Zagrożenia bezpieczeństwa informacji

Informacja otacza nas przez cały czas; jesteśmy zanurzeni w gęstej chmurze danych, która nieustannie się zmienia. Dane stały się cennym aktywem, źródłem władzy i bogactwa dla tych, którzy je posiadają. Ludzie zaczęli polować na informacje, a wraz z tym pojawiły się nowe źródła podatności – zagrożenia bezpieczeństwa informacji. Czym one są? Jak niebezpieczna może być informacja w niepowołanych rękach? Jakie są możliwości ochrony? Dowiesz się z naszego artykułu.

Pojęcia „bezpieczeństwo” i „zagrożenie informacyjne”

Zacznijmy od zdefiniowania podstawowych pojęć: informacja, zagrożenie i bezpieczeństwo — co dokładnie oznaczają.

Informacja to zbiór danych o wybranym przedmiocie, zjawisku, procesie, obiekcie społecznym itp., które pozwalają go scharakteryzować. Wartości informacji nie da się zmierzyć — te same dane mogą mieć różną wartość dla różnych członków społeczeństwa. Jedno pozostaje jednak wspólne dla wszystkich: informacja zawsze ma swoją wartość.

Zagrożenie to każde umyślne lub nieumyślne oddziaływanie na informację, którego celem jest jej pozyskanie i wykorzystanie na szkodę podmiotu informacji.

Bezpieczeństwo to podstawowe pojęcie opisujące ochronę dowolnego podmiotu (osoby, organizacji, państwa) przed zagrożeniami.

Ogólna sytuacja w obszarze zagrożeń bezpieczeństwa informacji

Zestaw działań z zakresu bezpieczeństwa informacji obejmuje kilka etapów, których celem jest zachowanie integralności systemu informacyjnego. Są to: działania prewencyjne (nastawione na uprzedzenie incydentów bezpieczeństwa informacji), identyfikacja i wykrywanie zagrożeń (ustalenie dokładnych parametrów niebezpiecznej sytuacji i wykrycie jej w systemie informacyjnym), lokalizacja zagrożeń (ograniczenie skutków działań przestępczych i usunięcie zaistniałej niebezpiecznej sytuacji) oraz minimalizacja następstw (działania przywracające integralność informacji i niezawodność systemu bezpieczeństwa informacji).

Trzeba pamiętać, że w razie incydentu bezpieczeństwa informacji liczy się każde z tych działań, a także kompleksowe i konsekwentne podejście do ich realizacji. Warto jednak przyznać, że zapobieganie incydentowi i ostrzeganie przed nim jest znacznie skuteczniejsze niż nawet najbardziej aktualny i nowoczesny program usuwania skutków. W bezpieczeństwie informacji obowiązuje ta sama zasada: „lepiej zapobiegać niż leczyć”.

Rodzaje zagrożeń bezpieczeństwa informacji

Zwyczajowo wyróżnia się trzy podstawowe rodzaje zagrożeń bezpieczeństwa informacji:

1. zagrożenia poufności;
2. zagrożenia integralności;
3. zagrożenia typu odmowa usługi.

Zagrożenia poufności to najbardziej typowe, można powiedzieć klasyczne, problemy bezpieczeństwa informacji. Sama natura informacji wymaga bowiem określenia zakresu dostępu do niej i wyznaczenia granic poufności. Zagrożenie poufności to pojawienie się możliwości nieautoryzowanego dostępu do informacji i jej wykorzystania.

Zagrożenia integralności to umyślne lub nieumyślne naruszenie spójności i autentyczności informacji, które ma uniemożliwić korzystanie z niej w pierwotnej postaci. Mogą polegać na oddziaływaniu na samą informację albo na infrastrukturę służącą do jej przechowywania i przesyłania.

Zagrożenia typu odmowa usługi – zakłócenie pracy systemu informacyjnego w celu uniemożliwienia dostępu do przechowywanych informacji.

Jakie rodzaje zagrożeń istnieją?

Zagrożeń bezpieczeństwa informacji jest bardzo wiele — dokładnie tyle, ile rodzajów informacji funkcjonuje dziś wokół nas.

• Zagrożenia według celu ataku:

• państwo;

• biznes;

• osoby prywatne.

