8,715 matches
-
provocate prin forță, pe ascuns, prin înșelătorie și prin diversiune. Totuși, putem să grupăm amenințările securității, prin prisma tematicii anunțate mai sus, după cum urmează: 1. pierderea echipamentelor și altor componente fizice; 2. respingerea serviciilor; 3. folosirea neautorizată a echipamentelor; 4. accesarea informațiilor secrete; 5. modificarea neautorizată a informațiilor; 6. pierderea informațiilor; 7. folosirea neautorizată a informațiilor; 8. aflarea neautorizată a secretelor privind softul; 9. modificarea neautorizată a programelor; 10. pierderea softului; 11. folosirea neautorizată a softului; 12. pierderea furniturilor; 13. crearea
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
pot servi persoanelor din afară pentru a obține anumite avantaje bănești sau pentru a provoca pierderi financiare firmei. Confidențialitatea înseamnă că există persoane interesate în aflarea unor informații secrete despre anumiți angajați ai firmei. În primul caz, al legalității, costul accesării neautorizate poate fi redat prin prisma a patru niveluri, astfel: Tabelul 1.19. Costurile accesării neautorizate sub aspect legal Din punct de vedere financiar, cele patru niveluri sunt redate mai jos, iar costul fișierului supus atacului se va determina prin
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
pierderi financiare firmei. Confidențialitatea înseamnă că există persoane interesate în aflarea unor informații secrete despre anumiți angajați ai firmei. În primul caz, al legalității, costul accesării neautorizate poate fi redat prin prisma a patru niveluri, astfel: Tabelul 1.19. Costurile accesării neautorizate sub aspect legal Din punct de vedere financiar, cele patru niveluri sunt redate mai jos, iar costul fișierului supus atacului se va determina prin înmulțirea factorului de multiplicare cu numărul de înregistrări aflate în pericol. Tabelul 1.20. Costurile
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
neautorizate sub aspect legal Din punct de vedere financiar, cele patru niveluri sunt redate mai jos, iar costul fișierului supus atacului se va determina prin înmulțirea factorului de multiplicare cu numărul de înregistrări aflate în pericol. Tabelul 1.20. Costurile accesării neautorizate din punct de vedere financiar Dezvăluirea caracterului confidențial al informațiilor poate fi cuantificat prin cinci niveluri, redate mai jos, iar valoarea totală a pierderilor pentru un anumit fișier se determină prin înmulțirea numărului de înregistrări posibile de accesat neautorizat
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
poate fi cuantificat prin cinci niveluri, redate mai jos, iar valoarea totală a pierderilor pentru un anumit fișier se determină prin înmulțirea numărului de înregistrări posibile de accesat neautorizat, ridicate la pătrat, cu multiplicatorul categoriei respective. Tabelul 1.21. Costurile accesării neautorizate din punctul de vedere al confidențialității informațiilor Modificarea neautorizată a informațiilor O astfel de amenințare se referă la posibilitatea angajaților de a modifica, în mod intenționat sau accidental, înregistrările unor fișiere. Costul estimat al pierderilor se determină prin evaluarea
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
categoriile de informații cu care se dă dreptul de a lucra. În SUA, dreptul de verificare a fișierelor cu amprente ale FBI este acordat doar pentru verificarea unor informații secrete, în timp ce o verificare de tip top secret dă dreptul de accesare a tuturor datelor despre locurile de muncă din ultimii cinci până la 15 ani. Pe linia accesului la unele categorii de informații, pentru exercitarea controlului lucrurile sunt mai clare: un oficial poate citi documentele dintr-o anumită categorie numai dacă el
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
de muncă din ultimii cinci până la 15 ani. Pe linia accesului la unele categorii de informații, pentru exercitarea controlului lucrurile sunt mai clare: un oficial poate citi documentele dintr-o anumită categorie numai dacă el are cel puțin împuternicirea de accesare a informațiilor din categoria respectivă sau dintr-una superioară. De exemplu, o persoană împuternicită să acceseze informații strict secrete poate citi informații confidențiale, secrete și strict secrete, iar unul cu drept de accesare a informațiilor secrete nu le poate accesa
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
dacă el are cel puțin împuternicirea de accesare a informațiilor din categoria respectivă sau dintr-una superioară. De exemplu, o persoană împuternicită să acceseze informații strict secrete poate citi informații confidențiale, secrete și strict secrete, iar unul cu drept de accesare a informațiilor secrete nu le poate accesa pe cele strict secrete. Regula este că informațiile pot circula doar în sus, de la confidențial la secret și strict secret, în timp ce invers, de sus în jos, pot circula doar dacă o persoană autorizată
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
