Bezpieczeństwo informacji: definicja, wymagania, modele i etapy

W ciągu ostatniego stulecia społeczeństwo doświadczyło najbardziej intensywnego skoku w ewolucji technologicznej w historii. O ile dawniej słowo "bezpieczeństwo" odnosiło się głównie do fizycznych przejawów przemocy i zagrożeń, o tyle wraz z rozwojem technologii zmieniło się także to podstawowe pojęcie. Informacja stała się bronią, cennymi danymi poufnymi, które potrafią wyrządzić szkodę nie mniejszą niż najostrzejszy nóż. Tak narodziło się kolejne pojęcie: "bezpieczeństwo informacji". Czym jest, jakie pełni funkcje i jak się je stosuje: najważniejsze pytania omawiamy dziś w artykule Anexet.

Czym jest bezpieczeństwo informacji (InfoSec)

Takie informacje mogą obejmować dane o ochronie firmy przed zagrożeniami ze strony konkurencji lub nieuczciwymi działaniami pracowników, tajne technologie produkcji, tajemnice państwowe, a nawet dane osobowe. Wszystko to może zostać wykorzystane w interesownych celach. Aby do tego nie dopuścić, prowadzi się działania takie jak zapewnianie bezpieczeństwa informacji.

Trzy główne zasady bezpieczeństwa informacji

Bezpieczeństwo informacji opiera się na trzech kluczowych zasadach, które pozwalają podejść do jego wdrożenia kompleksowo. Są to poufność systemu, integralność środków ochrony oraz dostępność.

Poufność systemu

Bezpieczeństwo informacji jest bezpośrednio związane z przetwarzaniem wrażliwych informacji poufnych i danych osobowych. Uważnie trzeba traktować cały zbiór danych na każdym etapie łańcucha analizy. Analizowane informacje mogą być udostępniane wyłącznie osobom uprawnionym po weryfikacji, a dla wszystkich pozostałych muszą pozostać poufne.

Integralność środków bezpieczeństwa informacji

Zasada ta nakazuje traktować bezpieczeństwo informacji jako jeden, spójny proces, bez wyjątków i ustępstw, o ile nie zostały one określone z wyprzedzeniem. To właśnie takie podejście pozwala bezstronnie ocenić stan rzeczy i daje realistyczny obraz sytuacji.

Dostępność

To zdolność uprawnionych podmiotów do sięgnięcia po dowolną część informacji oraz gotowość służb bezpieczeństwa do obsługi zgłoszeń.

Po co potrzebne jest bezpieczeństwo informacji?

Oczywiście głównym celem bezpieczeństwa informacji jest zapewnienie ochrony poufnych danych o firmach, osobach i państwie oraz neutralizowanie negatywnego wpływu i szkód dla przedsiębiorstw lub osób prywatnych. Nie oznacza to jednak, że każde potencjalne zagrożenie dla bezpieczeństwa informacji ma wyłącznie negatywny cel – zniszczenie obiektu zainteresowania. Nie zawsze tak jest. Informacje bywają potrzebne do celów analitycznych: aby porównać produkty konkurencji z własnymi, przeanalizować skuteczność strategii biznesowych czy zmodyfikować produkcję i wewnętrzne procesy firmy. Do zdobycia takich informacji można wykorzystać różne źródła: zasoby ludzkie firmy, dokumentację, własność intelektualną (wynalazki, wzory użytkowe, wzory przemysłowe, patenty itp.), techniczne nośniki danych, oprogramowanie i inne.  Wybór źródła zależy od dostępnych narzędzi, celów i potencjalnej przydatności uzyskanych danych.

Zagrożenia i ryzyka dla bezpieczeństwa informacji

Zagrożenie to potencjalne lub rzeczywiste działanie zmierzające do wyrządzenia firmie albo osobie szkody materialnej lub moralnej. Aby zbudować możliwie skuteczny proces ochrony danych, trzeba oczywiście rozumieć ryzyka i potencjalne zagrożenia, z jakimi zmierzy się firma. Przyjęło się wyróżniać trzy główne grupy zagrożeń.

Technogeniczne (związane z awarią sprzętu lub technologii chronionego systemu, a także z użyciem specjalistycznych środków technicznych i oprogramowania). Należą do nich następujące ryzyka:

• korzystanie z pirackiego oprogramowania i obchodzenie licencji;

• wprowadzenie złośliwego oprogramowania (wirusy, programy szyfrujące, backdoory, blokery, koparki kryptowalut itp.);

• ataki DDoS;

• phishing;

• sprzętowe i programowe środki podsłuchu oraz nadzoru wideo itp.