Według rodzaju zamiaru:

• finansowe;

• reputacyjne;

• ujawnienie zamiarów.

Według źródła zagrożenia:

• poza systemem informacyjnym;

• wewnątrz systemu informacyjnego.

Według rodzaju szkody:

• ogólne;

• lokalne;

• prywatne.

Według stopnia oddziaływania na system informacyjny:

• pasywne (struktura i zawartość systemu pozostają bez zmian);

• aktywne (struktura i zawartość systemu ulegają zmianie).

Grupy zagrożeń bezpieczeństwa informacji:

• technogeniczne;

• antropogeniczne;

• naturalne.

Zagrożenia według kierunku oddziaływania

Przyjrzyjmy się bliżej zagrożeniom bezpieczeństwa informacji dla państwa. Podmiotem informacji jest tu państwo jako dysponent danych poufnych. Z punktu widzenia oszustów działających w sferze informacyjnej nie jest to najbardziej oczywisty cel. Państwo tworzy bowiem mnóstwo instytucji zapewniających spójność i funkcjonowanie tego organizmu politycznego: placówki ochrony zdrowia i obiekty logistyczne, instytucje edukacyjne, media, organy ustawodawcze i wykonawcze, ośrodki informacyjne i wiele innych. Innymi słowy, celem ataku staje się każda instytucja, której informacje mogą zagrozić konstytucyjnym prawom i wolnościom obywateli, realizacji polityki państwa, infrastrukturze państwowej albo państwowym sieciom i systemom informacyjnym.

Bezpieczeństwo informacji to ważny element kompleksowej strategii bezpieczeństwa narodowego. Obejmuje ona również bezpieczeństwo:

• technologiczne;

• produkcyjne;

• walutowo-kredytowe;

• surowcowe;

• energetyczne;

• ekologiczne;

• informacyjne;

• żywnościowe.

Aby realizować politykę państwa w zakresie bezpieczeństwa przestrzeni informacyjnej, trzeba uwzględnić potencjalne zagrożenia i wypracować strategiczne podejście do bezpieczeństwa informacji. Obejmuje ono tworzenie i egzekwowanie wymogów ustawowych i administracyjnych, wspieranie międzynarodowych i krajowych standardów polityki bezpieczeństwa informacji, zapewnienie zaplecza technicznego i technologicznego dla podejmowanych działań oraz prowadzenie szkoleń i programów uświadamiających dla obywateli.

Główne zagrożenia bezpieczeństwa informacji dla państwa:

• wojna informacyjna;

• cyberataki;

• cyberszpiegostwo;

• cyberprzestępczość;

• cyberterroryzm;

• ujawnienie tajemnicy państwowej i wyciek innych danych poufnych.

Głównym zadaniem państwa, będącego zarówno pierwszoplanowym celem zagrożeń informacyjnych, jak i głównym dostawcą narzędzi bezpieczeństwa informacji, jest szybkie wykrywanie zagrożeń dla kraju i reagowanie na nie, skuteczna ochrona granic informacyjnych oraz tworzenie infrastruktury przyjaznej narzędziom bezpieczeństwa informacji.  

Przy tworzeniu polityki bezpieczeństwa państwa uwzględnia się cztery istotne czynniki, które składają się na kompleksowy zestaw działań. Są to:

1. ustawowe umocowanie działań ochrony informacji dla wszystkich uczestników procesu;

2. przestrzeganie międzynarodowych i regionalnych standardów bezpieczeństwa informacji;

3. zapewnienie poszanowania praw i obowiązków wszystkich uczestników procesu;

4. stworzenie bezpiecznych ram systemu ochrony informacji w państwie.

Zagrożenia bezpieczeństwa informacji w przedsiębiorstwie

Firma dysponuje dużą ilością danych wrażliwych i jest łakomym kąskiem dla różnego rodzaju oszustów. Szczególne zainteresowanie wrogich stron budzą:

1. bazy danych i systemy przechowywania informacji;

2. system plików i jego zawartość;

3. hasła dostępu oraz dane uwierzytelniające i autoryzacyjne użytkowników;

4. własność intelektualna;

5. instrukcje i opisy unikatowych procesów technologicznych itp.

Sposoby pozyskania informacji poufnych w przedsiębiorstwie odpowiadają trzem podstawowym grupom zagrożeń bezpieczeństwa: antropogenicznym, technogenicznym i naturalnym.

