UNIVERSITATEA DIN BACU FA C U L T A T E A D E IN G I N E R I E

POPA SORIN EUGEN

SECURITATEA SISTEMELOR INFORMATICE

note de curs i aplicaii

pentru studenii Facultii de Inginerie

2007

Cuvnt nainte,

Cursul "Securitatea sistemelor informatice" se adreseaz

studenilor de la specializarea Tehnologia informaiei anul III. Cursul este structurat pe dou pri, prima de teorie conine 8

capitole referitoare la definiii, clasificri, proceduri, programe i sisteme de asigurare a securitii sistemelor informatice i a informaiilor i a doua parte conine 6 lucrri practice de laborator.

Partea teoretic ncepe cu noiuni generale privind securitatea

informaiilor, cu definirea noiunilor privind securitatea i prezentarea standardului de securitate ISO / IEC 17799.

n al doilea capitol se prezint clasificarea modern a informaiilor, criteriile de clasificare funcie de domeniul de activitate, principii de clasificare, declasificare i degradare a informaiilor.

Al treilea capitol trateaz aspecte privind accesul personalului n sistemele informatice, cu tipuri de control al accesului, metode de autentificare i identificare a utilizatorilor.

Capitolul patru, intitulat "Criptografia" trateaz aspecte ale metodelor de ascundere a informaiilor astfel nct acestea s fie accesibile doar destinatarului acestora. Se prezint definiiile de baz a criptografiei, steganografiei, filigranrii, principiile de criptare prin cheie public i prin cheie privat, noiuni privind semntura digital i a sistemelor de certificare a cheilor publice.

n al patrulea capitol, intitulat "Modele i programe de securitate", se prezint modelele de securitate multinivel i multilateral, precum i programe, politici, norme i standarde de securitate.

Capitolul ase face o introducere n securitatea reelelor de calculatoare, prezentndu-se principalele mecanisme utilizate n securitatea reelelor de calculatoare: DHCP, firewall, servere proxy, filtrele de pachete, precum i tehnica reelelor VPN.

Capitolul al aptelea prezint tehnici, servicii i soluii de securitate pentru Intranet-uri i portaluri, cu detalierea unor aspecte prinvind tehnicile de criptare i a funciilor folosite pentru transmiterea securizat a cheilor de criptare, autentificarea Kerberis 5, SSL/TTL, NTLM, SSH, S/MIME i prezentarea firewall-urilor.

Ultimul capitol, al optulea, prezint Strategii de securitate ale rzboiului informaional.

A doua parte a volumului conine ase lucrri practice de

laborator n care se vor experimenta i verifica noiunile i tehnicile de securitate predate n cadrul cursului.

Cele ase lucrri de laborator trateaz urmtoarele probleme: criptarea i steganografia, instalarea i configurarea firewall-urilor, instalarea i configurarea serverelor proxy sub Windows i sub Linux, realizarea unei reele VPN printr-un tunel OpenVPN.

Autorul

1. Noiuni privind securitatea informaiilor

1.1. Introducere Societatea mbrieaz din ce n ce mai mult tehnologia informaiei. Informaia

care pn nu de mult avea la baz hrtia, mbrac acum forma electronic. Informaia pe suport de hrtie mai este nc rezervat documentelor oficiale, acolo unde este necesar o semntur sau o stampil. Adoptarea semnturii electronice deschide ns perspectiva digitizrii complete a documentelor, cel puin din punct de vedere funcional.

Acest nou mod de lucru, n care calculatorul a devenit un instrument indispensabil i un mijloc de comunicare prin tehnologii precum pota electronic sau Internetul, atrage dup sine riscuri specifice. O gestiune corespunztoare a documentelor n format electronic face necesar implementarea unor msuri specifice. Msurile ar trebui s asigure protecia informaiilor mpotriva pierderii, distrugerii sau divulgrii neautorizate. Cel mai sensibil aspect este acela de a asigura securitatea informaiei gestionat de sistemele informatice n noul context tehnologic.

Securitatea informaiei este un concept mai larg care se refer la asigurarea integritii, confidenialitii i disponibilitii informaiei. Dinamica tehnologiei informaiei induce noi riscuri pentru care organizaiile trebuie s implementeze noi msuri de control. De exemplu, popularizarea unitilor de inscripionat CD-uri sau a memoriilor portabile de capacitate mare, induce riscuri de copiere neautorizat sau furt de date.

Lucrul n reea i conectarea la Internet induc i ele riscuri suplimentare, de acces neautorizat la date sau chiar frauda.

Dezvoltarea tehnologic a fost acompaniat i de soluii de securitate, productorii de echipamente i aplicaii incluznd metode tehnice de protecie din ce n ce mai performante. Totui, n timp ce n domeniul tehnologiilor informaionale schimbarea este exponenial, componenta uman rmne neschimbat. Asigurarea securitii informaiilor nu se poate realiza exclusiv prin msuri tehnice, fiind n principal o problem uman.

Majoritatea incidentelor de securitate sunt generate de o gestiune i organizare necorespunztoare, i mai puin din cauza unei deficiene a mecanismelor de securitate.

Este important ca organizaiile s contientizeze riscurile asociate cu utilizarea tehnologiei i gestionarea informaiilor i s abordeze pozitiv acest subiect printr-o contientizare n rndul angajailor a importanei securitii informaiilor, nelegerea tipologiei ameninrilor, riscurilor i vulnerabilitilor specifice mediilor informatizate i aplicarea practicilor de control.

Organizaia Internaionala pentru Standardizare (ISO) mpreuna cu Comisia Internaional Electrotehnic (IEC) alctuiesc un forum specializat pentru standardizare. Organismele naionale care sunt membre ale ISO i IEC particip la dezvoltarea standardelor internaionale prin intermediul comitetelor tehnice. Statele Unite ale Americii, prin Institutul Naional de Standardizare, ocup poziia de Secretar, 24 de ri au statut de Participani (Brazilia, Frana, Regatul Unit al Marii Britanii, Coreea, Cehia, Germania, Danemarca, Belgia, Portugalia, Japonia, Olanda, Irlanda, Norvegia, Africa de Sud, Australia, Canada, Finlanda, Suedia, Slovenia, Elveia, Noua Zeeland i Italia) i alte 40 de ri au statut de Observatori.

5

Securitatea sistemelor informatice Prin activitatea susinuta de Ministerul Comunicaiilor i Tehnologiei

Informaiei (MCTI) de adoptare la nivel naional a standardelor europene i internaionale recunoscute, standardul ISO/IEC 17799 - Tehnologia Informaiei Cod de bun practic pentru managementul securitii informaiei a fost adoptat i n Romnia de ctre Asociaia de Standardizare din Romnia (ASRO), din toamna anului 2004. Standardul este recunoscut n rezoluiile Consiliului Europei, implementarea acestuia la nivelul organizaiilor fiind opional.

1.2. Definirea noiunii de securitatea Informaiilor Ca i aciunile prin care o organizaie i apr angajaii i bunurile, securitatea

informaiilor este folosit n primul rnd pentru a oferi asigurri c drepturile care deriv din proprietatea intelectual sunt protejate n mod corespunztor.

Obiectivul principal al unui program pentru protecia informaiilor l reprezint asigurarea ncrederii partenerilor de afaceri, avantajul competitiv, conformitatea cu cerinele legale i maximizarea investiiilor.

Indiferent de forma pe care o mbrac, mijloacele prin care este memorat, transmis sau distribuit, informaia trebuie protejat.

ISO/IEC 17799 trateaz securitatea informaiilor prin prisma a trei elemente principale:

Confidenialitatea informaiile sunt accesibile doar persoanelor autorizate; Integritatea asigurarea acurateei i completitudinii metodelor prin care se

realizeaz prelucrarea informaiilor; Disponibilitatea utilizatorii autorizai au acces la informaii i la activele

asociate n momente oportune. Pentru a putea realiza un program de securitate eficient este nevoie de politici,

proceduri, practici, standarde, descrieri ale sarcinilor i responsabilitilor de serviciu, precum i de o arhitectur general a securitii.

Aceste controale trebuie implementate pentru a se atinge obiectivele specifice ale securitii i pe cele generale ale organizaiei.

Dependena din ce n ce mai mare de sistemele informaionale conduce la

creterea tipologiei vulnerabilitilor crora organizaiile trebuie s le fac fa. Mai mult, problema protecie trebuie s aib n vedere de multe ori interconectarea reelelor private cu serviciile publice. Dac la acest aspect mai adugam i problema partajrii informaiilor se contureaz un tablou destul de complicat n care implementarea unor controale eficiente devine o sarcin dificil pentru specialistul IT&C.

Multe din sistemele existente pe pia au fost proiectate dup metodologia structurat dar nu au avut ca principal obiectiv i asigurarea unui anumit grad de securitate pentru c la momentul respectiv tehnologia nu era att de dezvoltat i nici att de accesibil neiniiailor. Odat ns cu proliferarea Internetului ca i mijloc important al comunicrii moderne nevoia unor mecanisme de securitate proactiv a devenit o certitudine. n practic remarcm c multe instituii apeleaz la soluii tehnice externe care s le rezolve problemele de securitate fr a cuta s-i identifice nevoile i cerinele specifice.

Identificarea controalelor interne care s asigure un grad corespunztor de securitate activelor informaionale ale unei instituii presupune o planificare riguroas i identificarea exact a obiectivelor respectivei instituii. Pentru a fi ns eficiente aceste

6

Cap 1 - Noiuni privind securitatea informaiilor controale trebuie s aib n vedere pe toi angajaii i nu doar pe cei din compartimentul IT sau care au legtur direct cu acest domeniu.