Przyjrzyjmy się przykładowi zagrożenia bezpieczeństwa informacji spowodowanego błędem człowieka. Chodzi o atak ransomware Play na szwajcarską firmę IT Xplain, który dotknął lokalną sieć kolejową i wiele instytucji państwowych. Hakerzy uzyskali dostęp do ponad 1,3 miliona plików, w tym 65 000 dokumentów należących do szwajcarskiego rządu federalnego. Grupie Play udało się zrealizować to zagrożenie za pomocą wiadomości phishingowej ze złośliwym oprogramowaniem.

Kolejny przykład, z 2010 roku. Rozprzestrzenił się wtedy robak sieciowy Win32/Stuxnet, który zaatakował dużą liczbę prywatnych i państwowych systemów komputerowych. Wirus wykorzystywał podatności w Microsoft Windows (lukę zero-day), przechwytując i modyfikując przepływ informacji między sterownikami programowalnymi Simatic S7 a stacjami roboczymi systemu SCADA SimaticWinCC (Siemens). Win32/Stuxnet mógł służyć do szpiegostwa przemysłowego i sabotażu (taki był jego pierwotny cel). Przeszedł do historii jako pierwsze złośliwe oprogramowanie, które nie tylko uszkadzało dane cyfrowe, ale też wyrządzało realne szkody fizyczne w sprzęcie. Głównym źródłem jego rozprzestrzeniania były zainfekowane nośniki USB.

Antropogeniczne (związane z celowym lub przypadkowym ujawnieniem poufnych informacji handlowych):

• wycieki spowodowane przez insiderów;

• błędy w wykonywaniu obowiązków służbowych;

• działania nielojalnych pracowników.

Przykładem antropogenicznego zagrożenia dla bezpieczeństwa firmy jest Colonial Pipeline. To największy system rurociągów w Stanach Zjednoczonych i główny dostawca benzyny oraz produktów naftowych znad Zatoki Meksykańskiej na całe Wschodnie Wybrzeże. 7 maja 2020 roku system Colonial Pipeline został zainfekowany oprogramowaniem ransomware. Jak się później okazało, atak przeprowadziła grupa hakerska DarkSide. Ich celem było uzyskanie okupu w wysokości 5 milionów dolarów. Jednak nawet po przekazaniu środków szantażystom firma nie zdołała szybko przywrócić swoich procesów biznesowych. Doprowadziło to do zakrojonego na szeroką skalę kryzysu w kilku stanach i do ówczesnych niedoborów paliwa.

Osobą odpowiedzialną po stronie Colonial Pipeline okazał się jeden z pracowników, którego hasła użyto w ataku. Wykorzystując to hasło do usługi VPN, hakerzy zdołali uzyskać dostęp do systemu korporacyjnego. Pracownik posłużył się wcześniej tym samym hasłem przy rejestracji innego konta, którego dane były już dostępne w darknecie.

Inny przykład: włamanie na konta znanych osób w serwisie Twitter w lipcu 2020 roku. Hakerom udało się wtedy opublikować odnośnik do wiadomości z prośbą o wpłaty w kryptowalucie, w stylu: "Wyślij mi 1 BTC, a otrzymasz 2 z powrotem". Zhakowano konta prezesa Tesli i SpaceX Elona Muska, założyciela Amazona Jeffa Bezosa, jednego z największych prywatnych inwestorów i szefa Berkshire Hathaway Warrena Buffetta, byłego prezydenta USA Baracka Obamy, a także konta Google, Apple i wiele innych.

W wyniku ataku poszkodowanych zostało około 300 osób, które przesłały na wskazane adresy kryptowalutowe nieco ponad 110 000 dolarów. Sytuacja odbiła się negatywnie także na samym Twitterze: jego reputacja poniosła nieodwracalną szkodę, a incydent spowodował chwilowy spadek kursu akcji o 4,5%. Głównym źródłem informacji dla oszustów był pracownik Twittera, który według samych hakerów "…dosłownie zrobił za nich wszystko".

Klęski żywiołowe (siła wyższa, katastrofy naturalne).

W jakich obszarach bezpieczeństwo informacji jest najważniejsze?

Nie da się ograniczyć zakresu bezpieczeństwa informacji. W pewnym stopniu nieuprawnione rozpowszechnianie informacji jest szkodliwe w każdej sferze życia człowieka, państwa czy firmy. Można jednak wskazać branże, w których stosowanie środków ochrony danych ma znaczenie krytyczne.

Należą do nich:

• krytycznie ważna infrastruktura państwowa i powiązane z nią przedsiębiorstwa (energetyka, bezpieczeństwo publiczne, obiekty obronne i administracji państwowej);

• sektor bankowy i organizacje finansowe (bank centralny kraju, prywatne i państwowe instytucje bankowe, fundusze emerytalne i ubezpieczeniowe, organizacje monetarne i kredytowe itp.);

• placówki ochrony zdrowia;

• kompleksy transportowe i logistyczne (systemy zarządzania transportem drogowym, kolejowym, wodnym, lotniczym i rurociągowym);

• obiekty zapewniające suwerenność informacyjną państwa (bazy notarialne i prawne, agencje informacyjne oraz media).

