prez14.ppt
- 1. Securitatea IT • Ce vă aşteaptă 1. Introducere 2. Riscuri şi măsuri de prevenire a) Manipularea calculatorului b) Spionajul calculatorului c) Sabotajul calculatorului d) Rezultate dependente de anumite situaţii e) Catastrofe f) Analiza riscurilor g) Concepul siguranţă 3. IT în administraţia federală
- 2. Securitatea IT • Ce este securitatea IT? Securitatea IT = totalitatea măsurilor împotriva posibilelor ameninţări
- 3. Securitatea IT • Scopuri de protecţie a securităţii IT – Confidenţialitate împortiva accesului nepermis/abuziv la date sensibile ale personalului (BDSG, VS-DV) • Exemplu: date militare, de la poliţie sau medicale • Spionajul calculatorului • Hacking
- 4. Securitatea IT • Scopuri de protecţie a securităţii IT – Integritate în cazul unor schimbări nepermise, ştergerea datelor şi programelor la introducere, prelucrare, transmitere şi emitere • Exemplu: sisteme de calcul, sisteme pt. bănci şi procese HKR – Manipulări ale calculatorului – Înşelăciuni
- 5. Securitatea IT • Scopuri de protecţie a securităţii IT Asigurarea accesibilităţii împotriva întreruperilor prelucrării datelor prin: căderea sistemului hardware, probleme în transmisie, catastrofe, comenzi greşite Exemplu: siguranţă la zbor,control tip semafor, semnal pt. baza de date Sabotajul calculatorului
- 6. Securitatea IT • Prevenirea spionajului calculatorului – Control de acces în clădiri şi la instrumente – Controlul utilizatorilor prin parolă, carduri magnetice sau procese biometrice – Control al dreptului de acces – Folosirea software-ului de siguranţă – Parole cu un ciclu obligatoriu de schimbare, valoare minimă, închidere automată după un anumit număr de încercări
- 7. Siguranţa IT • Prevenirea spionajului calculatorului II – Protocolarea completă a domeniilor sensibile – Folosirea sistemelor automate de reapelare – Folosirea unui software de încredere – Criptarea în cazul salvării sau transmiterii datelor – Folosirea instrumentelor TEMPEST – Măsuri de control ale personalului
- 8. Siguranţa IT • Măsuri împotriva manipulării calculatoarelor – Separarea funcţiilor (programe de sistem şi pt. utilizator, strângerea datelor, utilizatorul) – Verificare perfectă a corectitudinii şi măsurii în care este completă (control pt. plauzibilitate şi a sumelor de control) – Folosirea doar a unor programe verificate – Eşantioane, principiul celor 4 ochi, protocolare perfectă
- 9. Securitatea IT • Măsuri împotriva sabotajului calculatoarelor 1. Protecţia obiectelor Reglementări organizatorice Zone de siguranţă controlate Senzori de mişcare Camere de filmat 2. Supraveghere şi control Personal Folosirea fişierelor cu log şi a manualelor despre probleme Asigurarea regulată a datelor Software de siguranţă
- 10. Securitatea IT • Măsuri împotriva căderilor – Întreţinere prevăzătoare – Sfătuirea în cazul schimbării unor instrumente – Instrumente de rezervă redundante – Instalarea unui Back-up-RZ – Alimentare cu curent fără întrerupere – Pregătirea angajaţilor, exerciţii – Planuri pt asemenea situaţii
- 11. Securitatea IT • Măsuri împotriva catastrofelor (pt. limitarea pagubelor) – Mecanisme de siguranţă construite (atenţionare la fum, foc, apă) – Sisteme de stingere automate – Arhivă pt. securitatea datelor – Exerciţii de reîncepere – Centre de calcul suplinitoare – Plan pregătit pt. catastrofe – Pregătirea angajaţilor
- 12. Securitatea IT • Analiza riscurilor – Evaluarea /prezentarea tuturor valorilor legate de aplicaţie – Evaluarea /prezentarea riscurilor şi ameninţărilor posibile – Evaluarea /prezentarea costurilor în cazul distrugerii – Prezentarea costurilor măsurilor de evitare/micşorare a riscurilor – Stabilirea măsurilor de siguranţă care pot fi finanţate – Stabilirea riscurilor rămase
