Zásady výstavby bezpečnostnej politiky organizácie

Zásady výstavby bezpečnostnej politiky organizácie
Táto kapitola je venovaná systematickému výkladu stanovenia (celkovej) bezpečnostnej politiky IT organizácie (prevádzkujúcej informačný systém). Bezpečnostná politika IT organizácie obecne vymedzuje:
-  čo vyžaduje ochranu
-  proti akým hrozbám je ochrana budovaná
-  ako budeme chrániť to, čo vyžaduje ochranu.
 
Dosiahnutie požadovanej úrovne bezpečnosti IS rovnako podporuje a vyžaduje poriadne prevádzkovanie nasledujúcich prvkov:
 
Správy konfigurácie
Systematické vedenie evidencie zmien konfigurácie použitých IT. Každá zmena v konfigurácii sa vždy musí posúdiť z hľadiska dopadu na jeho bezpečnosť. Systematickosť zaručí premietnutie zmien aj do všetkých relevantných dokumentov, napr. do havarijného plánu, do prijatých administratívnych opatrení atď. Kriticky rozsiahla zmena môže vyvolať prepracovanie systémovej bezpečnostnej politiky. Zmyslom správy konfigurácie je pritom mať vedomosť o tom, čo sa zmenilo a nie zabrániť zmenám.
 
Správy menového riadenia
Jedná sa o pomocný riadiaci nástroj pre identifikáciu nových požiadaviek na bezpečnosť po zmene vlastností informačného systému (ďalej len IS). Zmeny môžu predstavovať zriadenie nových prevádzkových procedúr, inováciu softwaru, revíziu hardvéru, zriadenie nových užívateľov, nových skupín užívateľov, nové sieťové spojenia. Každá zmena sa opäť musí posúdiť z hľadiska dopadu na bezpečnosť. Výsledok prejednania dopadu zmien a prípadné manažérske rozhodnutie sa musí dokumentovať.
 
6.1 CIELE BEZPEČNOSTNEJ POLITIKY
Aké sú typické ciele bezpečnostnej politiky? V reálnom prostredí sa nevyhneme tlaku na zaistenie potrebnej úrovne dôvernosti, autentizácie, integrity dát a prevencie pred vírmi a inými škodlivými programami, nepopierateľnej zodpovednosti a potrebnej veľkosti výpočtového a pamäťového výkonu. V distribuovanom prostredí, akým je sieť Internet, sa k uvedeným cieľom pridáva požiadavka bezpečnosti transakcií, napr. medzi webovskými klientmi a severmi. [ 7 ]
 
K prevedeniu programu, dovezeného do klientskej stanice z www, by mal užívateľ dát explicitný súhlas po zvážení potreby preverenia certifikácie takého objektu. Takže, ktoré vlastnosti IS vlastne konštitujú bezpečnosť IS? Ktoré požiadavky na bezpečnosť spracovania komerčných a legislatívne citlivých informácií môžeme považovať za prirodzené? Určite je takou bezpečnostnou požiadavkou poskytnutie potrebného rozsahu dôvernosti. Dôvernosť má zásadný význam z hľadiska ochrany súkromných dát, a to ako z hľadiska zachovania súkromia, tak aj z hľadiska možnosti zneužitia informačných služieb. Dôvernosť IS možno zabezpečiť pomocou šifrovania, skrývaním identít počítačov organizácie za firewally alebo riadeným prístupu k súborom.
 
Prirodzenou požiadavkou na šifrovací systém je dostupnosť operácie k dešifrovaniu. K šifrovaniu a dešifrovaniu je potrebné poznať isté tajomstvá. Preukázanie totožnosti pomocou znalosti týchto tajomstiev sa využíva aj pri implementácii bezpečnostnej funkcie autentizácie a nepopierateľnosti. Šifrovanie sa môže prevádzať na rôznych úrovniach distribuovaného systému podľa požadovanej úrovne transparentnosti takej operácie, náročnosti na výkon procesora a priestor pamäti.
 
Ďalšou možnou bezpečnostnou požiadavkou môže byť uplatnenie riadenia prístupu. Môže byť žiaduce, aby bola neviditeľná len časť nejakej transakcie, zatiaľ čo jej zbytok môže byť verejne dostupný. Také výberové riadenie prístupu k transakciám, napr. pri elektronickom obchodovaní, umožní zákazníkovi „zabaliť“ svoje identifikačné informácie o platobnej karte do elektronickej obálky ktorú môže otvárať iba jeho banka, túto priložiť k objednávke a zaslať obchodníkov. Obchodník obálku predá banke, ktorá obchodníkovi potvrdí solventnosť zákazníka a tento môže pokračovať v predaji, bez toho, aby mu zákazník svoje súkromné dáta sprístupňoval. Ďalšou prirodzenou požiadavkou je požiadavka zaistenia integrity. Integrita musí zaisťovať, aby aktivita, dostupná autorizovaným užívateľom, bola úplná a verná, t. j. zodpovedajúca svojej špecifikácii. Dáta pri prenose nemôžu byť neautorizovane menené. Dáta nemožno modifikovať ani v mieste ich dlhodobého uloženia v nejakej pamäti. Pre zaistenie integrity dát možno použiť napr. mechanizmov kryptografických kontrolných súčtov, elektronického podpisu a certifikátov na báze asymetrickej kryptogafie. Pre zaistenie integrity softwaru je prirodzene nutné používať tiež adekvátne antivírusové nástroje.
 