sesizabile de echipamente, astfel încât să rezulte foarte clar din ce categorie fac parte informațiile prelucrate și la ce operațiuni pot fi supuse. Codul trebuie să fie una dintre primele informații ce vor fi oferite sistemului, astfel încât să nu fie posibilă accesarea altor date înainte de a se ști statutul lor. Codul poate fi ultimul caracter al numelui fișierului, iar caracterul utilizat să aibă valorile: S = special, C = confidențial, P = privat, R = cu restricții, N = neclasificate. Exemplu de nume de fișier: SALARIIC - ultimul
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
administrative, logice sau tehnice și fizice. Controalele administrative sunt exercitate prin politici și proceduri, instruire cu scop de conștientizare, verificări generale, verificări la locurile de muncă, verificarea pe timpul concediilor și o supraveghere exigentă. Controalele logice sau tehnice cuprind restricțiile de accesare a sistemului și măsurile prin care se asigură protecția informațiilor. Din această categorie fac parte sistemele de criptare, cardurile inteligente, listele de control al accesului și protocoalele de transmisie. Controalele fizice încorporează, în general, gărzile de protecție și pază, securitatea
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
exemplu, se poate folosi o listă de control al accesului subiecților la obiectele sistemului. Un astfel de tip de acces este folosit în situații locale, dinamice, în care se lasă la discreția subiecților specificarea tipurilor de resurse permise utilizatorilor pentru accesare. Când un utilizator, în condiții bine definite, are dreptul să modifice controlul accesului pentru anumite obiecte, se spune că este un control discreționar al accesului direcționat de către utilizator. Un control bazat pe identitate este alt tip al controlului discreționar al
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
identificarea și autentificarea persoanelor se efectuează prin analiza a patru elemente: 1. Ceva aflat în posesia persoanei. De regulă, persoana posedă lucruri, precum: chei, cartele magnetice, cartele speciale, echipamente de identificare personală și jetoane. Ele permit un prim pas în accesarea sistemului. Există marele pericol al pierderii lor sau al folosirii de către alte persoane. 2. Ceva care individualizează persoana. Identificările biometrice sunt o altă variantă de condiționare a accesului. Ele pot fi: amprentele degetelor, buzelor, semnătura, vocea, forma mâinii, imaginea retinei
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
pentru vizitatorii organizațiilor. Viitorul aparține cardurilor inteligente, însă mulți potențiali beneficiari spun: „Cardurile inteligente par a fi cea mai bună soluție pentru problema noastră. În schimb, le vrem mai performante pentru a răspunde la toate cerințele noastre”1. De asemenea, accesarea spațiului cibernetic cu ajutorul laptop-urilor și al PDA-urilor (Personal Digital Assistant) necesită noi tipuri de cartele pentru securizarea rețelelor fără fir (Wireless LAN - WLAN). Găsirea rapidă de soluții a condus la cuplarea forțelor unor foști competitori. Visa International și-
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
acest timp trebuie să se blocheze terminalul de la care s-au efectuat prea multe încercări eșuate. Repunerea lui în funcțiune stă la îndemâna conducătorului sistemului. În cazul sistemelor speciale, se recomandă și blocarea sălii sau a locului de unde s-a încercat accesarea prin parole eronate repetate, pentru identificarea persoanei respective; 9. odată ce au pătruns în sistem, utilizatorilor nu trebuie să li se permită să-și schimbe identitatea cu care au efectuat deschiderea sesiunii și nici să nu poată pătrunde în partițiile alocate
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
terminalul rămâne neutilizat, dar deschis, el trebuie să se închidă automat după un anumit interval de timp, de exemplu, zece minute; 11. la deschiderea unei noi sesiuni de lucru, utilizatorului trebuie să i se aducă la cunoștință ultimul timp de accesare a sistemului cu parola respectivă, pentru a se verifica dacă altcineva a folosit-o între timp. În cazul accesării bazelor de date deosebit de importante, cum sunt sistemele de operare, listele cu parole, se impune controlul dual al parolei, pe principiul
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
zece minute; 11. la deschiderea unei noi sesiuni de lucru, utilizatorului trebuie să i se aducă la cunoștință ultimul timp de accesare a sistemului cu parola respectivă, pentru a se verifica dacă altcineva a folosit-o între timp. În cazul accesării bazelor de date deosebit de importante, cum sunt sistemele de operare, listele cu parole, se impune controlul dual al parolei, pe principiul „niciodată singur”. Dar, cele două persoane nu trebuie să fie tot timpul aceleași și ambele să fie la fel de bune
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
se folosește conceptul de politica programului de securitate informațională. Ea este acoperișul sub care se vor realiza politici tehnice de securitate, standarde și norme de aplicare. Într-o unitate sunt necesare politici speciale pentru utilizarea Internetului și a e-mail-ului, pentru accesarea de la distanță a sistemului, pentru modurile de utilizare a unui sistem informatic, pentru protecția informațiilor ș.a. Așadar, se poate spune că printr-o politică a programului de securitate informațională se definește politica de ansamblu a organizației în acest domeniu, precum și