- 13. Securitatea IT • Analiza riscurilor II – Rezultat: • Catalog cu măsurile de securitate şi definiţia riscurilor neacoperite – Problemă: • Nu sunt cunoscute statistici despre frecvenţa pagubelor • Multe pagube nu se pot măsura • Cheltuială imensă, trebuie realizată pt. fiecare proces (grupă)
- 14. Securitatea IT • Conceptul de securitate • Analiza tuturor măsurilor parţiale de securitate din domeniile: – Infrastructură – Hardware – Software, date – Organizare – Personal Şi împletirea lor în asigurarea securităţii generale (problema om-tehnică)
- 15. Securitatea IT • Baze pt. securitate • Aici se găsesc următoarele – Posibilitatea ca riscul să apară trebuie minimalizată – Evenimente care au dus la deteriorarea sau falsificarea unor părţi IT, sau care au dus la pierderi trebuie să poată fi recunoscute pe termen lung – Reconstrucţia unor părţi IT trebuie să fie posibilă pe baza unor documente şi protocoale disponibile
- 16. Securitatea IT • Baze pt. securitate – Părţile IT a căror distrugere, falsificare sau pierdere este reversibilă fără efecte secundare trebuie refăcute. Refacerea trebuie protocolată/înregistrată perfect – Măsurile de securitate trebuie să fie suficiente prevederilor de economicitate şi conformitate – Măsurile de securitate trebuie să fie eficiente
- 17. Securitatea IT • Deficienţe care reapar II – Planificarea, conceptul – Pregătirea pt catastrofe, back-up, repornire – Organizare, personal – Securitatea obiectelor, infrastructură – Securitatea datelor, arhive – Strângerea datelor, transportul datelor – Software life-cycle – Funcţionarea sistemului, operating – Controale, revizii
- 18. Securitatea IT • Organizare, personal – Înţelegerea între utilizatori şi operatori – Lipseşte controlul eficienţei măsurilor de securitate – Măsurile de siguranţă nu sunt aplicate în întregime în practică – Nu este definită responsabilitatea pt. securitate în general – Pregătire insuficientă (suprasolicitare, nemulţumire) – Suprapunerea funcţiilor, lipsa principiului celor 4 ochi
- 19. Securitatea IT • Software-ul life-cycle – În lanţ: în analiza sistemului şi a sarcinii, îngrijirea programării, testării, operării şi întreţinerii există adesea lipsuri grave – Testele lipsesc, sunt incomplete sau cu date extreme – Programele nu sunt preluate şi eliberate – Nu există un control al versiunilor – Codurile sursă nu sunt protejate – Nu există asigurarea calităţii software-ului
- 20. Securitatea IT • Securitatea datelor – Lipseşte conceptul de securitate a datelor (ce date, când, de la cine, în ce fel) – Nu este îndeplinit principiul de securitate a celor 3 generaţii – Nu este testată actualitatea şi nici măsura în care este completă – Nu există operare Closed Shop – Arhiva de siguranţă nu este separată de centrul de calcul – Probleme în cazul arhivării pe termen lung – Documentaţiile nu sunt asigurate
- 21. Securitatea IT • Back-up, repornire – Nu există conceptul de back-up (contracte, înţelegeri, instrucţiuni de acţionare) – Nu sunt controlate actualitatea şi măsura în care sunt complete copiile de siguranţă – Nu există exerciţii de repornire (intern, extern) – Nu există înţelegere cu Telecom pt repornirea instalaţiilor DFU – Nu există o listă de priorităţi cu cele mai importante proceduri, fără o analiză a dependenţelor – Nu sunt definiţi timpii de reacţie care să corespundă cerinţelor
- 22. Securitatea IT • Infrastructură – Asigurarea de rezervă cu curent lipseşte sau este subdimensionată – Instalaţia de aer condiţionat lipseşte sau este subdimensionată – Lipsa protecţiei datelor VS – Distribuitoare, modemuri care au acces direct, transmisii neasigurate – Arhive neînchise – Maneta de siguranţă şi întrerupătorul sunt neasigurate şi pot fi accesate de oricine