Securitatea informaiilor nu este doar o problem tehnic. Ea este n primul rnd o problem managerial.

Standardul de securitate ISO/IEC 17799 rspunde nevoilor organizaiilor de orice tip, publice sau private, printr-o serie de practici de gestiune a securitii informaiilor.

Standardul poate fi folosit n funcie de gradul de expunere a fiecrei organizaii n parte, pentru a contientiza la nivelul conducerii aspectele legate de securitatea informaiei, sau pentru a crea o cultur organizaional n ceea ce privete securitatea informaiilor, sau pentru a obine certificarea sistemului de securitate.

Gradul de expunere a sistemelor informaionale variaz cu industria n care activeaz fiecare organizaie. Cu ct acest risc este mai mare, atenia care trebuie acordat securitii datelor ar trebui s fie mai mare.

Instituiile financiare, industria aprrii, aerospaial, industria tehnologiei informaiei, industria electronic sunt sectoarele cu cel mai mare grad de risc n ceea ce privete securitatea informaiilor. Tot n aceast categorie de risc ridicat intr i instituiile guvernamentale, motiv pentru care adoptarea unei culturi organizaionale pe baza standardului ISO/IEC 17799 are un rol fundamental.

Stabilirea cerinelor Este important ca fiecare organizaie s poat s-i identifice propriile cerine de

securitate. Pentru aceasta ea trebuie sa fac apel la trei surse principale: analiza riscurilor; legislaia existent; standardele i procedurile interne. Folosind o metodologie corespunztoare pentru a analiza riscurile organizaia i

poate identifica propriile cerine legate de securitate. Un astfel de proces presupune n general patru etape principale:

identificare activelor care trebuie protejate; identificarea riscurilor/ameninrilor specifice fiecrui activ; ierarhizarea riscurilor; identificarea controalelor prin care vor fi eliminate/diminuate riscurile Nu trebuie ns trecute cu vederea nici aspectele financiare. Fiind un obiectiv comun, dictat de cerinele de afacere, pentru c pn la urm

orice activitate derulat de o organizaie are o raiune economica, n implementarea unei arhitecturi de securitate trebuie puse n balan costurile i beneficiile.

Un mecanism de control nu trebuie s coste organizaia mai mult dect bunul ce trebuie protejat.

Stabilirea cerinelor de securitate, a msurilor necesare pentru a asigura nivelul de control dorit, are o component deseori subiectiv, fiind dificil de cuantificat n temeni monetari pierderea suferit n cazul unui incident de securitate. Aspectele intangibile precum alterarea imaginii organizaiei pe pia, credibilitatea n faa clienilor sau efectele indirecte ale unui incident de securitate major, sunt cel mai greu de apreciat. Aceasta este raiunea i pentru care adoptarea unor standarde i practici general acceptate, susinute de evaluri periodice independente este de recomandat.

7

Securitatea sistemelor informatice Acest proces nu este unul static, altfel spus trebuie avute n permanenta n

vedere schimbrile care intervin n viata organizaiei pentru a fi reflectate corespunztor n planul de securitate. Dac spre exemplu apare o modificare legislativ cu impact asupra instituiei, trebuie avut n vedere din nou modelul folosit pentru evaluarea riscurilor pentru a vedea dac acesta reflect riscurile aprute ca urmare a acestei modificri.

n acest sens, ISO/IEC 17799 propune o serie de obiective de securitate i controale din rndul crora profesionitii le pot selecta pe acelea care corespund afacerii n care funcioneaz. Pe de alt parte acest standard nu trebuie considerat un panaceu al securitii informaiilor att timp ct el ofer doar recomandri celor care rspund de implementarea i managementul unui sistem de securitate n cadrul unei organizaii.

De unde se ncepe Controalele interne pot fi considerate principiile care stau la baza implementrii

unui sistem de management al securitii. Chiar dac sursele unor astfel de msuri pot fi destul de variate, punctul de plecare ntr-un astfel de demers l reprezint legislaia aplicabil. Este foarte important ca cel care se ocup de implementarea unui sistem de management al securitii s aib cunotine despre actualele cerine legislative:

Legea nr. 161 din 19 aprilie 2003 privind unele masuri pentru asigurarea transparentei n exercitarea demnitarilor publice, a funciilor publice si n mediul de afaceri, prevenirea si sancionarea corupiei.

Legea nr. 506 din 17 noiembrie 2004 privind prelucrarea datelor cu caracter personal si protecia vieii private n sectorul comunicaiilor electronice.

Legea nr. 677 din 21 noiembrie 2001 pentru protecia persoanelor cu privire la prelucrarea datelor cu caracter personal si libera circulaie a acestor date.

Legea nr. 455 din 18 iulie 2001 privind semntura electronica. Legea nr. 544 din 12 octombrie 2001 privind liberul acces la informaiile de

interes public. Hotrrea nr. 1259 din 13 decembrie 2001 privind aprobarea Normelor

tehnice si metodologice pentru aplicarea Legii nr. 455-2001 privind semntura electronica.

Ordinul Avocatului Poporului nr. 52 din 18 aprilie 2002 privind aprobarea Cerinelor minime de securitate a prelucrrilor de date cu caracter personal.

Ordinul Avocatului Poporului nr. 53 din 18 aprilie 2002 privind aprobarea formularelor tipizate ale notificrilor prevzute de Legea nr. 677/2001 pentru protecia persoanelor cu privire la prelucrarea datelor cu caracter personal si libera circulaie a acestor date.

Ordinul Avocatului Poporului nr. 54 din 18 aprilie 2002 privind stabilirea unor situaii n care nu este necesara notificarea prelucrrii unor date cu caracter personal care cad sub incidenta Legii nr. 677/2001 pentru protecia persoanelor cu privire la prelucrarea datelor cu caracter personal si libera circulaie a acestor date.

Hotrrea nr. 781 din 25 iulie 2002 privind protecia informaiilor secrete de serviciu.

Legea nr. 182 din 12 aprilie 2002 privind protecia informaiilor clasificate.

8

Cap 1 - Noiuni privind securitatea informaiilor Pe lng legislaia intern trebuie avute n vedere i Conveniile internaionale i

Reglementrile comunitare semnate de Romnia sau n care Romnia este parte. Selectarea controalelor trebuie s in cont de specificul organizaiei. Nu toate

recomandrile pot fi aplicate, cum nu toate sunt justificate din punct de vedere al costurilor. Eficacitatea sistemului de securitate depinde de:

stabilirea unor obiective de securitate care s reflecte cerinele organizaiei; sprijinului conducerii; existena abilitilor necesare realizrii analizei riscurilor, a vulnerabilitilor

i a analizei de impact; instruirea angajailor; monitorizata controalelor implementate. ISO/IEC 17799 a fost dezvoltat ca punct de plecare n dezvoltarea unui sistem de

management al securitii specific fiecrei instituii n parte. De aici rezult caracterul su general, controalele prezentate n standard putnd fi luate ca exemple pentru situaii specifice fiecrei instituii n parte.

Primele dou seciuni ale standardului prezint Scopul respectiv Termeni i Definiii. Scopul standardului ISO/IEC 17799 stabilete rolul acestui document ca fiind un ghid pentru domeniul securitii informaionale.

Prin prezentarea Termenilor i Definiiilor din seciunea a doua, standardul asigur un limbaj comun pentru profesionitii domeniului. Urmtoarele seciuni prezint obiectivele de control i msurile prin care se pot atinge aceste obiective.

1.3. Seciunile standardului de securitate ISO / IEC 17799.

1.3.1. Politica de securitate Obiectivul politicii de securitate este s ofere managementului instituiei

sprijinul necesar asigurrii securitii informaiilor din cadrul organizaiei. Conducerea oricrei instituii trebuie s ofere suportul necesar prin elaborarea

unui document intitulat Politica de Securitate, document care trebuie adus la cunotin tuturor angajailor.

Fr un astfel de document exist riscul ca rolurile i responsabilitile relative la asigurarea securitii informaionale s fie greit nelese. Nedezvoltarea unui astfel de document i neaducerea la cunotina angajailor a politicii de securitate a companiei induce de cele mai multe ori o stare de superficialitate n tratarea acestor aspecte. Existenta unei viziuni clare a conducerii i o comunicare efectiv a acesteia ctre angajai este fundamental pentru asigurarea eficienei oricror proceduri i msuri de securitate specifice.

1.3.2. Organizarea securitii Organizarea securitii are ca obiectiv asigurarea unei administrri unitare n

cadrul organizaiei. Fiecare utilizator al sistemului informaional este responsabil cu asigurarea

securitii datelor pe care le manipuleaz. Existena unei structuri organizatorice unitare

9

Securitatea sistemelor informatice care s iniieze i s controleze implementarea mecanismelor de securitate n cadrul organizaiei, presupune un punct central de coordonare responsabil cu securitatea.

Rolul i atribuiile persoanei care ocup poziia de responsabil cu securitatea informaiilor se refer la coordonarea i urmrirea respectrii procedurilor i politicilor de securitate.

Organizarea securitii nu se limiteaz doar la personalul intern, trebuie avute n vedere i riscurile induse de teri sau subcontractori care au acces la sistemul informaional. Acest risc nu este deloc de neglijat, ultimele tendine ale pieei globale ne arat o reconsiderare a poziiei companiilor fa de externalizarea funciilor IT, tocmai datorit riscului mare indus de subcontractarea acestora.

Obiectivul organizrii securitii, aa cum este documentat n standard este i meninerea securitii tuturor facilitilor IT i activelor informaionale accesate de ctre tere persoane, fiind recomandat stabilirea unui proces prin care accesul terilor s fie controlat.

