|
[ Pobierz całość w formacie PDF ]
.Sposoby zabezpieczeń powinny uwzględniać dwa komplementarne punktywidzenia:" jak wyeliminować, lub przynajmniej zredukować prawdopodobieństwoszczególnych zagrożeń zasobów (orientacja na zagrożenia)" co należy zrobić by uchronić zasoby przed zagrożeniami (orientacja na zasoby).Wyeliminowanie błędów i pomyłek pracowniczych wymaga opracowania strategiiimplementacji haseł, ustawicznego szkolenia załogi, określenia ich obowiązków izakresów odpowiedzialności, zapewnienia systemu kontroli wzajemnej pracowników.Celem poskromienia nieuczciwych pracowników wskazany byłby rozwój pracyzespołowej, kontroli wzajemnej, wykrywanie nadużyć i wprowadzanie kar, okresowaocena zgodności oprogramowania z dokumentacją.Dla podniesienia morale załogiistotne jest zrozumienie potrzeb pracowników, wprowadzenie szkoleń i programówpomocy, obserwacje i antycypacja ich zachowań.Ogień i woda stanowią bezpośredniezagrożenia zasobów lokalnych, ale pośrednio powodują skutki rozległe - co wynika zutraty własnych zasobów informacji i prowadzi do zmiany pozycji rynkowej i gorszejreputacji.Wszelkie zasoby fizyczne chronione są lokalnie przez właściwą ichlokalizację, wprowadzanie płotów, barier, zamków, alarmów i strażników, urządzeńidentyfikacji użytkowników.Zasoby intelektualne, transakcje i usługi mogą byćprzedmiotem ataku lokalnego i w komputerowej sieci rozległej.Jako sposobyzabezpieczenia tych zasobów wymienić można: identyfikację i autentyfikacjęużytkowników, kontrolę dostępu w aspekcie czasu i wielkości zasobu, klarownewytyczne klasyfikacji danych , niezaprzeczalność i autoryzacja transakcji, dokładneustalenie procedur kopiowania danych, użycie śladu rewizyjnego i monitoringtransakcji, szyfrowanie komunikatów.Mimo, że architektura zabezpieczeń większościsystemów informatycznych ma wiele wspólnych cech, dostępny jest szeroki zakresopcjonalnych rozwiązań różnych w sensie specyficznych technik zabezpieczenianośników elektronicznych, algorytmów kryptograficznych, długości kluczy imonitoringu transakcji.Opcje różnią się zależnie od kosztów, funkcjonalności i40 Systemy Zabezpieczenia Danych w Zrodowisku Windows - mocne i słabe strony.wiarygodności.Immanentną cechą każdego z wymienionych wyżej zasobów jest jegowrażliwość, podatność na uszkodzenia, która powoduje, że zasób traci wartość wskutekoddziaływania różnych zagrożeń.Określenie wrażliwości zasobów jest konieczne dlazrozumienia systemu zabezpieczeń.Zadanie wcale nie jest trywialne, wymagapołączenia intuicji, doświadczenia, zdolności uczenia się na błędach i regularnej ocenyaktualnych zabezpieczeń.Zadanie to dodatkowo komplikuje fakt, że wrażliwośćposzczególnych zasobów różna jest dla różnych organizacji finansowych i zmienia sięw czasie.Na podstawie literatury przedmiotu wyróżnić można ogólnie trzy sposoby redukcjiwrażliwości SI:" zapewnienie udoskonalenie integralności informacji" zapewnienie integralności aplikacji" zapewnienie dostępności do systemów informatycznych [Firdman, 1991].Integralność informacji oznacza, że pochodzi ona z wiarygodnego zródła, jestpoprawna, wewnętrznie zgodna, jej modyfikacji dokonują osoby upoważnione i nie jesteksponowana w złych zamiarach celem jej zmiany lub destrukcji.Integralność aplikacjioznacza, że pochodzi ona od wiarygodnego dostawcy, jest kompletna i poprawna,zgodna ze specyfikacją jest taka sama jak pierwotnie budowana, testowana,akredytowana, jest pielęgnowana przez osoby upoważnione i nie jest eksponowana zewzględu na możliwość przypadkowych lub celowych destrukcji.Dostępność doinfrastruktury informacji oznacza możliwość uzyskana wyników przetwarzania wustalonym przedziale czasu i przy minimalnej degradacji.System zabezpieczeń masłużyć zapewnieniu w sposób ciągły integralności i dostępności do systemówinformatycznych.41 Systemy Zabezpieczenia Danych w Zrodowisku Windows - mocne i słabe strony.W ramach programu zabezpieczeń rozwijany jest proces zarządzania ryzykiem ochronyzasobów, w trakcie którego zarząd określa, które zasoby muszą być chronione, które niebędą i jakie mogą być konsekwencje takich decyzji.Proces zarządzania ryzykiemobejmuje sześć etapów: analiza ryzyka, analiza redukcji ryzyka, akceptacja przez zarządkońcowego ryzyka, rozwój planu redukcji ryzyka i programów działań, wdrażanie idoskonalenie wybranych sposobów zabezpieczeń, obserwacja i ocena programu działańredukcji ryzyka.Celem analizy ryzyka jest określenie wszystkich zasobów, ichzagrożeń i wrażliwości na te zagrożenia.Wartość i wrażliwość zasobów stanowiąpodstawę oceny ryzyka.Częścią analizy ryzyka są scenariusze symulacyjne naruszeniazabezpieczeń.Proces podobny jest do burzy mózgów, w czasie której uczestnicypróbują wyobrazić sobie zdarzenia kompromitujące systemy zabezpieczeń, wykazująnieskuteczność systemu zabezpieczeń, szacują prawdopodobieństwo każdego zdarzeniaoceniają przypuszczalne konsekwencje tych zdarzeń, takie jak zniszczenie lub stratazasobów, oceniają koszty prewencji.Oczekuje się, że uczestnicy dyskusji wystąpią zpraktycznymi wskazaniami dla udoskonalenia systemu zabezpieczeń.Proces analizy sposobności redukcji ryzyka obejmuje ocenę wszystkich znanychsposobów zabezpieczeń w odniesieniu do poszczególnych zasobów.Należy nadać imrangi z punktu widzeniami kryterium jakim są koszty i współczynnik redukcjizagrożenia.Ostatecznie zarząd organizacji powinien podjąć decyzję wybierającpodzbiór sposobów zabezpieczeń celem implementacji.Decyzja ta powinna obejmowaćcertyfikację/akredytację infrastruktury informacji.Certyfikacja implikuje, że zarząd42 Systemy Zabezpieczenia Danych w Zrodowisku Windows - mocne i słabe strony.uświadamia sobie poziom ryzyka i akceptuje je.Akredytacja implikuje, że zarządakceptuje ryzyko, rozumiejąc, że infrastruktura informacji musi zapewnić stosownypoziom wykonania, integralność aplikacji i informacji i dostępność zasobów informacji.W dalszej kolejności opracowywane programy działań powinny być wkomponowane wogólny cykl życia systemów informatycznych.Odpowiedzialność za wykonanieprogramów działań musi być dokładnie przypisana osobie, równocześnie należyuruchomić program szkoleń.Implementacja systemu zabezpieczeń wymaga testowania, a w szczególności tzw [ Pobierz całość w formacie PDF ] |
Archiwum
|