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
Politica accesului de la distanță Prin ea se definesc modalitățile de conectare de la distanță la rețeaua internă a organizației. Este necesară în organizațiile care au utilizatori și rețele dispersate geografic. Politica trebuie să răspundă următoarelor întrebări: • Cine poate să aibă dreptul accesării de la distanță? • Ce metode sunt acceptate de organizație (dial-up, modem)? • Este permis accesul din afară la rețeaua internă prin modem? • Se impun anumite condiții, cum ar fi soft antivirus și de securitate, pentru accesarea de la distanță? • Pot alți membri ai
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
întrebări: • Cine poate să aibă dreptul accesării de la distanță? • Ce metode sunt acceptate de organizație (dial-up, modem)? • Este permis accesul din afară la rețeaua internă prin modem? • Se impun anumite condiții, cum ar fi soft antivirus și de securitate, pentru accesarea de la distanță? • Pot alți membri ai familiei să acceseze rețeaua? • Sunt restricții privind tipul datelor ce pot fi accesate de la distanță? Politica protecției informațiilor Printr-o astfel de politică se aduc la cunoștința utilizatorilor condițiile prelucrării, stocării și transmiterii informațiilor
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
organizații să aibă scrisă o politică de securitate? • Trebuie ca fiecare organizație să aibă un firewall sau alte echipamente de securitate a perimetrului? • Cum se vor realiza comunicațiile (linie închiriată, VPN prin Internet ș.a.)? • Cum se vor formula cererile pentru accesarea resurselor partenerului? Politica managementului parolelor Deseori este inima politicilor de securitate dintr-o organizație. De regulă, ea reglementează problemele expirării parolelor, ale lungimii lor și altor verificări necesare. Iată câteva recomandări de surprins printr-o astfel de politică: • lungimea minimă
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
softul folosit pentru filtrare și blocare, cu scopul protejării organizației, dar și activitățile specifice permise, precum și cine sunt beneficiarii acestor drepturi de acces și cui i se interzic. Ea este bine să se refere și la metodele de autentificare înaintea accesării Internetului în afara organizației/țării pentru a preveni personalul că folosește rețeaua organizației în scopuri ilegale. Protocoalele specifice acoperite printr-o politică de utilizare a Internetului sunt următoarele: • Poșta electronică. Aceasta vizează toate formele de e-mail utilizate de o organizație, definindu
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
electronice. Infrastructura cheilor publice cuprinde certificatele digitale, autoritățile de certificare, autoritățile de înregistrare, politici și proceduri cu chei publice, revocarea certificatelor, nerepudierea, marcarea timpului, certificarea încrucișată, aplicații de securitate, LDAP (Lightweight Directory Access Protocol). LDAP oferă un format standard de accesare a directoarelor certificatelor. Aceste directoare sunt stocate pe serverele LDAP dintr-o rețea, serverele de pe aceste rețele oferind chei publice și certificate X.509 pentru companii. Certificatele cheilor publice pot fi eliberate în regim online sau offline. În sistem offline
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
nu va fi folosită și pentru persoane. Intrarea principală a acestora trebuie să dispună și de o așa-zisă „zonă tampon”, unde să aibă loc procedurile de control și acceptare a intrării în unitate. 3. Cheile, îndeosebi cele ce înlesnesc accesarea mai multor puncte de intrare, trebuie să fie tratate cu același interes ca și lucrurile sau informațiile protejate. Toate cheile se dau numai sub semnătură persoanelor ce le primesc, întocmindu-se, în același timp, și un registru special al posesorilor
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
sticlă, cărora li s-ar putea adăuga măsuri suplimentare (cadre metalice) de protecție. 5. Sălile cu calculatoare nu se recomandă să fie amplasate la demisolul clădirii. Locul ideal de amplasare începe cu parterul, el fiind cel mai lejer mod de accesare din punctul de vedere al personalului, dar și de eventualii intruși, motiv pentru care etajul 1 este cel mai sigur. 6. În interiorul centrului trebuie să se efectueze o judicioasă compartimentare a spațiului, nepermițându-se accesul direct al nici uneia dintre camere
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]
-
lor. Numerele unice de identificare înlesnesc tratarea diferențiată a perifericelor sau a celorlalte componente. De exemplu, terminalele amplasate în diverse locuri din unitate, pentru a veni în sprijinul oricărui utilizator comun al firmei, nu trebuie să aibă și dreptul de accesare a sistemului de operare al calculatorului central sau să restaureze date în scopul manipulării lor. De asemenea, imprimantele din diverse birouri nu pot folosi datele secrete care au un regim sever la tipărire. O măsură suplimentară de control va consta
Protecția și securitatea informațiilor by Dumitru Oprea () [Corola-publishinghouse/Science/2140_a_3465]