Zaistenie autentickosti je ďalšou generickou požiadavkou bezpečnosti IT. Komunikujúce strany ba mali dôverovať tomu, že komunikujú s tým partnerom, s ktorým komunikovať chceli. K silnej autentizácii je potrebné obvykle použiť mechanizmy elektronického podpisu a certifikátov. Dostatočne dôveryhodné preukázanie identity možno (podľa výsledkov analýzy rizík) tiež dosiahnuť napr. jednoduchým používaním hesiel.
 
Ak sa požaduje zaistenie nepopierateľnosti, potom žiadna zo spolupracujúcich strán nesmie mať možnosť a svoju účasť v transakcii poprieť, a to i po jej ukončení. Aby bolo možné použiť nejaký mechanizmus pre implementáciu funkcie nepopierateľnosti, je potrebné ho vybaviť vlastnosťou preukázateľnosti autorstva. Takým mechanizmom je napr. certifikovaný elektronický podpis.
 
6.2 TYPY BEZPEČNOSTNÝCH POLITÍK
Variant prístupov k zabezpečeniu IT je viac, niektoré sú zaujímavejšie nákladovo, iné dosiahnutou transparentnosťou, ďalšie potom odolnosťou proti útoku výnimočnej sily. Doporučený variant bezpečnostnej politiky IS by mal vždy vzísť z oponovanej a závažne prijatej bezpečnostnej politiky organizácie a bezpečnostnej politiky IT organizácie (pri rešpektovaní výsledku analýzy rizík IS).  Podľa požadovanej úrovne zabezpečenia rozpoznávame bezpečnostnú politiku štyroch obecných typov:
 
6.2.1 Promiskuitná bezpečnostná politika
Je bezpečnostná politika, ktorá nikoho neobmedzuje a každému v zásade povoľuje robiť všetko, teda aj to, čo by robiť nemal. IS s promiskuitnou bezpečnostnou politikou sú obvykle nenákladné na prevádzku, často ani nenútia povinne používať pre autentizáciu heslá a zaručujú iba minimálnu alebo vôbec žiadnu bezpečnosť. Dôvodom používania IS s promiskutinou bezpečnostnou politikou môže byť ekonomickosť riešenia; potrebná úroveň bezpečnosti môže byť zaistená prostriedkami mimo IT.
 
6.2.2 Liberálna bezpečnostná politika
Je bezpečnostná politika, ktorá každému povoľuje robiť všetko, až na veci explicitne zakázané. Liberálna bezpečnostná politika zaručuje väčšie bezpečie než promiskuitná politika. Liberálna bezpečnostná politika je často uplatňovaná v prostrediach, v ktorých sa hrozby považujú za málo až priemerne závažné a neopomenuteľnou požiadavkou je nízka ekonomická náročnosť riešenia bezpečnosti. Typicky sa opiera o zásadu voliteľného riadenia prístupu založeného na identite subjektov.
 
6.2.3 Opatrná bezpečnostná politika (racionálna bezpečnostná politika)
Je bezpečnostná politika zakazujúca robiť všetko, čo nie je explicitne povolené. Opatrná bezpečnostná politika je nákladnejšia na zavedenie, avšak zaručuje vyšší stupeň bezpečnosti. Pri aplikácii na obecný IS, požaduje prevedenie klasifikácie objektov a subjektov podľa ich schopností a citlivosti. Opiera sa okrem iného o zásadu povinného riadenia prístupu založeného na úlohách, v ktorých vystupujú subjekty pri styku s IS. Z hľadiska používania IS v rámci Internetu je obyčajne počiatočnou bezpečnostnou politikou pri zavádzaní firewallov.
 
6.2.4 Paranoidná bezpečnostná politika
Je bezpečnostná politika zakazujúca robiť všetko potenciálne nebezpečné, teda aj to, čo by nemuselo byť explicitne zakazované. Zaručuje najvyšší stupeň bezpečnosti. Napr. zakáže používať akékoľvek internetové služby (čo keď by sa dali zneužiť), resp. predpíše používať IS bez možnosti on-line napojenia na komunikácie. Vedie potom k maximálnej izolácii systému. Paranoidná bezpečnostná politika stále môže byť pre mnoho organizácií užitočná. Databázový systém, ktorý spracúva vysoko dôverné informácie, možno fyzicky a technicky izolovať na systém s konečným počtom ľahko kontrolovateľných vstupov a výstupov. Paranoidný charakter bezpečnostnej politiky umožní implementáciu aplikácie v prostredí s nízkou systémovou réžiou, adekvátne s dosiahnuteľnou vyššou výkonnosťou pri zachovaní nižšej úrovne nákladov.
 