Z praktycznego punktu widzenia głównymi zagrożeniami bezpieczeństwa informacji na każdym szczeblu przedsiębiorstwa mogą być:

• nieaktualne wersje oprogramowania i programów antywirusowych, korzystanie z nielicencjonowanego oprogramowania;

Wielokrotnie pisaliśmy o tym, jak ważne są terminowe aktualizacje oprogramowania. Najnowsze wersje uwzględniają aktualną wiedzę o zagrożeniach i ostrzegają przed potencjalnymi podatnościami.

• rezygnacja z różnicowania uprawnień dostępu pracowników do informacji;

Popularność zyskały modele Zero Trust, w których każdy uczestnik sieci traktowany jest jak potencjalne zagrożenie dla bezpieczeństwa informacji. To efekt rosnącej liczby usług zdalnych (magazyny w chmurze) oraz włączania do perymetru firmy stacji roboczych znajdujących się poza jej perymetrem bezpieczeństwa (praca zdalna).

• umyślne lub nieumyślne działania insiderów;

Chodzi o wyciek informacji z winy osób znajdujących się wewnątrz perymetru bezpieczeństwa organizacji. Nie zawsze jest to działanie celowe — często pracownicy nawet nie zdają sobie sprawy, że przekazują dane objęte zakazem. Aby przeciwdziałać takim zagrożeniom, trzeba częściej prowadzić w firmie szkolenia z zasad bezpieczeństwa informacji, zadbać o udokumentowanie praw, obowiązków i odpowiedzialności każdej osoby oraz wprowadzić reżim tajemnicy przedsiębiorstwa.

• korzystanie w pracy z prywatnych komunikatorów, serwisów społecznościowych i poczty elektronicznej;

Korzystanie z prywatnych kont w miejscu pracy to częsty problem pracodawców. Wpływa nie tylko na efektywność samego pracownika (według badania Microsoftu pracownicy rozpraszają się mediami społecznościowymi średnio co 10 minut czasu pracy), lecz także na ogólny poziom bezpieczeństwa. W prywatnej komunikacji czujność jest z reguły znacznie niższa, co prowadzi do wycieków wewnętrznych i przekazywania danych poufnych.

• niedbały stosunek do nośników informacji;

Konieczny jest zakaz używania prywatnych nośników danych i kopiowania na nie informacji.

• brak aktualizacji uprawnień dostępu do stacji roboczych.

To również częste zagrożenie. Działy bezpieczeństwa informacji nie zawsze na czas weryfikują konta pracowników. Zdarza się, że zwolniony pracownik łączy się zdalnie ze swoim komputerem, co może skończyć się wyciekiem informacji. Bywa też, że loginy i hasła pracowników nie są należycie chronione i każdy ma dostęp do stacji roboczej sąsiada.

Aby kontrolować pracowników i zwiększyć odporność całego systemu bezpieczeństwa informacji, warto sięgnąć po systemy Data Loss Prevention (DLP). Przykładem takiego rozwiązania jest Anexet. Szczegóły znajdziesz w prezentacji.

Zagrożenia dla informacji prywatnych

Zagrożenia o charakterze prywatnym w wielu punktach pokrywają się z zagrożeniami dla państwa czy biznesu. Należą do nich bezprawne pozyskiwanie, wykorzystywanie i handel informacjami poufnymi przez osoby trzecie.

Istotną różnicą w tej grupie zagrożeń jest sięganie po socjotechnikę — ofiarą oszustów jest bowiem konkretna osoba. Można wyliczyć jej punkty nacisku, zbudować i wykorzystać profil psychologiczny, śledzić przyzwyczajenia oraz rytm korzystania ze źródeł informacji i tak dalej.

Socjotechnika to zestaw technik wywierania presji psychologicznej i manipulowania innymi osobami dla własnej korzyści.

Do głównych technik socjotechnicznych należą:

• metody manipulowania emocjami;

Ta metoda wymaga wcześniejszego zbudowania profilu psychologicznego potencjalnej ofiary, zaplanowania wzorców jej zachowań i opracowania scenariuszy reakcji na te wzorce.

