Mechanizmy zapewniania bezpieczeństwa systemów informacyjnych

W tym artykule przyjrzymy się głównym mechanizmom bezpieczeństwa systemów informacyjnych i wyjaśnimy, do czego są firmom potrzebne.

Zacznijmy od teorii.

System informacyjny (dalej — SI) to zestaw oprogramowania i sprzętu, a także procedur i metod przetwarzania informacji w przedsiębiorstwie. SI służy do gromadzenia, analizowania, przechowywania i przesyłania danych. Dobrze zaprojektowany SI pozwala firmom optymalizować procesy pracy i szybciej osiągać cele biznesowe.

Bezpieczeństwo informacji (dalej — IS) — to stan systemu informacyjnego, w którym zapewniona jest ochrona informacji chronionych przed nieuprawnionym dostępem w celu ich ujawnienia, wykorzystania, modyfikacji lub zniszczenia.

Aktywa informacyjne (dalej IA) to wszelkie informacje, które przedsiębiorstwo posiada, którymi zarządza lub które utrzymuje. Do aktywów informacyjnych zalicza się dokumentację, schematy, rysunki, obrazy, pliki wideo i audio, bazy danych, zasoby internetowe itp.

Mechanizmy zapewniania bezpieczeństwa systemów informacyjnych (dalej mechanizmy OBIS) — to zestaw środków sprzętowych, organizacyjnych i programowych, które służą utrzymaniu stabilności i bezpieczeństwa SI firmy.

Dlaczego należy chronić informacje?

Informacja to każda forma wiedzy, którą można wykorzystywać, przechowywać, przekształcać i przekazywać. Informacja należąca do osób prywatnych lub do firm może być cenna właśnie dlatego, że nie znają jej osoby trzecie, które mogłyby ją wykorzystać w złych zamiarach, dla własnego wzbogacenia się lub w celu uzyskania przewagi konkurencyjnej.

Każda wartościowa informacja należąca do firmy jest jej aktywem informacyjnym.

Informacje organizacji można podzielić w następujący sposób.

Klasyfikacja informacji w organizacji

• Publiczne. Dane, których nie trzeba chronić i których ujawnienie nie pociąga za sobą konsekwencji dla osoby fizycznej ani dla organizacji.
• Poufne. Informacje, których ujawnienie może spowodować szkody materialne, finansowe, wizerunkowe lub inne dla firmy albo zagrozić bezpieczeństwu osoby lub przedsiębiorstwa. Aby chronić informacje poufne, w firmie należy wprowadzić reżim tajemnicy przedsiębiorstwa.
• Chronione prawem. Należą do nich tajemnica państwowa, medyczna, służbowa, rodzinna i wojskowa oraz dane osobowe obywateli.

Aby ważne informacje nie trafiły w ręce osób niepowołanych, konieczne jest podjęcie działań ochronnych. Wyróżnia się następujące środki ochrony informacji w przedsiębiorstwie.

Organizacyjne (administracyjne). Opracowanie i wdrożenie polityki IS, praca nad wewnętrznymi regulaminami firmy, szkolenie personelu z podstaw IS.

Fizyczne. Ograniczenie fizycznego dostępu do miejsc przechowywania IA firmy: montaż drzwi, zamków, systemów monitoringu wideo i systemów alarmowych. Zagrożeniem dla danych są nie tylko ludzie, lecz także klęski żywiołowe. Aby chronić dane wrażliwe, należy stosować solidne sejfy i zainstalować czujniki przeciwpożarowe.

Sprzętowe. Zastosowanie urządzeń elektronicznych i elektromechanicznych.

Programowe. Oprogramowanie instalowane na serwerach i sprzęcie: systemy DLP, programy antywirusowe, systemy kontroli dostępu, zapory sieciowe, systemy SIEM itd.

Regulacje państwowe dotyczące ochrony informacji poufnych

Powszechnie znanym wśród specjalistów IS zestawem norm jest seria ISO/IEC. To do niej najczęściej sięgają eksperci, wdrażając mechanizmy OBIS w procesach wewnątrz przedsiębiorstwa.

• ISO/IEC 27001:2013 to najbardziej znana norma z tej serii. Opisuje kluczowe terminy i definicje oraz aspekty zarządzania IS, a także zawiera praktyczne wskazówki, jak zbudować skuteczny i trwały system IS.
• ISO/IEC 15408 — wykaz kryteriów oceny bezpieczeństwa technologii IT (na poziomie oprogramowania i sprzętu) oraz wymagań wobec funkcjonalności mechanizmów zabezpieczających. Dokument zawiera ponadto uzasadnienia zagrożeń, podstawowe polityki i wymagania.
• ISO/IEC 29100 — opisuje praktyki utrzymania IS oraz ogólne ramy ochrony prywatności.