6.3 PRINCÍPY URČUJÚCE CHARAKTER BEZPEČNOSTNEJ POLITIKY
V nasledujúcom vymenovaní princípov určujúcich charakter bezpečnostnej politiky dávam pojmom len generický charakter. Popísané princípy sa musia pri vypracovávaní bezpečnostnej politiky konkrétnej organizácie špecifikovať presne a konkrétne.
 
6.3.1 Princíp adresnej zodpovednosti
požaduje, aby boli stanovené zodpovednosti vlastníka, správcu, užívateľa IS a ostatných činiteľov, stýkajúcich sa s IS a aby ich činnosť bola na potrebnej úrovni detailizácie bezpečne protokolovaná. Pod pojmom ostatní činitelia je potrebné rozumieť manažment organizácie, programátorov, pracovníkov údržby, operátorov a pracovníkov funkčných zložiek organizácie, správcov siete, externých a interných auditorov.
 
6.3.2 Princíp znalosti
požaduje, aby všetky subjekty, participujúce na IS, poznali ciele bezpečnostnej politiky, jej  použité opatrenia a vedeli ich aplikovať. Rozumieť a byť informovaný o princípoch zabezpečenia, je legitímnym záujmom takých subjektov. V žiadnom prípade sa nejedná o otváranie IS útokom alebo o učenie sa používať nástroje pre uľahčenie útoku na IS. Ak prevádzkovateľ nejakej siete umožní ďalšej organizácii sieť používať pre poskytovanie služieb tretím stranám, môže si do zmluvy dať požiadavku, že musí byť ako prevádzkovateľ siete zoznámený s bezpečnosťou takého IS. To platí aj naopak, prevádzkovateľ takého IS môže po prevádzkovateľovi siete požadovať zoznámenie sa s aplikovanými bezpečnostnými opatreniami a ich silou. Zákazník banky má legitímne právo byť informovaný o existencii a implementácii bezpečnostných politík participujúcich bánk.
 
6.3.3 Princíp etiky
požaduje, aby sa rešpektovali práva a legitímne záujmy ostatných, a to i na úrovni sociálnych noriem chovania.
 
6.3.4 Princíp multidisciplinárnosti
požaduje akceptovať všetky relevantné technické, administratívne, prevádzkové, komerčné, výchovné a legislatívne hľadiská bezpečnosti IS a organizácie. Bezpečnostná politika musí byť budovaná s rešpektovaním záujmu a povinnosti manažmentu organizácie, právneho oddelenia, oddelenia technickej podpory atď. Iná bezpečnostná politika je pochopiteľne vhodná pre vojenskú organizáciu, iná pre mestský úrad, iná pre obchodnú organizáciu a iná pre školu.
 
6.3.5 Princíp úmernosti
požaduje, aby sila bezpečnostných funkcií bola úmerná ako možným hrozbám a ich rizikám, tak aj možným škodám. Dosiahnutie maximálnej možnej bezpečnosti za každú cenu by nemuselo byť ekonomické. Preto je potrebné najprv previesť ocenenia aktív, potom analýzu rizík, a až potom určovať potrebnú bezpečnostnú funkcionalitu a silu použitých bezpečnostných mechanizmov pre jej implementáciu. Aj poistenie je možným bezpečnostným opatrením.
 
6.3.6 Princíp integrity
Požaduje dosiahnutie súhry cieľov a bezpečnostnej funkcionality bezpečnostnej politiky s cieľom, praktikami, štruktúrami a zvyklostiam bežne zavedenými v organizácii. Bezpečnostná politika musí zaistiť celý cyklus života informácií, ich získavanie, vytváranie, spracovávanie, uchovávanie, prenášanie, rušenie. Záruka za celkovú bezpečnosť IS je daná úrovňou bezpečnosti jeho najslabšieho článku.

6.3.7 Princíp aktuálnosti
Vyžaduje kooperáciu partnerov pri čelení aktuálnym hrozbám a spôsobom ich prejavu. Mnohé princípy sú platné nezávisle na fyzickom umiestnení.
 
6.3.8 Princíp periodického hodnotenia
Je daný tým, že IS sú obvykle dynamickou jednotkou a požiadavky na bezpečnosť a efektívnosť sa v priebehu času menia (hackeri nesedia so založenými rukami a informačné technológie sa vyvíjajú stále rýchlejšie).