• presja i pośpiech;

Ta metoda jest bardzo popularna wśród współczesnych oszustów telefonicznych, ponieważ ma wywołać u ofiary z góry określoną reakcję. Ofiara musi zareagować na prośbę natychmiast, żeby nie zdążyła na czas przeanalizować swoich działań ani się nad nimi zastanowić.

• poszerzanie kręgu zaufania.

To kolejny sposób na zdobycie informacji poufnych bez włamania. Oszust zbliża się do przyszłej ofiary, buduje własny pozytywny wizerunek i wchodzi do jej najbliższego kręgu znajomych. Ta gra o zaufanie działa wtedy, gdy ofiara przestaje kontrolować swoje reakcje i się rozluźnia. Oszustowi pozostaje uzbroić się w cierpliwość i po prostu poczekać na właściwy moment.

Pamiętaj, że ochrona danych osobowych zawsze pozostaje w rękach samej osoby, której dane dotyczą — i to jej powinno najbardziej zależeć na bezpieczeństwie własnych informacji. Warto korzystać także z metod ochrony dostępnych w warunkach domowych.

Rodzaje zagrożeń bezpieczeństwa informacji według rodzaju zamiaru

Ze względu na zamiar sprawcy zagrożenia bezpieczeństwa informacji dzieli się zwykle na trzy typy: finansowe, reputacyjne oraz ujawnienie zamiarów.

Jak sama nazwa wskazuje, zagrożenia finansowe to potencjalne incydenty bezpieczeństwa informacji, które kończą się szkodą finansową po stronie poszkodowanego.

Na szkodę finansową składają się w tym przypadku:

1. straty wynikające z wyceny utraconych informacji;

2. koszty technologiczne i pracochłonność odtworzenia danych oraz infrastruktury (wydatki na sprzęt, opłaty za usługi towarzyszące, wynagrodzenia pracowników itp.);

3. odszkodowania dla poszkodowanych stron.

Szkoda reputacyjna to negatywne oddziaływanie o charakterze niematerialnym, które przejawia się w pogorszeniu relacji społecznych (spadek zaufania, niższe oceny itp.). Może dotknąć państwo, organizacje i osoby prywatne.

Zagrożenie ujawnieniem zamiarów to prawdopodobieństwo odkrycia potencjalnie cennych informacji o planowanych działaniach, których skutków nie da się jeszcze ocenić ani w kategoriach finansowych, ani reputacyjnych.

Zagrożenia bezpieczeństwa informacji według źródła zagrożenia

Zagrożenia bezpieczeństwa informacji dzieli się na pochodzące spoza systemu informacyjnego i powstające wewnątrz niego. Na zewnątrz źródłem zagrożeń bywają wrogie podmioty (konkurenci, oszuści, służby specjalne itp.), które korzystają z różnych narzędzi wtargnięcia (sprzętowych, programowych itd.). Za zewnętrzne źródła zagrożeń uznaje się również klęski żywiołowe i katastrofy.

Zagrożenia wewnątrz systemu informacyjnego pochodzą od jego uczestników (insiderów, nieuczciwych pracowników, problemów technicznych ze sprzętem itp.), przy czym ryzyko insiderskie uchodzi za najbardziej prawdopodobne wewnątrz systemu. Przyjrzyjmy się mu bliżej.

Kim są insiderzy

Insiderzy to główna kategoria ryzyka bezpieczeństwa wewnątrz perymetru systemu informacyjnego. Ryzyko to trudno oszacować, bo równie trudno je przewidzieć i mu zapobiec.

Za insiderów uznaje się uczestników wewnętrznego perymetru bezpieczeństwa informacji, którzy umyślnie lub nieumyślnie przekazują informacje poufne poza ten perymetr. To dość szeroka kategoria użytkowników, ponieważ na motywy ich działań wpływa wiele czynników — zarówno ukrytych, jak i oczywistych.

Należą do nich:

• chęć osiągnięcia osobistej korzyści;

Insider świadomie dopuszcza się nadużyć służbowych, ponieważ przynosi mu to korzyść finansową lub moralną.

• ciekawość;

Ten motyw budzi zwykła dociekliwość — chęć dotarcia do danych objętych ograniczeniami, żeby wzbogacić własne doświadczenie.