Pełną listę norm międzynarodowych można znaleźć na oficjalnej stronie Międzynarodowej Organizacji Normalizacyjnej.

Poza ochroną informacji chronionych oraz tajemnicy państwowej, bankowej, medycznej i innych firmy muszą zorganizować bezpieczne zbieranie, przechowywanie i przesyłanie danych osobowych użytkowników — pracowników, klientów, partnerów, kontrahentów itd.

Termin dane osobowe (dalej "DO") oznacza wszelkie wrażliwe informacje o użytkowniku: adres faktyczny, adres zameldowania, miejsce pracy, dane o dochodach, numer telefonu, dane dokumentu tożsamości, dane bankowe, adres e-mail itd. Firmy, które przetwarzają dane osobowe, muszą wdrożyć zestaw środków gwarantujących, że informacje o użytkownikach nie trafią w ręce grup cyberprzestępczych.

W celu ochrony danych osobowych firmy są zobowiązane:

• zbierać informacje o użytkowniku wyłącznie za jego zgodą wyrażoną w formie pisemnej lub elektronicznej;
• obowiązkowo informować użytkowników o zbieraniu danych osobowych oraz o celach ich zbierania i przetwarzania;
• nie przekazywać danych osobowych użytkowników osobom trzecim;
• wdrożyć zestaw środków sprzętowych, technicznych i organizacyjnych, których celem jest minimalizacja ryzyka wycieku danych.

Spełnianie wymagań regulacyjnych jest weryfikowane podczas kontroli. Kontrole organów nadzoru mogą być planowe albo wszczynane w następstwie incydentów IS o dużej skali.

Aby zbudować stabilny i niezawodny SI przedsiębiorstwa, zaleca się instalację specjalistycznego oprogramowania: zapór sieciowych, programów antywirusowych, narzędzi wykrywania włamań, systemów zapobiegających wyciekom danych z winy użytkowników (systemy DLP) oraz systemów wykrywania incydentów IS (systemy SIEM).

Warto zaznaczyć, że każdy wdrażany produkt musi przejść obowiązkową certyfikację FSTEC. W przypadku braku certyfikacji oprogramowania organy nadzoru uznają zastosowane środki ochrony za nieważne.

Algorytm jednolitego mechanizmu zapewniania bezpieczeństwa SI

Aby chronić informacje wrażliwe, które nie są tajemnicą państwową ani danymi osobowymi, przedsiębiorstwo może wdrożyć zestaw środków dobranych do własnych celów IS, budżetu i możliwości. Można to zrobić własnymi siłami albo przy użyciu rozwiązań zintegrowanych, takich jak systemy SIEM i DLP. Wybierając rozwiązanie, warto ponadto uwzględnić, czy przedsiębiorstwo korzysta ze zautomatyzowanych systemów sterowania procesami technologicznymi (APCS), systemów CRM, różnego oprogramowania do automatyzacji obiegu dokumentów itp.

Niezależnie od wybranej strategii mechanizmy ochrony SI będą przy tym jednolite dla wszystkich przedsiębiorstw. Przykładowy algorytm wygląda następująco:

• audyt bieżącego stanu systemu IS;
• wyszukiwanie, wykrywanie i rejestrowanie podatności, audyt sieci i elementów infrastruktury;
• opracowanie, zatwierdzenie i wdrożenie polityki IS w pracy firmy;
• wdrożenie mechanizmów autoryzacji i uwierzytelniania; 
• wdrożenie mechanizmu rozgraniczenia dostępu; 
• stały monitoring stanu IS, wyszukiwanie, identyfikowanie i rejestrowanie incydentów IS, a także stworzenie listy zasad reagowania na nie;
• ochrona kanałów komunikacji, przez które użytkownicy zdalni łączą się z SI firmy;
• wprowadzenie kryptograficznych środków ochrony do pracy SI;
• Stała kontrola konfiguracji SI i zgodności jego komponentów.

Ważne: wdrażając mechanizmy OBIS, należy kierować się zasadą racjonalności. Oznacza to, że koszt wdrożenia ochrony danych nie powinien przewyższać ich wartości, a podjęte środki nie powinny obniżać efektywności procesów biznesowych.

Poniżej przyjrzymy się szczegółowo środkom ochrony SI przedsiębiorstwa.