Jak widać, potrzeba zapewnienia bezpieczeństwa informacji występuje we wszystkich najważniejszych obszarach życia publicznego i biznesu w kraju. Istnieje jedna reguła pozwalająca ustalić, czy w danym obiekcie trzeba stosować środki ochrony informacji. Z reguły dotyczy to organizacji (prywatnych i publicznych), których działalność wiąże się z przetwarzaniem dużych ilości wrażliwych danych poufnych, a także informacji stale zmieniających się pod wpływem czynników zewnętrznych lub wewnętrznych (np. banki i kursy walut, transport lotniczy i rozkłady wewnętrzne, rozkłady jazdy kolei itp.). Przy tak dużej ilości zmieniających się informacji śledzenie negatywnych scenariuszy i zapobieganie im jest podstawowym zadaniem bezpieczeństwa informacji.

Jakich środków bezpieczeństwa informacji używają specjaliści?

Przyjęło się wyróżniać kilka rodzajów środków zapewniania bezpieczeństwa informacji. Każdy z nich chroni we własnym obszarze odpowiedzialności. Nie można jednak powiedzieć, że zastosowanie jednego z nich wystarczy, aby zapobiec potencjalnym ryzykom i je wyeliminować. Jedną z głównych zasad ochrony jest kompleksowość. Im więcej środków firma lub osoba prywatna włączy do swojego systemu bezpieczeństwa, tym bardziej niezawodna będzie cała ochrona.

Środki bezpieczeństwa informacji dzielą się na:

• prawne;

• moralno-etyczne;

• organizacyjno-administracyjne;

• fizyczne;

• sprzętowe;

• programowe;

• sztuczną inteligencję (AI).

Omówmy każdy z tych środków szczegółowo.

Prawne środki regulowania bezpieczeństwa informacji

Chodzi o tworzenie i dostosowywanie ram prawnych państwa, regulatorów międzynarodowych, instytucji itp. do potrzeb kompleksowego, skutecznego i zgodnego z prawem podejścia do bezpieczeństwa informacji. Dziś w obszar bezpieczeństwa informacji zaangażowanych jest wielu regulatorów, nawet takich, których działalność nie jest z nim bezpośrednio związana. Rada Bezpieczeństwa ONZ monitoruje agendę międzynarodową i może wydawać poszczególnym państwom rekomendacje dotyczące wdrażania systemów bezpieczeństwa informacji. Należą tu również międzynarodowe organizacje zajmujące się certyfikacją i standaryzacją produktów. Popularne są na przykład certyfikaty Międzynarodowego Konsorcjum ds. Certyfikacji Bezpieczeństwa Systemów Informatycznych (CISSP) oraz Międzynarodowej Organizacji Normalizacyjnej (ISO).

Moralne i etyczne środki regulowania bezpieczeństwa informacji

Do środków tych należą pisane (kodeksy etyki, regulaminy postępowania itp.) i niepisane (osobiste cechy moralne, wewnętrzne standardy uczciwości, patriotyzmu, poczucia obowiązku) normy regulujące zachowanie człowieka w danej sytuacji.

Organizacyjne i administracyjne środki regulowania bezpieczeństwa informacji

Organizacyjno-administracyjne środki ochrony informacji to działania porządkujące procesy, wykorzystanie zasobów ludzkich i materialnych oraz tworzenie schematu współpracy między wszystkimi uczestnikami systemu informacyjnego. Ich celem jest ustanowienie rozsądnych i zrozumiałych dla wszystkich zasad postępowania, które mają zapobiegać ryzykom dla bezpieczeństwa informacji. Przykładem takiego środka może być firmowa umowa o zachowaniu tajemnicy przedsiębiorstwa (uprzedzenie pracownika o odpowiedzialności za informacje, którymi dysponuje w zakresie swoich kompetencji).

Fizyczne środki regulowania bezpieczeństwa informacji

To realne, fizyczne przeciwdziałanie naruszeniom: montaż zamków, sejfów, systemów kontroli dostępu, monitoringu wizyjnego itp.

Sprzętowe środki regulowania bezpieczeństwa informacji

To etap pośredni między ochroną fizyczną a programową. Środki sprzętowe, podobnie jak programowe, stają się częścią systemu. Należą do nich narzędzia ochrony informacji głosowej (biały szum, dźwięk) oraz urządzenia elektroniczne ostrzegające o nieuprawnionym dostępie (identyfikatory USB, klucze elektroniczne, sprzętowe zapory sieciowe itp.). Stosuje się jednak także mechaniczne środki przeciwdziałania potencjalnym zagrożeniom — są to niezależne obiekty fizyczne, które można szybko usunąć z chronionego systemu.