• brak motywu;

Dotyczy to obojętnych, nieuważnych pracowników, którzy z niechęci lub lenistwa wynoszą informacje poufne poza perymetr bezpieczeństwa.

• zemsta;

Zwykle chodzi o pracowników przed zwolnieniem albo o ukrytych agresorów w zespole. W takich przypadkach ich głównym celem jest wyrządzenie firmie jak największej szkody.

• problemy psychologiczne;

Każdy uczestnik perymetru bezpieczeństwa jest przede wszystkim człowiekiem z własnymi problemami psychologicznymi (osobistymi lub sprowokowanymi), które mogą wpływać na jego motywy.

• szantaż;

Celem takiego insidera jest zdobycie informacji poufnych, a następnie wykorzystanie ich do szantażu wewnątrz firmy (wobec pracowników, kierownictwa) albo poza nią.

• różnice polityczne lub ideologiczne;

To również bywa motywem wycieku danych z winy insidera.

• presja z zewnątrz.

Osoba znajdująca się wewnątrz perymetru bezpieczeństwa sama może stać się obiektem szantażu i żądań przekazania danych interesujących stronę zewnętrzną.

Czym insiderzy są cenni dla zainteresowanych stron:

1. Insider to uczestnik systemu bezpieczeństwa, który ma potrzebne kwalifikacje i dostęp do informacji poufnych.

2. Zajmowane stanowisko i kwalifikacje pozwalają mu nie tylko odnaleźć dane, lecz także bezpiecznie je wynieść i dostarczyć w oczekiwanej postaci.

3. Insider może odejść od planu, działać stosownie do sytuacji albo poczekać na dogodny moment na wtargnięcie. Przy działaniu z zewnątrz taki komfort jest znacznie mniej dostępny.

4. Insider potrafi przeciągnąć na swoją stronę innych pracowników i zbudować wokół siebie krąg osób podatnych na jego wpływ.

Przeciwdziałanie insiderom

Jak widać, po stronie insiderów stoi wiele atutów. Trudno ich zidentyfikować, są już wewnątrz systemu informacyjnego, potrafią działać w ukryciu, a ich prawdziwe motywy nie zawsze są jasne. Nie znaczy to jednak, że problem można zignorować i puścić sprawy na żywioł. Wykryć insidera i nie dopuścić do wycieku informacji pomaga cały zestaw działań.

• na etapie zatrudniania;

Pracodawca może ocenić kandydata już na etapie rozmowy kwalifikacyjnej: sprawdzić jego stabilność psychiczną i motywację, poprosić o informacje od poprzednich pracodawców, zweryfikować karalność i tak dalej. Nawet taki zestaw działań odsieje najbardziej aktywnych i obiecujących potencjalnych insiderów.

• w trakcie zatrudnienia.

Po formalnym zatrudnieniu nie wolno zaniedbywać ani nowego pracownika, ani całego zespołu. Potencjalny insider może bowiem nabrać motywacji dopiero w trakcie wykonywania obowiązków albo od początku być w organizacji «wtyczką». Dział HR i służby bezpieczeństwa mogą podjąć następujące działania:

• edukacyjne (informowanie pracowników o prawach i obowiązkach związanych z zachowaniem informacji wewnątrz perymetru oraz o konsekwencjach działań bezprawnych);

• testy psychologiczne i ankiety (badania i testy pomogą wskazać po pośrednich sygnałach pracowników niezadowolonych i niepewnych);

• dokumentowe (formalnie spisana polityka bezpieczeństwa informacji w firmie, wprowadzenie reżimu «tajemnicy przedsiębiorstwa»);

• sprzętowo-programowe (środki techniczne ograniczające dostęp do informacji, wdrożenie systemu uwierzytelniania pracowników, instalacja systemów DLP);

• na etapie zwolnienia. 

To równie ważny moment, ponieważ ten okres bywa najbardziej napięty w relacjach pracodawcy i pracownika. Trzeba udokumentować przekazanie informacji przez odchodzącą osobę, zwłaszcza poza system informacyjny, oraz zadbać o prawidłowe zakończenie stosunku pracy.

Więcej o tym, jak rozpoznać insidera, przeczytasz w naszym artykule.