Mechanizmy zapewniania bezpieczeństwa systemów informacyjnych

Przyjrzyjmy się najpopularniejszym środkom ochrony chronionych IA.

Kontrola dostępu (AC)

Kontrola dostępu to mechanizm, który pozwala zarządzać poziomami dostępu użytkowników do firmowych danych i zasobów.

Skuteczna kontrola dostępu pomaga:

• znacznie ograniczyć ryzyko wyprowadzenia IA ważnych dla firmy;
• spełniać wymagania regulacyjne i uniknąć kar.

Kontrolą dostępu zarządza się w trzech etapach.

• Pierwszy etap to identyfikacja i uwierzytelnienie użytkownika.
• Drugi etap — po autoryzacji system określa poziom dostępu do konkretnych IA, czyli to, jakie operacje użytkownik może wykonywać: pobieranie, modyfikowanie, usuwanie, odczyt itd.
• Trzeci etap — system przyznaje dostęp. W razie potrzeby można kontrolować dalszą pracę pracownika z poufnym plikiem.

Aby zminimalizować ryzyko wycieku IA przedsiębiorstwa z powodu czynnika ludzkiego, zaleca się audytowanie dostępu do danych poufnych co najmniej raz na 6 miesięcy.

Identyfikacja i uwierzytelnianie (IAF)

Identyfikacja określa, kim jest użytkownik, na przykład na podstawie nazwy konta lub identyfikatora osobistego.

Uwierzytelnianie to sposób, w jaki użytkownik potwierdza, że jest prawowitym właścicielem konta. Tożsamość ustala się za pomocą haseł, biometrii lub kodów zabezpieczających wysyłanych na zaufany numer telefonu. Aby ograniczyć ryzyko nieuprawnionego dostępu, zaleca się uwierzytelnianie wieloskładnikowe.

Proces identyfikacji i uwierzytelniania można scentralizować w obrębie jednego przedsiębiorstwa. W takim modelu użytkownicy otrzymują identyfikatory, którymi logują się od razu do kilku kont: serwisów, aplikacji, usług pocztowych i innych.

Dopiero po zidentyfikowaniu i uwierzytelnieniu użytkownik może uzyskać autoryzowany dostęp do SI przedsiębiorstwa i jego zasobów.

Ograniczenie środowiska programowego (SER)

Różne usługi, oprogramowanie i jego komponenty, których pracownicy nie używają do realizacji zadań służbowych, mogą zawierać podatności wykorzystywane przez atakujących do uzyskania nieuprawnionego dostępu do SI i jego zasobów. Dlatego przedsiębiorstwom zaleca się wdrożenie środków ograniczających środowisko programowe.

Proces SER obejmuje między innymi następujące operacje:

• regulowanie uruchamiania oprogramowania i jego komponentów (w tym podczas startu systemu operacyjnego) oraz konfiguracja parametrów uruchamiania;
• kontrola uruchomionego oprogramowania;
• regulowanie instalacji oprogramowania i jego komponentów;
• zarządzanie plikami tymczasowymi.

Różne skrypty, sterowniki, podsystemy, systemy plików, interfejsy, niektóre serwery WWW itp. mogą mieć funkcje zbędne lub zagrażające IS. Wyłączenie albo usunięcie wszystkich nieużywanych usług, systemów, serwisów, protokołów i funkcji potrafi znacząco obniżyć ryzyko cyberataków.

Audyt bezpieczeństwa

To ocena wskaźników stanu IS pod kątem zgodności z zatwierdzoną w przedsiębiorstwie polityką bezpieczeństwa. Celem audytu jest wykrycie podatności w systemie IS, ocena istniejących ryzyk i ich kategoryzacja oraz opracowanie zaleceń zmniejszających prawdopodobieństwo ich zmaterializowania się.

Na podstawie wyników audytu powstaje raport o bieżącym stanie systemu IS, wykrytych podatnościach i zaleceniach dotyczących ich usunięcia. Pozwala to kierownictwu organizacji podejmować świadome decyzje o ograniczaniu ryzyka i doskonaleniu mechanizmów ochrony.

Audyt obejmuje:

• obowiązującą politykę bezpieczeństwa;
• wdrożone procedury i ich skuteczność;
• stosowane techniczne środki ochrony — oprogramowanie antywirusowe, systemy zapobiegania włamaniom, zapory sieciowe itp.;
• wdrożone środki organizacyjne — uwierzytelnianie i identyfikacja, kontrola dostępu, szkolenie pracowników z podstaw IS itp.;
• potencjalne podatności i wynikające z nich ryzyka.

