1 - Bezpečnost-firemních-dat

Zabezpečení firemních dat

Analýza rizik – zjištění zranitelných míst a jejich zneužití

• Zjištění možných škod případných útoků

• Možnosti obrany

• Navrhnout opatření

Postup při AR:

• Identifikace a ocenění aktiv

• Nalezení zranitelných míst

• Odhad využití zranitelných míst

• Výpočet očekávaných ztrát

• Přehled použitelných opatření

• Odhad ročních úspor zvolených aplikací

Někdy se provádí tzv. orientační AR, jejím výsledkem je zvolení jedné ze 4 následujících strategií analýzy rizik.

elementární AR – jedná o převzetí již vytvořených standardů na základě podobných systémů

+ rychlá, velmi nízké N, vynaložené na AR

- nemusí dojít ke zvolení optimálních opatření (příliš silná/slabá, příliš drahá...)

neformální AR – stanovení na základě jednotlivých odborníků z oblasti bezpečnosti IS (interních/externích)

+ rychlá, poměrně nízké N vynaložené na AR

- vyšší pravděpodobnost opomenutí některých rizik

detailní AR – použití standardizovaných strukturovaných metod ve všech zmíněných fázích AR

+ malá pravděpodobnost opomenutí některých rizik

- vysoké finanční a čas. N na provedení AR

kombinovaná AR – kombinace předchozích přístupů

+ dosažení optimální výše N vynaložených na AR

Bezpečnostní politika

Bezpečnostní politika představuje souhrn bezpečnostních zásad a předpisů, určující přístup k datům a informačnímu systému a proškolování. Definuje způsob zabezpečení organizace od fyzické ostrahy, přes ochranu profesních zájmů až po ochranu soukromí a lidských práv.

Firewall je obecné řešení zajištění bezpečnosti, realizované pouze organizačními opatřeními, nebo jen pomocí softwaru (konfigurací směrovačů), nebo je to software i hardware. Každý Firewall má část zajišťující blokování a část zajišťující prostupnost toho, co je povoleno. Blokování se provádí konfigurací směrovačů (nepropuštění určitého druhu provozu) a pomocí paketových filtrů.

Cíle BP:

• Důvěrnost (lze zajistit šifrováním, firewally, řízením přístupu k souborům)

• Integritu (změnu dat může provést jen ten, kdo k tomu má právo) lze zajistit různými kryptografickými kontrolními součty)

• Autentičnost (lze zajistit používáním hesel, el. Podpisem)

• Nepopiratelnost (nikdo nemůže popřít transakci, které se zúčastnil) např. pomocí el. podpisu

• Dostupnost (je třeba oprávněným uživatelům umožnit přístup k datům)

• Spolehlivost

Typy BP:

• promiskuitní BP – pouze minimální nebo vůbec žádná bezpečnost, nikoho neomezuje, velmi nízké N na zřízení

• liberální BP – každý může dělat vše až na věci explicitně zakázané, vyšší zabezpečení než předchozí, ekonomická nenáročnost

• opatrná (racionální) BP – zakazuje dělat vše, co není explicitně povoleno, je nákladnější, ale zajišťuje vyšší zabezpečení

• paranoidní BP – zakazuje dělat vše co by mohlo být potenciálně nebezpečné, tzn. i to co není zakázáno, zajišťuje nejvyšší zabezpečení.