Bezpieczenstwo w sieci bezsie

[ Pobierz całość w formacie PDF ]

nych działów. Informacje są zbierane za pośrednictwem serii wywiadów i rozmów,
których celem b�dzie określenie krytycznych zasobów informacyjnych firmy. Pierwsze
wywiady cz�sto wywołują kolejne spotkania, bo w miar� jak odkrywana jest struktura
przedsi�biorstwa, pojawiają si� wątki i zagadnienia, których wcześniej nie poruszano.
Jako wynik całej serii zabiegów powstaje lista krytycznych zasobów informacyjnych
i wspomniana już (b�dzie o niej mowa także w dalszej cz�ści rozdziału) matryca
krytyczności.
Matryca krytyczności jest tematem, który warto troch� lepiej poznać, gdyż to ona sta-
nie si� podstawą budowania polityki bezpieczeństwa. Matryca określa każdy zasób
informacyjny: ważne bazy danych, zródła informacji lub procesy i dokonuje ich kla-
syfikacji przy pomocy trzech czynników zwanych atrybutami wpływu. Oto one:
36 Bezpieczeństwo w sieci
Poufność co stanie si�, gdy dany zasób zostanie ujawniony nieodpowiednim
osobom?
Integralność co stanie si�, gdy informacja zostanie w jakiś sposób uszkodzona
lub zmodyfikowana?
Dostępność co stanie si�, gdy zasób b�dzie przez pewien czas niedost�pny?
Każdemu z tych atrybutów przydziela si� pewną wartość wpływu, która wskazuje na
jego wag�. Cz�sto wartość określana jest trójstopniowo: niska, średnia i wysoka. De-
finicja poszczególnych wartości wpływu zależy głównie od rodzaju przedsi�biorstwa
i prowadzonej działalności. Może na przykład wyglądać jak ta poniżej:
Niska (N) niedogodność i kłopot dla klientów firmy. Straty finansowe
z powodu zaburzenia działalności firmy są minimalne. Ryzyko ogólnego
pogorszenia relacji z klientami jest niskie.
Zrednia (Z) firma X może nie wywiązać si� z przyj�tych zobowiązań.
Możliwe jest wszcz�cie przeciwko niej post�powań sądowych, które na tak
ograniczonym rynku mogą spowodować czasową utrat� konkurencyjności.
Wysoka (W) sprawy sądowe w toku. Duże straty finansowe firmy. Umowy
zerwane. Wynikiem ostatecznym jest całkowita utrata konkurencyjności
i zastopowanie działalności firmy.
Matryca krytyczności to tabela, w której wyszczególniono istotne zasoby i przypo-
rządkowano im pewne wartości zgodnie z kryteriami zaprezentowanymi powyżej.
Taka przykładowa matryca została zaprezentowana w tabeli 2.1.
Tabela 2.1. Prosta przykładowa matryca krytyczności
Zasoby krytyczne Poufność Integralność Dostępność
Baza zawierająca dane dotyczące klientów firmy W W N
Lista płac N Z N
W matrycy z powyższej tabeli uwzgl�dniono dwa zasoby: baz� danych o klientach i list�
płac. Przyporządkowane zasobom wartości wpływu pokazują, że jeżeli baza zawiera-
jąca dane o klientach zostanie ujawniona (na przykład trafi do konkurencji lub do
szerszego grona osób nieuprawnionych), to b�dzie to miało bardzo duży wpływ na
działalność firmy (z punktu widzenia poufności). Jeśli baza zostanie w jakiś sposób
uszkodzona, także b�dzie to związane z wysokim wpływem na codzienną działalność
firmy (z perspektywy integralności), bo być może jest ona wykorzystywana podczas
sprzedaży produktów przedsi�biorstwa. Jeżeli baza danych stanie si� przez pewien czas
niedost�pna, wpływ na działalność firmy b�dzie stosunkowo niski (patrząc z punktu
widzenia atrybutu dost�pności), dlatego że wgląd w dane klientów nie jest niezb�dny
przez cały czas. Matryca krytyczności może wspomóc twórców polityki bezpieczeń-
stwa w procesie decyzyjnym podczas przydzielania właściwego poziomu zabezpie-
czenia poszczególnym zasobom firmy i przekłada si� bezpośrednio na środki wdraża-
ne przez pracowników działu IT.
Rozdział 2. f& Tworzenie bezpiecznej infrastruktury sieciowej 37
Przeczytaj jeszcze raz ostatnie zdanie wcześniejszego akapitu, bo mówi ono o tym, że
niewielka tabela w dokumencie, którym może wcale si� nie interesujesz, może bezpo-
średnio wpłynąć na twoje poczynania. Konieczność dost�pu do bazy danych o klien-
tach może na przykład wymagać zastosowania metod silnego uwierzytelniania takich,
jak tokeny czy karty mikroprocesorowe (tzw. smart cards), szyfrowania transmisji
w sieci VPN, cz�stej konieczności sporządzania kopii bezpieczeństwa czy nawet dro-
gich macierzy RAID (które zapewnią zachowanie integralności), ale nie usprawiedli-
wi nadmiarowych klastrów bazy, bo tak naprawd� to nie dyspozycyjność jest tu naj-
ważniejsza. Zwróć uwag� to wszystko, o czym była mowa w tym podrozdziale,
naprawd� jest ważne!
Tworzenie polityki
Przeszedłeś już przez faz� oceny, w trakcie której udzieliłeś odpowiedniego wsparcia
grupie konsultantów. Zespół dokonujący oceny stworzył matryc� krytyczności, która
właściwie definiuje stosunek do istotnych zasobów firmy. Nast�pnym zadaniem b�-
dzie stworzenie polityki bezpieczeństwa określającej, w jaki sposób wybrane zasoby
powinny być ochraniane. Trzeba pami�tać, że dokument, w którym nakreślono zasady
polityki bezpieczeństwa, ma sporą wag�. Podobnie jak dokumenty z fazy oceny
w dużym stopniu wpływa on na poziom i standard zastosowanych pózniej środków
bezpieczeństwa.
Polityka bezpieczeństwa określa zasoby, które powinny być zabezpieczone nie
wskazuje na zastosowanie konkretnych metod. Polityka może mówić o konieczności
zastosowania szyfrowania informacji krytycznych, ale nie dowiesz si� z niej, czy do
szyfrowania masz wykorzystać algorytm TripleDES czy IDEA. Nie dowiesz si� tak-
że, z którego oprogramowania masz skorzystać i nie uzyskasz informacji o sposobie
implementacji szyfrowania. Takich informacji nie uwzgl�dnia si� w polityce bezpie-
czeństwa, gdyż w przypadku zmiany stosowanej w firmie technologii całą polityk� [ Pobierz całość w formacie PDF ]

Tematy