1.3.3. Clasificarea i controlul activelor Msurile de protecie sunt proiectate n funcie de gradul de senzitivitate, i de

semnificaia economic a resurselor vizate. Perimetrele n care sunt amplasate echipamentele de procesare, vor fi protejate cu bariere de acces suplimentare. La fel i telecomunicaiile cu un nivel ridicat de confidenialitate ar trebui criptate. Pentru a avea totui o abordare coerent asupra msurilor specifice de protecie, n funcie de gradul de senzitivitate al fiecrei resurse n parte se practic o clasificare a informaiilor.

Clasificarea informaiilor este necesar att pentru a permite alocarea resurselor necesare protejrii acestora, ct i pentru a determina pierderile poteniale care pot s apar ca urmare a modificrilor, pierderii/distrugerii sau divulgrii acestora.

Obiectivul clasificrii este crearea premizelor necesare asigurrii unei protecii corespunztoare valorii activelor instituiei. Toate activele organizaiei trebuie s aib asociat un proprietar. Politica de securitate trebuie s identifice angajaii cu rol de proprietar, custode, client, utilizator.

1.3.4. Securitatea personalului Cele mai multe incidente de securitate sunt generate de personal din interiorul

organizaiei, prin aciuni ru intenionate sau chiar erori sau neglijen n utilizarea resurselor informaionale.

Standardul ISO/IEC 17799 trateaz riscurile de natur uman ce pot fi induse din interiorul organizaiei prin msuri specifice precum includerea responsabilitilor legate de securitatea informaiilor n descrierea i sarcinile de serviciu ale postului, implementarea unor politici de verificare a angajailor, ncheierea unor acorduri de confidenialitate i prin clauze specifice n contractele de munc.

Securitatea informaiilor este un aspect ce trebuie avut n vedere nc din etapa de selecie a angajailor. Angajaii trebuie monitorizai pe ntreaga perioad de valabilitate a contractului de munc i trebuie s aib cunotin de prevederile politicilor de securitate. Clauzele de confidenialitate, definirea conflictelor de interese, distribuirea i divulgarea informaiilor trebuie avute n vedere pentru fiecare post n parte.

Pentru a evita neglijena sau greelile de operare, utilizatorii ar trebui informai cu privire la ameninrile la care sunt supuse informaiile manipulate. Instruirea ar

10

Cap 1 - Noiuni privind securitatea informaiilor trebui s ofere cunotinele necesare asigurrii securitii acestora n timpul programului normal de lucru.

Utilizatorii trebuie instruii cu privire la procedurile de securitate ce trebuie urmate i utilizarea facilitilor IT n conformitate cu politica organizaiei.

Ar trebui s existe un program coerent de instruire a angajailor pe diverse niveluri de interes, pe lng o instruire general n gestiunea securitii fiind necesare i specializri pentru administratorii sistemului informatic n tehnologii de securitate specifice.

Chiar dac securitatea unei anumite zone IT, cum ar fi securitatea reelei revine unei entiti externe, este o practic bun ca i n interiorul organizaiei s existe competenele i abilitatea de a evalua cum sunt satisfcute cerinele de securitate.

Instruirea este necesar i pentru a crea abilitatea de reacie la apariia unor incidente de securitate.

Raportarea incidentelor de securitate are ca obiectiv minimizarea efectelor negative sau a incorectei funcionri a echipamentelor. Monitorizarea unor astfel de incidente permite determinarea performantei sistemelor de securitate i mbuntirea continu.

Politicile i procedurile de securitate trebuie implementate astfel nct s asigure un rspuns consistent la astfel de incidente.

1.3.5. Securitatea fizic Delimitarea zonelor securizate are ca obiectiv prevenirea accesului neautorizat

sau afectarea facilitilor oferite de sistemul informaional. Aceasta seciune vizeaz mecanismele prin care se asigur securitatea fizic a

imobilului n care organizaia i desfoar activitatea. Alt aspect important al securitii fizice este cel legat de protecia

echipamentelor, prin prevenirea pierderii, distrugerii sau compromiterii funcionrii echipamentelor care pot afecta funcionarea organizaiei.

Echipamentele de calcul trebuie s fie protejate fizic mpotriva ameninrilor voite sau accidentale. n acest sens trebuie dezvoltate standarde i proceduri pentru securizarea att a serverelor, ct i a staiilor de lucru ale utilizatorilor.

Msurile de control al accesului, implementate la nivelul aplicaiei, bazelor de date sau reelei pot deveni inutile dac exist i o protecie fizic corespunztoare.

1.3.6. Managementul comunicaiilor i al operrii Operarea calculatoarelor trebuie s asigure funcionarea fr riscuri i n bune

condiii a resurselor organizaiei. Aceast funcie vizeaz att echipamentele i aplicaiile software, ct i celelalte elemente necesare procesrii informaiei i susinerii funciilor de afacere.

Practicile de control recomandate pentru asigurarea operrii de o manier corect i sigur, constau n documentarea procedurilor de operare, controlul modificrilor aduse sistemului informatic, att la nivel hardware ct i software, formalizarea tratrii incidentelor de securitate i separarea responsabilitilor.

Dinamica mediului informaional dat de schimbrile tehnologice continue ct i de apariia de noi cerine din partea afacerii supune sistemul informatic la noi dezvoltri. Dezvoltarea i testarea modificrilor aduse sistemului existent pot cauza probleme serioase operrii curente. Pentru a controla aceste riscuri sunt recomandate separri

11

Securitatea sistemelor informatice clare ale responsabilitilor ntre dezvoltare, testare i exploatare susinute i de o separare a mediilor folosite pentru aceste activiti.

Accesul programatorilor pe mediul de producie nu ar trebui permis, iar dac anumite situaii excepionale o cer, atunci ar trebui controlat ndeaproape.

Planificarea capacitii sistemului este un alt obiectiv al operrii calculatoarelor care are ca obiectiv minimizarea riscurilor ntreruperii sistemului ca urmare a atingerii capacitii maxime de procesare.

Asigurarea unei capaciti corespunztoare de procesare implic o planificare riguroas a activitilor sprijinite de sistemul informaional.

Trebuie dezvoltate proceduri i mecanisme de raportare care s identifice utilizarea necorespunztoare a resurselor precum i perioadele de utilizare.

Protecia mpotriva software-ului maliios este un aspect important ntruct cea mai mare ameninare a activelor informatice este dat de pierderea sau indisponibilitatea datelor ca urmare a infestrii cu virui informatici. n toate sondajele, viruii se afl printre primele locuri ca surs a incidentelor de securitate. Milioane de virui informatici sunt raportai anual. Protecia mpotriva viruilor nu o asigur doar administratorul sistemului, ci i utilizatorul.

Asigurarea integritii datelor i a aplicaiilor software necesit msuri de protecie prin care s se previn i s se detecteze introducerea unor aplicaii ilegale n sistemul organizaiei.

Aplicaiile tip antivirus trebuie instalate pe toate calculatoarele din sistem iar utilizatorii trebuie instruii cu privire la folosirea acestora.

Alte aspecte ce fac obiectul managementului operrii i comunicaiilor vizeaz: ntreinerea sistemului, incluznd realizarea copiilor de siguran, ntreinerea

jurnalelor de operare, meninerea nregistrrilor cu erori de operare i execuie.

managementul reelei, necesar asigurrii reelelor de calculatoare. manipularea i securitatea mediilor de stocare, pentru a preveni ntreruperea

activitilor afacerii. schimbul de aplicaii i date ntre organizaii, pentru a preveni pierderea,

alterarea sau utilizarea improprie a informaiei. ntreinerea sistemului are ca obiectiv meninerea disponibilitii i integritii

serviciilor IT. Trebuie dezvoltate proceduri specifice care s descrie aciunile prin care se

realizeaz ntreinerea serviciilor i echipamentelor IT. ntreinerea sistemului trebuie s fie un proces continuu care s includ obligatoriu instalarea coreciilor de securitate a aplicaiilor, sistemelor de operare i sistemelor de gestiune a bazelor de date, realizarea copiilor de siguran, jurnalizarea activitilor realizate n i de ctre sistem.

Managementul reelei are ca obiectiv asigurarea proteciei datelor transmise prin reea i a infrastructurii fizice a reelei.

Pentru protecia reelei sunt disponibile tehnologii specializate ce pot fi folosite n implementarea msurilor de securitate i atingerea obiectivelor de control:

filtru set de reguli implementate la nivelul unui router sau firewall prin care acesta permite tranzitarea sau nu a traficului ctre i dinspre reeaua unei companii;

firewall dispozitiv prin care este controlat traficul dintre reeaua companiei i reelele externe acesteia;

12

Cap 1 - Noiuni privind securitatea informaiilor

Sistem pentru Detectarea Intruziunilor (IDS Intrusion Detection System), dispozitiv (hardware sau software) dedicat inspectrii traficului unei reele cu scopul identificrii automate a activitilor ilicite;

criptare comunicaii procesul prin care datele sunt aduse ntr-o form neinteligibil persoanelor neautorizate;

Reea Virtual Privat (VPN Virtual Private Network) - o reea care permite comunicarea ntre dou dispozitive prin intermediul unei infrastructuri publice (nesigure)

zona demilitarizat (DMZ) este o parte a reelei care permite accesul controlat din reeaua Internet. Mainile dependente de accesul direct la reeaua Internet, cum ar fi serverele de email i cele de web sunt adesea plasate n astfel de zone, izolate de reeaua intern a organizaiei.

Msurile tehnice singure nu pot asigura nivelul de protecie necesar, fr un

management corespunztor. Standardul ISO/IEC 17799 prezint controalele necesare gestiunii corespunztoare a securitii comunicaiilor.