Audyt bezpieczeństwa można przeprowadzić własnymi siłami albo zlecić audytorom zewnętrznym. Wybór powinien zależeć od wielkości firmy i złożoności zadań stawianych przed systemem IS.

Ochrona antywirusowa (AVP)

Ochrona antywirusowa w kontekście utrzymania IS przedsiębiorstwa to zestaw środków i technologii służących do wykrywania, blokowania i usuwania złośliwego oprogramowania (wirusów, robaków, trojanów i innych) z urządzeń pracowników oraz wewnątrz sieci firmowej.

Wśród komponentów firmowej ochrony antywirusowej wyróżnia się między innymi następujące.

• Oprogramowanie antywirusowe.
• Regularna aktualizacja sygnatur, czyli bazy wirusów, aby programy antywirusowe wykrywały i usuwały złośliwe oprogramowanie na czas.
• Regularne skanowanie SI w poszukiwaniu nowych zagrożeń.
• Stały monitoring aktywności oprogramowania w celu wykrycia podejrzanych zachowań, które mogą wiązać się z działaniem wirusów lub innego złośliwego oprogramowania.
• Zapora sieciowa. Potrzebna do kontroli przychodzącego i wychodzącego ruchu sieciowego.
• Piaskownica. Odizolowane środowisko do uruchamiania podejrzanego oprogramowania i otwierania plików, które pozwala bezpiecznie zbadać ich zachowanie i wpływ na SI.

Ważne! Aby ochrona antywirusowa pozostawała skuteczna, trzeba na bieżąco aktualizować nie tylko oprogramowanie antywirusowe, lecz także wszystkie inne programy zainstalowane w SI. Wraz z nowymi funkcjami producenci usuwają też podatności wykryte między aktualizacjami.

System zapobiegania włamaniom (IPS)

System zapobiegania włamaniom to narzędzie bezpieczeństwa sieciowego, które w czasie rzeczywistym monitoruje sieć pod kątem złośliwej aktywności i podejmuje działania, aby jej zapobiec: powiadamia, blokuje lub usuwa ją, jeśli wystąpi. IPS może mieć postać urządzenia sprzętowego, pakietu oprogramowania albo obu tych rozwiązań jednocześnie.

Zazwyczaj IPS działa tak: jeśli nieuprawniony użytkownik uzyska dostęp do sieci, system rozpoznaje podejrzaną aktywność, zapisuje adres IP i reaguje na zagrożenie zgodnie z regułami wcześniej skonfigurowanymi przez administratora sieci.

Zapewnienie integralności (AI)

Organizacje przetwarzające dane osobowe i informacje wrażliwe są zobowiązane:

• kontrolować integralność DO oraz integralność oprogramowania chroniącego informacje;
• stworzyć warunki do utrzymania stabilności i możliwości odtworzenia oprogramowania w razie incydentów; 
• uregulować uprawnienia personelu do wprowadzania informacji do SI;
• kontrolować integralność, kompletność i poprawność informacji wprowadzanych do SI itd.

Zapewnienie dostępności (EA)

Firmy muszą:

• wprowadzić do pracy SI odporne na awarie środki techniczne;
• tworzyć kopie zapasowe chronionych danych;
• utrzymywać możliwość odtwarzania chronionych danych z nośników zapasowych itd.

Ochrona środków technicznych i systemów (PTS)

Organizacje przetwarzające informacje chronione muszą:

• podejmować działania chroniące dane przetwarzane przez środki techniczne;
• ograniczać dostęp do pomieszczeń, w których znajduje się sprzęt do przechowywania i przetwarzania chronionych danych;
• ograniczać ryzyko oddziaływania środowiska na środki techniczne itd.

Pełny wykaz wymagań FSTEC dotyczących zapewnienia integralności i dostępności danych oraz środków ochrony sprzętu technicznego znajduje się na oficjalnym portalu tej instytucji.

Ochrona systemu informacyjnego (zautomatyzowanego) i jego komponentów (ISP)

Zalecenia ISP zobowiązują firmy do tego, aby:

opracować i wdrożyć zasady oraz procedury ochrony danych; chronić perymetr SI przedsiębiorstwa; ograniczać dostęp do zakazanych zasobów internetowych; zabraniać nieuprawnionego podłączania urządzeń peryferyjnych; stosować zabezpieczenia sieci bezprzewodowych itd.

Pełny wykaz wymagań można znaleźć na stronie internetowej tej instytucji.

Planowanie zarządzania bezpieczeństwem (SMP)

SMP — to proces opracowywania i wdrażania strategii oraz taktyk utrzymania bezpieczeństwa w organizacji.