Programowe środki regulowania bezpieczeństwa informacji

Programowe środki zapewniania bezpieczeństwa informacji służą realizacji następujących podstawowych funkcji: identyfikacji podmiotu, uwierzytelniania uczestnika systemu oraz szyfrowania i przetwarzania danych.

• Systemy DLP (Data Leak Prevention) zapobiegają wyciekom informacji poza firmę i monitorują personel pod kątem celowych lub nieumyślnych zachowań nielojalnych.  

• Przykładem takiego systemu jest Anexet od Scinero Software Limited. Jego zaletą jest bezpłatny 30-dniowy okres testowy. Szczegóły znajdziesz pod tym linkiem.
  Systemy SIEM (Security Information and Event Management). Jak sama nazwa wskazuje, to rozwiązanie programowe do analizy całej aktywności sieciowej i reagowania w czasie rzeczywistym na potencjalne zagrożenia i cyberataki.

• Kryptografia. To zestaw operacji szyfrowania tekstu, który pozwala przechowywać wszystkie informacje w systemie w zmienionej postaci. Dzięki kryptografii informacje poufne stają się niedostępne dla potencjalnych atakujących, ponieważ nie da się ich odczytać bez specjalnego klucza – deszyfratora. 

• Licencjonowane oprogramowanie antywirusowe. 

• Programowe zapory sieciowe, które działają jak filtr między globalną siecią a lokalną siecią firmy. Blokują ruch przychodzący zgodnie z wcześniej zdefiniowanymi regułami.

• Serwery proxy i sieci VPN. Te dwie technologie są podobne: obie mają zastąpić Twój adres IP własnym i zamaskować rzeczywisty ruch. Różnią się przede wszystkim kosztem wdrożenia i dostępnością szyfrowania (VPN). 

• AI w systemach bezpieczeństwa. W dzisiejszym świecie tempo, w jakim cyberprzestępcy uczą się i dostosowują do ciągle zmieniającego się otoczenia, znacznie przewyższa tempo tworzenia narzędzi do walki z nimi. Za wszystkimi zmianami może nadążyć wyłącznie samoucząca się, mobilna technologia, taka jak sztuczna inteligencja (AI). W ostatnich dwóch latach AI rozwija się błyskawicznie. Jeszcze niedawno była tylko narzędziem pomocniczym w ogólnym zestawie środków bezpieczeństwa informacji, a dziś jest pełnoprawnym środkiem przeciwdziałania wyciekom.

Problemy bezpieczeństwa informacji

Oczywiście tak zmienne środowisko jak informacja i jej ochrona wiąże się z szeregiem problemów. Porozmawiajmy o nich teraz.

• Nadmiar danych

Pierwszym problemem jest wzrost ilości danych, które trzeba chronić. Z roku na rok rośnie ilość wykorzystywanych informacji: zwiększa się objętość korespondencji biznesowej, komunikacji w mediach społecznościowych oraz liczba aplikacji i usług używanych niemal we wszystkich obszarach życia i pracy organizacji. Wzrost ten sięga rocznie setek procent. Oznacza to, że rośnie także ilość informacji wymagających ochrony. Narzędzia bezpieczeństwa informacji są do tego dostosowywane, ale ich adaptacja nie zawsze jest wprost proporcjonalna do przyrostu danych.

• Przepisy prawa

Dziś każde państwo, każda organizacja i każda osoba są z tym zadaniem pozostawione same sobie – muszą samodzielnie zadbać o bezpieczeństwo swojego otoczenia. W praktyce nie istnieje jedno podejście do bezpieczeństwa informacji, tak jak nie istnieje wspólne prawodawstwo, które mogłoby rozwiązać ten problem.

• Rozwój przestępczości

Wraz ze wzrostem ilości danych zwiększyła się też liczba sposobów na wyciek danych i złośliwe wtargnięcie. Przestępcy dostosowują się znacznie szybciej niż produkty. Weźmy AI: złośliwe programy oparte na tej technologii już istnieją.

Podsumowanie

Bezpieczeństwo informacji to zadanie złożone. Nie da się stworzyć działającego narzędzia bezpieczeństwa informacji bez uwzględnienia kompleksowości i wielowymiarowości tego zadania. Każdy podmiot — państwo, firma czy osoba prywatna — sam wybiera własną drogę do zapewnienia bezpieczeństwa informacji. Wszystkich łączy jednak jedno: w dzisiejszym świecie ta kwestia ma pierwszorzędne znaczenie i nikt nie może sobie pozwolić na jej ignorowanie.