Prevenirea distrugerii mediilor de stocare al crei efect s-ar concretiza n ntreruperea serviciilor sistemului informatic s-ar putea asigura prin controlarea i protejarea mediilor de stocare. Trebuie dezvoltate proceduri prin care este controlat accesul la orice mediu de stocare i la documentaia sistemului.

1.3.7. Controlul accesului Confidenialitatea vizeaz protejarea informaiilor mpotriva oricrui acces

neautorizat. Uneori este interpretat n mod greit ca aceast cerin este specific domeniului militar i serviciilor de informaii care trebuie s-i protejeze planurile de lupt, amplasamentul depozitelor de muniie sau al rachetelor strategice, notele informative. Este ns la fel de important pentru o organizaie care dorete s-i apere proprietatea intelectual, reetele de producie, datele despre personalul angajat, etc. Pentru o instituie public, datorit caracterului informaiei pe care o gestioneaz este important s asigure n primul rnd integritatea i disponibilitatea datelor.

Controlul accesului ncepe cu stabilirea cerinelor de acordare a drepturilor de utilizare a informaiilor.

Accesul la facilitile i serviciile oferite de sistemul informaional trebuie controlat n funcie de specificul i cerinele mediului n care i desfoar activitatea organizaia.

Pentru a rspunde acestor cerine sunt n general definite o serie de reguli de acces corelate cu atribuiile fiecrui utilizator al sistemului informatic.

Meninerea acestor reguli n linie cu cerinele organizaiei implic un proces de gestiune a accesului utilizatorilor sistemului. Obiectivul acestui proces este s previn utilizarea neautorizat a calculatoarelor.

Trebuie s existe proceduri formale prin care s se controleze alocarea drepturilor de acces la serviciile i resursele IT.

Utilizatorii autorizai trebuie instruii cu privire la maniera n care trebuie raportate activitile sau aciunile considerate suspecte.

Fiecare component a sistemului informaional trebuie s fac obiectul msurilor de control al accesului, datele trebuie protejate indiferent de forma sau starea care le caracterizeaz, fie c este vorba de aplicaii software, sisteme de operare, baze de date sau reele de comunicaii. Tehnologiile mai vechi de gestiune a bazelor de date precum

13

Securitatea sistemelor informatice Fox Pro, de exemplu, nu pot asigura o protecie a informaiilor la nivelul bazei de date, acestea fiind stocate n fiiere necriptate, accesibile oricrui utilizator, indiferent de drepturile de acces care i-au fost atribuite la nivelul aplicaiei. Sistemele de operare precum DOS sau Windows 95/98 nu au mecanisme de control al accesului, nefiind posibil restricionarea drepturilor de utilizare a datelor la acest nivel. Standardul prevede ns msuri de control pentru fiecare nivel al sistemului informaional:

controlul accesului la serviciile reelei - conexiunile la serviciile reelei trebuie controlate iar pentru obinerea accesului la astfel de servicii este recomandat implementarea unei proceduri formale.

controlul accesului la nivelul sistemului de operare sistemul de operare trebuie s prevad msuri de restricionare a accesului la date existente pe calculatore.

controlul accesului la aplicaii - prevenirea accesului neautorizat la informaiile gestionate de aplicaiile software.

Orict de elaborate ar fi msurile de control al accesului exist totdeauna

posibilitatea unei intruziuni, sau utilizarea inadecvat a resurselor existente. Pentru a detecta potenialele activiti neautorizate este necesar monitorizarea

accesului i utilizrii sistemului informatic. Monitorizarea are un caracter continuu i implic pstrarea i revizuirea

periodic a nregistrrilor cu evenimentele de sistem, i a activitii utilizatorilor.

1.3.8. Dezvoltarea i ntreinerea sistemului Aproape mereu, atunci cnd e vorba de dezvoltarea i implementarea unui

sistem informatic, cerinele de securitate sunt neglijate. Eforturile sunt ndreptate mai mult spre aspectele funcionale i mai puin pe controlul riscurilor de integritate i confidenialitate a informaiilor. Organizaiile se expun la riscuri majore de operare ce pot rezulta n pierderi financiare semnificative prin neglijarea unor msuri minimale de control al procesului de dezvoltare i implementare. Testarea aplicaiilor nu este formalizat, ceea ce nu garanteaz calitatea dezvoltrilor, programatorilor li se permite accesul la mediul de producie pentru corectarea unor erori nedetectate n procesul de testare, inducnd riscuri de integritate i disponibilitate a datelor.

Aspectele de securitate nu trebuie neglijate n partea de dezvoltare i implementare, dei acestea s-ar putea s deranjeze i s nu aduc aparent nici un beneficiu. Fr a ine cont de recomandrile de control ale acestui proces, organizaia risc s investeasc ntr-o aplicaie sau echipament care s nu-i ofere nici o garanie asupra informaiilor gestionate.

Obiectivele de control prevzute n aceast seciune a standardului sunt menite s asigure c noile sisteme dezvoltate au prevzute mecanisme de securitate, prin:

dezvoltarea cerinelor i analiza specificaiilor de securitate; validarea datelor de intrare controlul procesrii interne autentificarea mesajelor transmise electronic validarea datelor de ieire utilizarea tehnicilor de criptare utilizarea mecanismelor de semnare electronic

14

Cap 1 - Noiuni privind securitatea informaiilor

protejarea codului aplicaiilor i a fiierelor sistemului de operare De asemenea, este necesar i asigurarea securitii mediilor de dezvoltare i a

serviciilor suport. Mediile n care se dezvolt aplicaii sau proiecte noi trebuie strict controlate. Mediul de testare trebuie separat de mediul de producie, datelor de test asigurndu-li-se protecia corespunztoare.

1.3.9. Planificarea continuitii afacerii Un plan de continuitate a afacerii reprezint o serie de msuri de reacie n caz

de urgen, de operare alternativ i de restaurare a situaiei n caz de dezastru pentru a asigura disponibilitatea resurselor critice i pentru a permite continuarea activitii n cazul unor incidente majore. Majoritatea companiilor nu au un astfel de plan de continuitate, de cele mai multe ori aceste aspecte sunt neglijate sau sunt limitate la achiziionarea unor echipamente de rezerv sau tolerante la defecte.

Scopul unui plan de continuitate este de a asista organizaiile n a continua s funcioneze atunci cnd activitatea normal este ntrerupt. Este mult mai bine ca acest lucru s fie planificat n avans, printr-o atitudine proactiv.

Planurile pentru continuitatea afacerii trebuie s asigure disponibilitatea proceselor considerate critice pentru funcionarea organizaiei n cazul apariiei unor dezastre sau ntreruperi de funcionare.

Asigurarea continuitii afacerii presupune parcurgerea etapelor de documentare, testare i implementare a planului de continuitate a afacerii.

Implementarea presupune instruirea personalului i dezvoltarea unor procese speciale de gestiune a situaiei de criz, precum i de actualizare periodic.

1.3.10. Conformitatea Proiectarea, operarea sau gestiunea sistemelor informaionale pot face obiectul

unor reglementari, legi sau angajamente contractuale n ceea ce privete securitatea. Pentru a evita nclcarea dispoziiilor statutare sau legale, standardul prevede o

serie de msuri precum: identificarea legislaiei aplicabile utilizarea adecvat a licenelor software sau a materialelor protejate de

drepturi de autor protejarea nregistrrilor organizaiei (nregistrri contabile, chei de criptare,

jurnale de activitate, medii de stocare, proceduri de lucru) Pentru a asigura conformitatea cu politicile i standardele de securitate ale

organizaiei, securitatea sistemului informaional trebuie revizuit periodic pentru a reflecta schimbrile tehnologice sau organizatorice.

15

2. Clasificarea informaiilor

2.1. Noiuni introductive privind clasificarea modern a informaiilor

Clasificarea nseamn etichetri cresctoare ale documentelor sau informaiilor, de la cel mai de jos nivel, unde se situeaz informaiile deschise su neclasificate, la cele confideniale, urcnd spre informaii secrete i strict secrete.

n clasificarea informaiilor s-a plecat de la ideea c informaiile care prin compromitere pot costa viei umane sunt marcate drept secret, n timp ce informaiile a cror compromitere cost pierderea multor viei umane sunt definite strict secrete.

Personalul din domeniu securitii sistemelor sunt investii cu drepturi diverse, de a lucra cu anumite categorii de informaii. Pe lini accesului la unele categorii de informaii, pentru exercitarea controlului lucrurile sunt destul de clare: un angajat poate citi documentele dintr-o anumit categorie numai dac el are cel puin dreptul de accesare a informaiilor din acea categorie sau din una superioar. Regula este c informaiile pot circula doar n sus, de la confidenial la secret i strict secret, n timp ce n sens invers, de sus n jos, pot circula doar dac o persoan autorizat ia decizia de declasificare a acestora.

Se utilizeaz dou strategii de baz privind securitatea naional, i anume: tot ceea ce nu este interzis este permis; tot ceea ce nu este permis este interzis. Se apeleaz la dou tactici de implementare a strategiei fundamentale privind

protejarea informaiilor deosebite: controlul discreionar al accesului; controlul legal al accesului. Prima tactic de control al accesului implementeaz principiul celui mai mic

privilegiu: nici o persoan, n virtutea rangului sau poziiei ce o deine, nu are drepturi nelimitate de a vedea informaiile deosebite, iar persoanele care au o astfel de facilitate trebuie s le vad numai pe cele care intr n sfera lor de activitate.

Controlul discreionar al accesului este aplicat printr-o matrice de control, conform modelului prezentat n figura 2.1. Pentru fiecare persoan aflat pe list i pentru fiecare informaie, matricea arat ceea ce poate face fiecare subiect cu obiectele din list: citire, scriere, execuie, aprobare etc.