Zagrożenia bezpieczeństwa informacji według rodzaju szkody i oddziaływania na system informacyjny

Zagrożenia bezpieczeństwa informacji klasyfikuje się według rodzaju wyrządzanej szkody:

•    ogólne (właściwe wszystkim podmiotom informacji);

•    lokalne (ograniczone terytorialnie lub do określonego rodzaju działalności);

•    prywatne (nastawione na bezpośredni nacisk na osobę prywatną, z uwzględnieniem indywidualnych cech potencjalnej ofiary).

Według stopnia oddziaływania na system informacyjny:

•    pasywne (struktura i zawartość systemu pozostają bez zmian);

•    aktywne (struktura i zawartość systemu ulegają zmianie).

Zagrożenia bezpieczeństwa informacji przez kanały nieautoryzowanego dostępu

Jednym z najbardziej niszczycielskich zagrożeń bezpieczeństwa informacji, jeśli chodzi o skalę zniszczeń i strat, są szkody wywołane nieautoryzowanym dostępem.

Nieautoryzowany dostęp to bezprawne wtargnięcie do systemu bezpieczeństwa informacji z pominięciem obowiązujących reguł ochrony. Wyróżnia się trzy jego rodzaje: osobowy (przez człowieka), sprzętowy (przez podłączenie specjalistycznego sprzętu) i programowy (z użyciem oprogramowania). Przyjrzyjmy się im bliżej.

Osobowe kanały nieautoryzowanego dostępu:

• przez nośniki informacji (kradzież, podrobienie);

• przez odczyt informacji ze źródeł wizualnych (zrzuty ekranu, zdjęcia i nagrania wideo, keyloggery);

• przez dokumenty (kradzież, kopiowanie);

• przez śledzenie wydruków.

Programowe kanały nieautoryzowanego dostępu:

• przez złośliwe oprogramowanie i zainfekowane treści (wirusy, spam, oprogramowanie szpiegujące);

• przez dostęp do zarządzania kontami (IDM);

• ataki DDoS;

• ataki ukierunkowane;

• włamania na strony internetowe i konta w serwisach społecznościowych oraz przejęcie uprawnień administratora;

• urządzenia mobilne.

Sprzętowe (przez elektromagnetyczne, wibroakustyczne, wizualne i informacyjne kanały wycieku informacji).

Ryzyka a zagrożenia bezpieczeństwa informacji

Pojęcia z obszaru bezpieczeństwa informacji bywają traktowane jak synonimy: dane osobowe i informacje prywatne, ryzyka i zagrożenia, i tak dalej. Nie zawsze są jednak równoznaczne. O ile dane osobowe i informacje prywatne opisują w gruncie rzeczy ten sam rodzaj danych, tyle że z dwóch perspektyw, o tyle ryzyk i zagrożeń bezpieczeństwa informacji utożsamiać nie można. Oto dlaczego.

Ryzyka bezpieczeństwa informacji to zbiór negatywnych czynników, które mogą wpłynąć na integralność, dostępność i poufność informacji. Innymi słowy, jest to istniejąca, realna sytuacja. Zagrożenia z kolei to możliwości oddziaływania na informację przez podatności, które pojawiają się w systemie bezpieczeństwa. Na przykład: zagrożenie nieautoryzowanym dostępem do plików na komputerze, gdy powstaje luka w zabezpieczeniach (użytkownik nie wylogował się ze swojego profilu służbowego), zagrożenie zainfekowaniem złośliwym wirusem z powodu podatności oprogramowania (korzystanie z nielicencjonowanego oprogramowania na komputerach służbowych) i tak dalej.

Ryzyko bezpieczeństwa informacji można więc zdefiniować jako zrealizowane zagrożenia bezpieczeństwa informacji. Wzór na ryzyko wyglądałby wtedy tak:

Podsumowanie

Bezpieczeństwo informacji to szeroki temat, do którego trzeba podchodzić konsekwentnie i z namysłem. Informacja jest dziś cennym zasobem, który wymaga ochrony przed zagrożeniami wewnętrznymi i zewnętrznymi. Korzystaj ze wszystkich dostępnych środków ochrony i zadbaj o bezpieczny perymetr wokół swojego obiegu informacji. Efektów możesz nie odczuć od razu, ale wartość bezpieczeństwa informacji docenisz na pewno wtedy, gdy pojawi się ryzyko, a zagrożenia zaczną się materializować.