy otrzymuje ten, kto więcej zapłaci - często jest to konkurencyjne przedsiębiorstwo. Nie należy też zapominać o pracownikach własnej firmy - według wszelkich badań zdecydowana większość ataków na systemy informatyczne pochodzi od wewnątrz.

Proces analizy ryzyka jest procesem ciągłym. Wraz z rozwojem technologii i wiedzy pojawiają się nowe zagrożenia, toteż konieczna jest ciągła weryfikacja bezpieczeństwa systemu. Ponadto pierwsza analiza (najczęściej z powodu braku doświadczenia w tym zakresie) często okazuje się niedoskonała *4.

Firmy nie wymagające wysokiego poziomu bezpieczeństwa mogą zrezygnować z analizy ryzyka, która jest z reguły kosztowna i pracochłonna, a zdecydować się na pewien standardowy, wypracowany na podstawie doświadczeń innych instytucji, zestaw zabezpieczeń. Takie rozwiązanie znalazło uznanie m.in. niemieckiego odpowiednika Biura Szyfrów - BSI, brytyjskiego instytutu normalizacji BSI (BS 7799: Code of Practice for Information Security Management), znajdzie się również w powstających normach ISO/IEC (Guidelines for the Management of IT Security).

To podejście można połączyć z analizą ryzyka przeprowadzoną np. dla najbardziej newralgicznych obszarów działalności przedsiębiorstwa. Jest to związane z podziałem przedsiębiorstwa na tzw. domeny, w których przetwarzane są informacje o różnych poziomach bezpieczeństwa (np. domeny: dla danych poufnych i tajnych). Rozwiązanie to wymaga szczególnej ostrożności - każda domena powinna być odpowiednio odseparowana od pozostałych, aby uniemożliwić przeciek informacji z domeny o większym bezpieczeństwie do domeny o mniejszym. Jest to rozwiązanie tańsze niż zapewnienie całemu systemowi poziomu bezpieczeństwa wymaganego przez najbardziej cenne dane.