Subiect Obiect 1 Obiect 2 Obiect 3 Subiect 1 Execut Citete Citete Subiect 2 Citete Citete/Scrie Aprob Subiect 3 Citete/Scrie Aprob Citete/Scrie Subiect 4 Aprob Execut Execut Subiect 5 Execut Citete Aprob

Fig. 2.1: Matricea de control al accesului.

16

Cap 2 Clasificarea informaiilor Controlul legal al accesului i exercit fora pe baza legilor existente (legea

securitii naionale), prin care sunt stabilite dou tipuri de structuri de control: ierarhizate i neierarhizate.

Structura ierarhizat ncadreaz informaiile senzitive n patru categorii: strict secrete, secrete, confideniale i neclasificate;

n structura neierarhizat, sunt dou categorii: compartimentate i cu obiecii sau ascunse vederii unor categorii de persoane. Compartimentrile pot avea nume scurte, sugestive, care s scoat n relief anumite aspecte. Categoria cu obiecii privete n special naionalitatea potenialilor cititori i autori ai obiectelor.

Informaiile strict secrete, care sunt ntr-o anumit msur compartimentare, se numesc informaii senzitive compartimentate i presupun o atenie deosebit la ntrebuinare. Doar o categorie de informaii este superioar acesteia din urm, i anume despre informaiile din planul operativ integrat unic sau rspunsul naional n caz de rzboi.

2.2. Clasificarea informaiilor Guvernele pleac de la o clasificare mai larg a informaiilor, i anume:

informaii subiective i informaii obiective (fa de mprirea n clasificate i neclasificate).

2.2.1. Informaiile subiective Informaiile subiective au mai fost caracterizate i ca "secrete adevrate" sau

informaii operaionale. Aceste informaii sunt unice pentru guvern, n sensul c el decide asupra modului n care se vor derula principalele activitii ce-i revin. Ct timp guvernul controleaz i protejeaz informaiile pe baza crora ia decizii, acele informaii nu pot fi dezvluite independent de ctre adversar.

Aceste informaii au urmtoarele caracteristici: dimensiune reduc secretul poate fi exprimat doar prin cteva cuvinte; din care

cauz poate s fie uor furat i distribuit altora; perceptibilitate universal nu este nevoie de pregtire special pentru a

nelege secretul, oricine poate s-l fure; supuse arbitrarului pentru a intra n posesia lor un adversar le poate fura,

secretul nu poate fi descoperit independent; coninutul poate fi schimbat secretul poate fi modificat i n ultima clip; sunt perisabile dup scurt timp secretele au o via scurt, el poate fi inut doar

pentru o perioad scurt de timp.

2.2.2. Informaii obiective Informaiile obiective sunt acelea care chiar dac sunt descoperite, dezvoltate

sau controlate de ctre guvern, pot fi deja cunoscute sau descoperite independent de o alt ar. n aceast categorie intr informaiile tiinifice sau secretele tiinifice. Aceste informaii nu pot avea un control absolut, ele in de natura lucrurilor nu de un secret.

Informaiile obiective au urmtoarele caracteristici: sunt confuze de regul, nu se bazeaz pe o formul magic, pentru descrierea

informaiilor tiinifice sunt necesare rapoarte lungi, din aceast cauz ele nu se pot transmite uor;

pot fi nelese numai de oamenii de tiin; 17

Securitatea sistemelor informatice

nu sunt supuse arbitrarului i alii pot s afle rspunsul la o anumit ntrebare tiinific, dac formuleaz ntrebarea respectiv;

nu sunt supuse schimbrii au caracter etern; un fenomen natural are o singur valoare;

pot avea o via lung ca secret alii pot descoperi informaiile n mod independent, dar o astfel de descoperire necesit mult timp, ceea ce va conduce la pstrarea secretului pentru o lung perioad de timp. Informaiile tehnice secrete obiective O alt categorie de informaii nu se ncadreaz perfect n categoriile cunoscute,

obiective sau subiective, ele fiind informaiile tehnice, de genul proiectelor i execuiilor tehnice ale unor noi arme (de exemplu), diferite de caracterul tiinific al proiectrii, i sunt cunoscute ca informaii tehnice vzute ca secrete obiective.

Caracteristicile informaiilor tehnice sunt asemntoare celor tiinifice, dar exist unele diferene. Fa de informaiile tiinifice, informaiile tehnice nu sunt fenomene naturale, ci nseamn o metod, un proces, o tehnic sau un echipament angajate n crearea unui produs. Se poate afirma c informaiile tehnice sunt utilizate pentru exploatarea informaiilor tiinifice.

Secrete comerciale Secretele comerciale includ informaiile despre procesele de fabricaie, reetele

unor produse, precum i alte informaii obiective care pot fi descoperite independent de ctre alii. Multe secrete comerciale sunt asemntoare informaiilor tiinifice i tehnice.

2.2.3. Determinarea necesitii clasificrii informaiilor n cazul procesului de clasificare a informaiilor se parcurg trei etape:

stabilirea nevoii de clasificare; determinarea nivelului clasificrii; determinarea duratei clasificrii.

Etapa de stabilire a nevoii de clasificare se realizeaz n cinci pai, astfel:

definirea cu exactitate a informaiilor de clasificat (opional, dar recomandat); stabilirea dac informaiile se ncadreaz n unul din domeniile supuse

clasificrii; verificarea dac informaiile se afl sub control guvernamental; determinarea dac dezvluirea informaiilor poate conduce la producerea de

daune pentru securitatea naional; specificarea precis a nevoii de clasificare a informaiilor.

Determinarea nivelurilor clasificrii La clasificarea unei informaii, acesteia i se va atribui un nivel de clasificare,

care va evidenia importana relativ a informaiei clasificate. Un sistem de clasificare eficient se bazeaz pentru niveluri de clasificare definite

cu mare claritate. n legea 182/2002 privind protecia informaiilor clasificate, din Romnia,

informaiile clasificate din clasa secretelor de stat sunt ncadrate pe trei niveluri:

18

Cap 2 Clasificarea informaiilor

strict secrete de importan deosebit sunt informaii a cror divulgare neautorizat este de natur s produc daune de o gravitate excepional securitii naionale;

strict secrete - sunt informaiile a cror divulgare neautorizat este de natur s produc daune grave securitii naionale;

secrete - sunt informaiile a cror divulgare neautorizat este de natur s produc daune securitii naionale; Determinarea duratei clasificrii Guvernele clasific informaiile i aplic proceduri de securitate special

documentelor i materialelor ce le conin sau sunt purttoare ale acestor informaii pentru a prentmpina obinerea lor de ctre adversari, cu intenia de a le folosi mpotriva deintorului autorizat. n consecin, se folosete metoda clasificrii informaiilor pentru a asigura pstrarea secretului.

n general, informaiile, orict ar fi de preioase, nu pot fi pstrate o perioad nelimitat de timp fr s fie aflate de adversari.

Chiar dac informaiile pot fi pstrate ani muli fr a fi aflate de adversari, nu este, de regul, recomandat s se pstreze perioade ndelungate. Clasificatorii informaiilor sunt cei ce vor hotr dac este cazul s se specifice timpul de pstrare a informaiei clasificate sau s se indice momentul n care va interveni declasificarea automat. Durata informaiilor clasificate trebuie s fie att de scurt ct s nu genereze costuri fr rost cu pstrarea lor. Nici duratele prea scurte nu sunt recomandate, deoarece adversarii ar intra prea devreme n posesia lor i ar putea aciona pentru ubrezirea ntregului sistem de securitate naional. Deci, doar clasificatorul trebuie s aib grija stabilirii duratei de clasificare.

Durata clasificrii informaiilor se determin prin una din urmtoarele metode: ca perioad de timp msurat de la data emiterii documentului; n funcie de un eveniment viitor ce poate s apar naintea operaiunii de

declasificare; dac data, respectiv evenimentul nu pot fi specificate, atunci documentul

coninnd informaii clasificate va fi marcat, pentru a se identifica instituia aflat la originea lui, ce va avea i sarcina declasificrii.

2.3. Declasifcarea i degradarea informaiilor clasificate Atunci cnd se realizeaz clasificarea informaiei se au n vedere anumite

cerine. Cnd, din diferite cauze, se schimb circumstanele, firesc, i cerinele ndeplinite iniial se modific, caz n care informaiile clasificate se declasific sau trec pe un nivel inferior de clasificare.

Declasificarea informaiilor se efectueaz de ctre reprezentani ai guvernului, crora le revine misiunea de declasificare. Trebuie fcut diferena ntre declasificarea informaiilor i declasificarea documentelor sau materialelor. Ultima categorie poate fi efectuat i de ctre contractorii guvernamentali.

Degradarea informaiilor clasificate nseamn reducerea nivelului clasificrii. n acest mod, informaiile stric secrete pot fi degradate la nivelul secret sau confidenial. Informaiile secrete pot fi degradate n informaii confideniale, iar cele confideniale pot fi declasificate sau, dac este cazul, ridicate pe un nivel superior.

19

Securitatea sistemelor informatice Degradarea se efectueaz de ctre persoanele care au clasificat iniial

informaiile, de ctre succesorii acestora, efii lor sau s ctre ali oficiali

2.4. Principiile protejrii informaiilor speciale Pentru protejarea informaiilor speciale se pot defini zece principii:

1. principiul delimitrii autorizrii repartizarea informaiilor pe tipuri va consta ntr-o grupare ierarhic plus suma compartimentrilor n care se regsete informaia. Autorizarea unei persoane presupune stabilirea sferei de exercitate a funciei i ea const din autorizarea pe criteriul ierarhic al persoanei plus suma autorizrilor compartimentrilor persoanelor din subordinea sa.