Kluczowe etapy SMP:

• analiza ryzyka, czyli identyfikacja potencjalnych zagrożeń i podatności, które mogą negatywnie wpłynąć na IS organizacji;
• opracowanie, wdrożenie lub aktualizacja zasad (polityk): czyli stworzenie dokumentu, który określa cele, zasady i wymagania w zakresie ochrony informacji wrażliwych;
• dobór metod i środków ochrony, np. montaż monitoringu wideo, zorganizowanie ochrony fizycznej, wdrożenie mechanizmów kontroli dostępu itp.;
• podział obowiązków i przydział zasobów.

Zarządzanie aktualizacjami oprogramowania (SUM)

Zarządzanie aktualizacjami oprogramowania — to proces regularnego aktualizowania oprogramowania na sprzęcie, serwerach i innych urządzeniach w SI.

SUM jest potrzebne do:

• usuwania podatności w celu ochrony przed cyberzagrożeniami;
• zwiększania odporności i wydajności SI;
• spełniania wymagań regulacyjnych; 
• zapewnienia poprawnego działania oprogramowania oraz wdrożonych mechanizmów i praktyk w ogóle.

Zarządzanie systemem SUM składa się z kilku etapów: zaplanowanie aktualizacji > pobranie aktualizacji na urządzenia > instalacja > testowanie > monitorowanie > wycofanie aktualizacji (w razie potrzeby).

Aby skutecznie zarządzać aktualizacjami, trzeba korzystać ze specjalistycznych narzędzi i rozwiązań.

Reagowanie na incydenty bezpieczeństwa (SIR)

Proces składa się z 3 etapów.

• Lokalizacja. Na etapie lokalizacji trzeba ustalić, gdzie doszło do incydentu i kto go zainicjował. Ważne jest również podjęcie działań powstrzymujących rozprzestrzenianie się incydentu.
• Ocena skutków i ich usunięcie. Każdy wpływ incydentu na SI firmy trzeba przeanalizować i zneutralizować.
• Analiza i rejestracja incydentu. Na podstawie zebranych danych osoba odpowiedzialna powinna podjąć działania usuwające pierwotne przyczyny incydentu.

Zapewnienie działań w sytuacjach awaryjnych (EAM)

To wykaz wymagań zapewniających bezpieczeństwo danych w sytuacjach nietypowych, który reguluje:

• algorytm reagowania w sytuacjach awaryjnych;
• zasady opracowywania planu działania na wypadek awarii;
• metody szkolenia personelu z zasad postępowania w sytuacjach awaryjnych itd.

Zgodnie z tym dokumentem firmy przetwarzające dane osobowe i poufne są zobowiązane:

• utworzyć zapasowe miejsca przechowywania i przetwarzania chronionych danych na wypadek incydentów;
• zapewnić stabilność i możliwość odtworzenia oprogramowania, środków technicznych i kanałów komunikacji w razie awarii i wypadków;
• analizować incydenty i podejmować działania ograniczające ryzyko ich wystąpienia itd.

Informowanie i szkolenie personelu

To zestaw działań, których celem jest podniesienie świadomości pracowników co do znaczenia IS oraz nauczenie ich prawidłowego korzystania z zasobów i mechanizmów SI, a także reagowania na incydenty. Proces informowania i szkolenia personelu bywa nazywany "sekurytyzacją" pracowników.

Wdrożenie mechanizmu informowania i szkolenia personelu pozwala znacząco ograniczyć ryzyko wyprowadzenia danych z winy pracowników.

Informowanie i szkolenie personelu obejmuje:

• prowadzenie różnego rodzaju seminariów, szkoleń i webinarów;
• rozpowszechnianie informacji o aktualnych zagrożeniach dowolnym wygodnym dla firmy kanałem (wysyłki przez usługi pocztowe, komunikatory);
• przeprowadzanie ćwiczeń utrwalających zdobyte umiejętności.

Podsumowanie

Wdrożenie mechanizmów zapewniania bezpieczeństwa systemów informacyjnych to dziś nie tylko konieczność — to bezpośredni obowiązek każdej organizacji, która przetwarza dane osobowe pracowników i klientów oraz informacje stanowiące tajemnicę przedsiębiorstwa.

Realizacja przewidzianych środków będzie weryfikowana podczas kontroli organów nadzoru. Jeśli infrastruktura IS firmy nie spełnia wymagań, organy nadzoru mogą nałożyć na firmę sankcje lub kary finansowe.