2. principiul securitii simple nici o persoan, dintr-o anumit subordonare, nu trebuie s vad informaia unei categorii care depete autorizarea sa.

3. principiul stea nici o persoan nu va scrie ceva pe obiectele dintr-o categorie inferioar celei la care persoana are acces.

4. primul principiu al integritii nici un program de calculator nu va accept informaii de la un program inferior lui, pe linia privilegiilor;

5. al doilea principiu al integritii nici un program pentru calculator nu va scrie ceva ntr-un program superior lui, prin prisma privilegiilor;

6. principiul etichetrii fiecare purttor de informaii va fi etichetat clar cu categoria informaiilor coninute, n format accesibil omului i n format sesizabil de ctre echipamentele periferice;

7. principiul clarificrii nici o persoan sau procedur nu va schimba categoriile existente ale informaiilor i nici autorizrile existente, conform unor proceduri n vigoare;

8. principiul inaccesibilitii nici o informaie nu va fi lsat la dispoziia altor persoane sau procese, cu excepia celor consemnate prin norme interne;

9. principiul verificabilitii pentru toate activitile semnificative pe linia securitii se vor crea nregistrri imposibil de ters, cu rolul facilitrii verificrii sistemului.

10. principiul ncrederii n software ct timp nici un calculator nu poate controla perfect respectarea principiilor anterioare, dar, totui, efectueaz activiti utile, ncrederea n software va permite apariia unor excepii de la regul, dac este cazul.

Exist patru moduri de funcionare prin care sistemele de prelucrare automat a

datelor pot asigura protecia informaiilor speciale: modul dedicat toate informaiile prelucrate de sistem fac parte din aceeai

categorie, iar persoanele sistemului posed autorizaie de acces la categoria respectiv;

modul sistem superior informaiile prelucrate de sistem pot s aparin unor categorii diferite, dar toate persoanele angajate n aceast operaiune posed autorizaii care s le ofere accesul la nivelul cel mai ridicat al informaiilor prelucrate;

modul controlat un sistem poate prelucra informaii din categorii diverse i persoanele s aib autorizaii diferite, iar sistemul se va baza pe restricii fizice, prin care s se respecte toate principiile securitii informaiilor operaiune destul de dificil.

20

Cap 2 Clasificarea informaiilor

Modul securitii stratificate sistemele prelucreaz informaii aparinnd diverselor categorii, iar personalul, de asemenea, dispune de autorizaii diferite. Conceptul credibilitii componentelor informatice (hardware, software i firmware softul aflat n memoria ROM) rezolv o astfel de problem a "turnului Babel" al securitii sistemului, asigurndu-se realizarea tuturor principiilor enunate anterior.

2.5. Protejarea mediilor de stocare a informaiilor Toate mediile de stocare care conin informaii obinute n urma prelucrrii

automate a datelor trebuie s fie catalogate ca documente ale prelucrrii automate a datelor. Acestea pot fi CD-uri, DVD-uri, benzi magnetice, diskete, hardiscuri, circuite electronice etc. Regimul lor de lucru trebuie s fie similar documentelor ce ar conine aceleai date n condiiile prelucrrii tradiionale.

Toate materialele intermediare i informaiile obinute n timpul prelucrrii automate a datelor trebuie s fie considerate ca materiale auxiliare. Acestea includ materiale anulate (benzi i discuri magnetice, hrtie tiprit, benzi tuate etc.) i trebuie s fie supuse clasificrilor n funcie de informaiile ce le conin.

tergerea informaiilor clasificate este o operaie de importan deosebit. Persoanele care autorizeaz operaiuni de prelucrare automat a datelor trebuie

s verifice existena unei fie de securitate, care s conin categoria persoanei executante, categoria informaiilor prelucrate i instruciuni privind statutul informaiilor rezultate. Se vor consemna, de asemenea, date privind durata prelucrrii, timpul de utilizare a componentelor bazei de date, generaiile reinute (fiu, tat, bunic) astfel nct s poat fi reconstituit baza de date n caz de avarii, precum i alte cerine pe linia pstrrii copiilor de siguran.

2.5.1. Marcarea materialelor cu regim special Documentele aflate sub regim special trebuie s fie numerotate i nregistrate

pentru a se putea ti ce s-a folosit sau ce s-a vzut din ele. Toate documentele obinute din prelucrarea automat a datelor (hrtia de

imprimant) trebuie s fie marcate astfel nct s fie vizibil categoria din care fac parte, prin plasarea marcajului n colul din dreapta sus, precum i n partea inferioar a fiecrei pagini, la care se va aduga i numrul de exemplare al fiecrui document.

n cazul prelucrrii automate a datelor, un ecran cu informaii este tratat ca o pagin de document, i ncadrarea ntr-o categorie sau alta se va face pe o linie distinct a acestuia.

Marcarea n cod main trebuie s se efectueze prin coduri sesizabile de echipamente, astfel nct s rezulte foarte clar din ce categorie fac parte informaiile prelucrate i la ce operaiuni pot fi supuse. Codul trebuie s fie una dintre primele informaii ce vor fi date sistemului, astfel nct s nu fie posibil accesare altor date nainte de a se ti statutul lor. Codul poate fi ultimul caracter al numelui fiierului, iar caracterul folosit s aib valorile:

S special; C confidenial; P private; R cu restricii; N neclasificate.

21

Securitatea sistemelor informatice Marcarea fizic se refer la toate suporturile supuse prelucrrii automate a

datelor. Marcajul trebuie s reziste n timp i s nu fie afectat sau s afecteze prelucrarea automat a datelor. Marcarea se poate realiza chiar pe suport sau pe ambalajul care-l conine. Suporturile reutilizabile trebuie s fie marcate cu etichete adezive sau creioane ce pot fi terse ulterior.

Marcarea suporturilor de hrtie au marcajul prin culori distincte: orange control special, roz confidenial, verde privat, galben cu restricii, albe comune. Dac numai o parte a pachetului conine informaii protejate, tot volumul va cpta acelai statut.

Marcarea cutiilor i a carcaselor este necesar atunci cnd suporturile de memorare sunt pstrate n astfel de condiii, care n care se impune etichetarea clar a acestora, precum i scrierea fiierelor coninute de suporturile din interior.

Marcarea benzilor magnetice se face cu etichete lipite chiar pe band, fr s afecteze prelucrarea datelor.

Marcarea pachetelor de discuri se realizeaz cu carioca n mijlocul acestora. Marcarea microfilmelor se face pe prima imagine cadru sau pe cutie, cu

carioca.

2.5.2. Pstrarea i distrugerea mediilor de pstrare a informaiilor Mediile pe care pstreaz date supuse prelucrrii automate a datelor i cele

auxiliare se pstreaz n camere speciale. Documentele ce conin informaii aflate sub un control special se pstreaz n

seifuri sau n locuri protejate prin sisteme speciale. Operaiunea de distrugere trebuie s urmeze proceduri speciale. Cea mai bun

cale de distrugere este arderea, folosit, de regul, pentru gunoaie informatice adunate n pungi speciale. La operaia de distrugere vor participa dou persoane, care vor ine un registru special de consemnare a materialelor ce se distrug. Cenua trebuie s fie mprtiat pentru eliminarea oricrei posibiliti de reconstituire a datelor distruse.

Transformarea n past este posibil doar pentru reziduurile din hrtie. Frmiarea se aplic pentru hrtie, indigo, band magnetic, microfilme.

naintea acestei operaiuni, n cazul benzilor magnetice trebuie tiat ntreaga rol. Procedurile internaionale prevd ca particulele rezultate n urma acestei operaii s nu fie mai mari de 1/32inch (0,0125mm). Procedura de frmiare se aplic, de obicei, naintea arderii.

n cazul mediilor magnetice refolosibile, dac acestea de refolosesc n aceeai unitate, noul utilizator trebuie s aib cel puin aceeai autorizare pe linia accesului la informaii ca i precedentul. Dac se utilizeaz n afara unitii emitente, vor fi luate msuri suplimentare i nu se va declara utilizarea anterioar.

2.6. Clasificarea informaiilor organizaiilor La nivelul unei organizaii, informaiile se ncadreaz pe mai multe categorii, n

acelai mod ca i informaiile naionale. Aceste categorii sunt: Informaii care necesit un control special sunt acele informaii cunoscute ca

fiind strict secrete. La nivelul organizaiei acestea se numesc speciale, i sunt marcate cu S. n aceast categorie intr informaiile i materialele a cror dezvluire ar duce la pierderea a 10% din profitul brut anual.

22

Cap 2 Clasificarea informaiilor Informaii confideniale la nivel de unitate, notate cu C, i care corespund

informaiilor secrete la nivel naional. Aceast ncadrare se atribuie informaiilor i materialelor a cror compromitere ar duce pa pierderea unui procent din profitul anual net.

Informaiile private, notate cu P, cuprind informaiile i materialele a cror compromitere poate prejudicia statutul unei persoane din unitate sau al corporaiei.

Informaii de uz intern, notate cu R, nu fac parte din categoriile anterioare, dar prezint restricii n utilizare.

Informaii publice, sau informaii neclasificate, sun notate cu N. La nivel guvernamental, orice informaie nencadrat ntr-una din categoriile

speciale, sub incidena legii accesului liber la informaiile publice, poate fi publicat de orice organ de pres scris, video sau audio, sub motivaia c "tot ceea ce nu este interzis este permis".

La nivelul organizaiilor private, lucrurile stau invers, doar informaiile care sunt specificate "pentru public" pot fi fcute publice, mergndu-se pe principiul "tot ceea ce nu este permis este interzis".

Un tratament special l au informaiile solicitate de organismele guvernamentale de la unitile private.

2.6.1. Criterii de clasificare a informaiilor la nivelul organizaiilor Valoarea constituie criteriul principal de clasificare. Dac o informaie este

valoroas pentru o organizaie sau pentru concurenii ei, atunci ea trebuie s fie clasificat.

Vrsta conduce la stabilirea unei valori difereniale. Cu ct vechimea este mai mare, cu att informaiile pierd din valoare. De regul, n domeniul aprrii, informaiile clasificate se declasific dup un anumit numr de ani.

Uzura moral ca i la mijloacele fixe, atunci cnd informaiile sunt nlocuite de altele noi, sau cnd n organizaie s-au produs modificri radicale, vechea clasificare devine perimat i va fi nlocuit cu alta.

Asocierea cu persoanele are influen n procesul de clasificare n funcie de importana persoanelor care reglementeaz regimul datelor personale.

2.6.2. Proceduri de clasificare a informaiilor n procesul de clasificare, trebuie urmrii anumii pai, dup o anumit ordine

de prioritate, astfel: identificarea administratorului/custodelui; specificarea criteriilor dup care vor fi clasificate i etichetate informaiile; clasificarea datelor dup proprietar, care devine subiect supus auditrii

efectuate de un superior; precizarea i documentarea oricror excepii de la politicile de securitate; precizarea controalelor aplicate fiecrui nivel de clasificare; specificarea procedurilor de declasificare a informaiilor sau pentru

transferarea custodiei unei alte entiti; crearea unui program de contientizare la nivel de organizaie despre

controalele pe linia clasificrii informaiilor.

23

Securitatea sistemelor informatice 2.6.3. Roluri i responsabiliti n procesul de clasificare a informaiilor

Principalele roluri n procesul de clasificare le au proprietarul, utilizatorul sau custodele datelor clasificate.

Proprietarul informaiilor poate fi administratorul sau directorul unei organizaii. O astfel de persoan rspunde de averile informaionale ncredinate. Spre deosebire de custode, proprietarul are responsabilitatea final a proteciei datelor i rspunde n faa legii n cazul neachitrii de aceast obligaie. Cu toate acestea, tendina actual este de deplasare n afara unitii, de externalizare, prin semnarea actelor de custodie.

Printre responsabilitile unui proprietar se afl: ntreprinde demersuri pentru stabilirea nivelului de clasificare a informaiilor,

care nseamn, de fapt, cerinele organizaiei de protejare a acestora; efectueaz verificri periodice ale clasificrilor existente, n vederea adaptrii la

cerinele organizaiei; deleg responsabilitatea protejrii datelor ctre un custode specializat i

autorizat. Custodele informaiilor este cel care presteaz un serviciu externalizat

organizaiei, delegndu-i-se responsabilitile pe linia protejrii informaiilor. Acest rol este ndeplinit de specialiti n tehnologii informaionale. Dintre obligaiile acestuia, amintim:

efectueaz copii de siguran periodice i teste de rutin a validitii datelor; efectueaz restaurri de dare din copiile de siguran, cnd este cazul; ntreine datele nregistrate, n concordan cu politicile de clasificare a

informaiilor. De multe ori, custodele are i obligaia alctuirii schemei de clasificare a

informaiilor, prelund aceste prerogative de la proprietarul lor. Utilizatorul. Un utilizator final este considerat orice persoan, operator, angajat,

persoan din afar, care folosete informaiile. El este considerat consumator de date care are nevoie, zilnic, s acceseze informaii pentru a-i duce la ndeplinire obligaiile de serviciu ce i revin.

Obligaiile utilizatorilor sunt: de a urma ntocmai procedurile de funcionare, definite prin politicile de

securitate ale organizaiei, i s respecte normele publicate privind utilizarea informaiilor;

s acorde toat atenia meninerii informaiilor n timpul activitii prestate, dup cum se stipuleaz n politicile de utilizare a informaiilor emise de organizaia proprietar. Ei trebuie s asigure protejarea mpotriva accesului neautorizat la informaiile clasificate;

s foloseasc resursele informaionale ale firmei numai n scopul urmrit de aceasta, nu i n scop personal.

24

3. Controlul accesului n sistemele informatice

3.1. Tipuri de control al accesului n sistem Controlul accesului n sistem este implementat pentru reducerea riscului la care

sunt supuse sistemele i pentru reducerea eventualelor pierderi. Controlul poate fi preventiv, detectiv sau corectiv.

Controlul preventiv are ca scop prentmpinarea apariiei unor incidente n sistem. Controlul detectiv presupune descoperirea unor apariii ciudate n sistem, iar controlul corectiv este folosit pentru readucerea la normalitate a sistemului dup anumite incidente la care a fost expus.

Pentru a putea fi atinse obiectivele enumerate mai sus, controalele pot fi administrative, logice sau tehnice i fizice.

Controlul administrativ este exercitat prin politici i proceduri, instruire cu scop de contientizare, verificri generale, verificri la locul de munc, verificarea pe timpul concediilor i o supraveghere exigent.

Controlul logic sau tehnic cuprinde restricii la accesarea sistemului i msuri prin care se asigur protecia informaiilor. Din aceast categorie fac parte sistemele de criptare, cardurile de acces, listele de control al accesului i protocoalele de transmisie.

Controlul fizic este reprezentat de grzile de paz i protecie, securitatea cldirilor: sisteme de ncuiere a uilor, securizarea camerelor cu servere, protecia cablurilor, separarea atribuiilor de serviciu, i nu n ultimul rnd realizarea copiilor de siguran a fiierelor.

Controalele vizeaz responsabilizarea persoanelor care acceseaz informaii sensibile. Responsabilizarea este nfptuit prin mecanisme de control al accesului care necesit, la rndul lor, exercitarea funciilor de identificare, autentificare i auditare. Controalele trebuie s fie n deplin concordan cu politica de securitate a organizaiei, iar procedurile de asigurare au scopul de a demonstra c prin mecanismele de control se implementeaz corect politicile de securitate pentru ntregul ciclu de via a sistemului informaional.

3.1.1. Modele de control al accesului Controlul accesului de ctre un subiect asupra unui obiect presupune stabilirea

unor reguli de acces. Aceste reguli pot fi clasificate n trei categorii sau modele: controlul obligatoriu al accesului, controlul discreionar al accesului i controlul nediscreionar al accesului.

Controlul obligatoriu al accesului n acest caz, autorizarea accesului unui

subiect la un obiect depinde de etichet, care va specifica nivelul de autorizare al subiectului precum i clasificarea sau senzitivitatea obiectului. Controlul bazat pe reguli de acces este un tip aparte de control obligatoriu al accesului, pentru c el este posibil doar pe baz de reguli i nu doar pe baza identitii subiecilor i obiectelor. (un subiect trebuie s aib i dreptul s acceseze un obiect anume).

Controlul discreionar al accesului n acest caz subiectul are autoritatea n

cadrul unor limite bine stabilite, s specifice obiectele care pot fi accesibile. Se poate

25

Securitatea sistemelor informatice folosi o list de control al accesului al subiecilor la obiect. Acest tip de acces este folosit n situaii locale, dinamice, n care se las la discreia subiecilor specificarea tipurilor de resurse permise utilizatorilor s le acceseze.

Cnd un utilizator, n condiii bine specificate, are dreptul s modifice controlul accesului pentru anumite obiecte, se spun c avem un "control discreionar al accesului direcionat ctre utilizator". Un control bazat pe identitate este un alt tip de control discreionar al accesului care se bazeaz pe identitatea unei persoane.

Controlul nediscreionar al accesului o autoritate central stabilete subiecii care pot s aib acces la anumite obiecte, n funcie de politica de securitate organizaional. Controlul accesului poate s se bazeze pe rolul individual ntr-o organizaie (control bazat pe sarcini). Acest tip de control nu necesit schimbri atunci cnd un rol va fi jucat de o alt persoan.

3.1.2. Forme combinate de control Prin combinarea controlului preventiv i detectiv cu mijloacele celorlalte tipuri

de control administrativ, tehnic (logic) i fizic se obin urmtoarele combinaii: preventiv administrativ; Control preventiv preventiv tehnic; preventiv fizic:

o detectiv-administrativ; Administrativ Tehnic Fizic

o detectiv-tehnic; detectiv fizic. n figura 3.1 se prezint

schematic aceste perechi. Controlul preventiv administrativ n acest caz accentul se pune pe mecanismele software care contribuie la

atingerea obiectivelor controlului accesului. Aceste mecanisme cuprind politicile i procedurile organizaionale, verificrile de fond nainte de angajare, practicile de ncetare a contractului de munc n condiii normale i anormale, planificarea plecrilor n concediu, etichetarea sau marcarea materialelor speciale, supravegherea mai exigent, cursuri de instruire n scopul contientizrii importanei securitii, contientizarea modului de comportare precum i procedurile de semnare a contractului n vederea obinerii accesului la sistemul informaional i la reea.

Controlul preventiv tehnic Acest tip de control vizeaz utilizarea tehnologiilor pentru consolidarea

politicilor de control al accesului. Controlul tehnic se mai numete i control logic i poate fi realizat prin sistemele de operare, prin aplicaii sau printr-o component suplimentar hard/soft. Dintre aceste controale, fac parte: protocoalele, criptarea, cardurile de acces inteligente, biometria, pachetele software pentru realizarea controlului local sau de la distan, parolele, meniurile , softul de scanare a viruilor etc.

Protocoalele, criptarea i cardurile inteligente sunt mecanisme tehnice de protejare a informaiilor i parolelor mpotriva eventualelor deconspirri.

Control detectiv

Fig.3.1: Combinarea formelor de control

26

Cap. 3 - Controlul accesului n sistemele informatice Biometria apeleaz la tehnologii precum amprenta digital, a retinei, irisului

pentru autentificarea solicitanilor de accesare a resurselor sistemului. Pachetele software ce realizeaz controlul accesului gestioneaz accesul la

resursele ce dein informaii aflate pe plan local sau la distan. Controlul preventiv fizic Aceste msuri de control sunt de tip intuitiv. Ele vizeaz restricionarea

accesului fizic n zonele ce conin informaii sensibile ale sistemului. Zonele respective sunt definite printr-un aa zis perimetru de securitate, aflat sub controlul accesului.

n aceast categorie intr mprejmuirile cu gard, ecusoanele, uile multiple (dup trecerea printr-o u, aceasta se blocheaz automat, iar la urmtoarea trebuie cunoscut sistemul de deschidere, persoana fiind captiv ntre dou ui - ui capcan), sisteme de intrare pe baz de cartel magnetic, aparatura biometric pentru identificare, serviciul de paz, sisteme de control al mediului, schia cldirii i a cilor de acces, locurile special amenajate pentru depozitarea mediilor de stocare a datelor.

Controlul obiectiv administrativ n parte, acest tip de control se suprapune peste controlul preventiv-

administrativ, pentru c acestea pot fi exercitate cu scopul prevenirii posibilelor nclcri ale politicilor de securitate sau pentru detectarea celor n curs. Din aceast categorie fac parte procedurile i politicile de securitate, verificrile de fond, planificarea plecrilor n concediu, marcarea sau etichetarea documentelor speciale, instruiri i cursuri, revizuirea nregistrrilor cu scop de auditare.

Controlul detectiv fizic Acest tip de control urmrete evidenierea violrii politicii de securitate

folosind mijloacele tehnice. Aceste msuri se refer la sistemele de detectare a intruilor i la rapoartele privind violrile securitii, generate automat pe baza informaiilor colectate. Rapoartele pot evidenia abaterile de la funcionarea normal sau s detecteze semnturi cunoscute al unor episoade de acces neautorizat. Datorit importanei lor, informaiile folosite n auditare trebuie s fie protejate la cel mai nalt nivel posibil din sistem.

Controlul detectiv fizic Acest tip de control necesit intervenia omului pentru evaluarea parametrilor pe

care i ofer senzorii sau camerele video pentru a stabili dac exist un pericol real pentru sistem. n acest caz, controlul se exercit prin camere video, detectoare termice, de fum i de micare.

3.2. Identificarea i autentificare n orice sistem de bariere fizice, sistemul de securitate trebuie s discearn care

sunt persoanele autorizate, care sunt vizitatori i care sunt categoriile neautorizate. Autentificarea poate fi realizat de corpul de paz, de alte persoane care se ocup de controlarea accesului sau de sisteme automate specializate.

Identificarea i autentificarea persoanelor se efectueaz n patru moduri: ceva aflat n posesia persoanei chei, cartele magnetice, cartele speciale,

echipamente de identificare personal i jetoane. Acestea permit un prim pas de accesare a sistemului i exist marele pericol al pierderii lor sau de nstrinare spre utilizarea de ctre alte persoane.

ceva care individualizeaz persoana aceast metod presupune identificarea biometric, care poate fi dat de: amprenta digital, a buzelor, semntura, vocea, forma minii, imaginea retinei, venele de pe faa extern a

27

Securitatea sistemelor informatice minii, liniile din palm, imaginea feei etc. Toate aceste tehnici sunt foarte scumpe, n comparaie cu cele clasice, i deseori sunt incomode sau neplcute la utilizare.

ceva ce persoana tie o parol, doar c aceasta se afl la discreia oamenilor i securitatea sistemului depinde de modul de pstrare a secretului ei sau de uurina cu care poate fi aflat.

locul geografic unde este nregistrat calculatorul. Metodele de control al accesului trebuie s se bazeze pe cel puin dou din cele

patru enumerate mai sus, de cele mai multe ori se apeleaz la combinaiile cartel-parol, cheie-parol, jeton-parol. n ultimul timp se recomand s se foloseasc i un al treilea elemente cel biometric.

3.2.1. Principiile de baz ale controlului accesului Ca principiu general, simpla posesie a unui element de control al accesului nu

trebuie s constituie i proba accesului privilegiat la informaiile importante ale firmei, ntruct el poate fi dobndit i pe ci ilegale dau poate fi contrafcut.

Un al doilea principiu arat c atunci cnd valorile patrimoniale sunt deosebit de importante i mecanismul de protecie trebuie s fie pe msur, iar persoanele cu drept de acces s fie ct mai puine.

Al treilea principiu, de regul aplicat informaiilor secrete, este acela c nici unei persoane nu trebuie s i se garanteze accesul permanent, gestiunea sau cunoaterea informaiilor secrete numai pe motivul poziiei ierarhice pe care o deine.

Fiecare centru de prelucrare automat a datelor cu mai mult de 25 de angajai trebuie s apeleze la sistemul ecusoanelor i la biometrie, ca msuri suplimentare fa de proteciile realizate prin alte metode privind accesul n cldire.

Locurile care nu dispun de ui ce pot fi ncuiate trebuie s aib intrrile supravegheate, iar o persoan s rspund de aceast operaiune. Cu acelai scop, poate fu utilizat i televiziunea cu circuit nchis, cu condiia ca o persoan s nu supravegheze mai mult de trei monitoare.

Controlul accesului prin obiecte Una din metodele folosite pentru accesul n cldiri sau sli este utilizarea unei

cartele de plastic sau a unui jeton, care ofer informaii despre purttor, cum ar fi: numele, adresa, codul cardului, contul bancar, informaii medicale, drepturi de acces. Toate aceste informaii pot fi codificate prin coduri de bar, pelicul magnetic, microprocesor. Unele carduri conin i fotografia titularului.

Exist i carduri inteligente care se utilizeaz pentru criptarea i decriptarea datelor, semnarea mesajelor i introducerea de pli electronice. Aceste carduri controleaz accesul n cldire, la locurile de parcare, n sli, la calculator i la alte date personale ale deintorului.

Se mai pot folosi i ecusoane active, care realizeaz identificarea prin frecvene

radio, sau prun infrarou, putndu-se citi cartele de la civa metri. Majoritatea cartelelor sunt auto-exprinate, cu ajutorul unor tehnologii termice

sau a unor vopsele speciale.

28

Cap. 3 - Controlul accesului n sistemele informatice Controlul accesului prin biometrie Principalele elemente ale corpului uman care se folosesc pentru identificarea

individului sunt: recunoaterea feei, amprenta digital, recunoaterea irisului i recunoaterea formei minii.

n tabelul 3.1 se prezint o comparaie a celor patru tehnologii biometrice funcie de performane i costuri.

Tabelul 3.1

Compararea principalelor tehnologii biometrice

Caracteristici Recunoaterea feei Amprenta

digital Recunoaterea

irisului Forma minii

Rata respingerilor eronate 3,370% 0,236% 1,96% 05% Rata acceptrilor eronate 0,35% 08% < 1% 02,1% Timpul pentru o verificare 10 sec 919 sec 12 sec 610 sec Mrimea probei culese 841300 KB 2501000 KB 512 Bytes 9 Bytes Preul echipamentelor Moderat Mic Mare Moderat Factorii care afecteaz probele luate

Lumina, orientarea feei, ochelarii

Murdria, degetele deshidratate sau accidentele

Vederea slab, ncruntarea, reflexia

Rni, artrit, umflturi

Controlul accesului prin parole Parolele sunt utilizate pentru a permite accesul la un calculator, fie ca utilizator,

fie sub forma grupurilor de utilizatori, fie ca personal al sistemului de prelucrare automat a datelor. Dup identificarea persoanei i eventual oferirea unei cartele de acces, utilizatorul prezint sistemului parola proprie, fie prin tastarea la un terminal fie prin introducerea unei cartele care conine parola. Calculatorul compar parola introdus cu o list aprobat i i permite sau nu utilizatorului accesul i i garanteaz respectarea drepturilor definite la anumite resurse ale sistemului, drepturi care pot fi: execuie poate lansa n execuie un program, dar nu i se permite s umble la

configurarea acestuia, prin adugarea sau modificarea unor linii; citire poate citi un fiier dar nu mai poate realiza nici o alt operaie; scriere se pot scrie date n acel fiier, dar fr alte drepturi; citire-scriere se poate citi fiierul i se poate scrie n el; adugare se pot doar aduga date la fiier, nu se pot modifica datele introduse

i nici citi; tergere d dreptul de a terge date din fiier.

Orict de complex ar fi sistemul cu parole, el nu realizeaz i o securitate sigur, ea depinznd de modul de pstrare a integritii parolei.

Problema principal a parolelor este alegerea nejudicioas a acestora de ctre utilizatorii lor, i anume: numele unor eroi din filme sau basme, al soiei, a soului sau a copiilor, numrul de nmatriculare etc., toate vulnerabile n faa unor sprgtori calificai. O alt greeal major este notarea parolelor de teama de a nu fi uitate, i lsarea acestor notie la vedere, astfel nct orice poate vedea parola.

Parolele trebuie s fie eliberate doar persoanelor autorizate i nu trebuie s fie un proces generalizat dndu-se tuturor celor care dein funcii de conducere n firm; ele trebuie date doar celor care lucreaz cu datele protejate.

Parolele pot fi create i de utilizatori pentru datele mai puin importante, dar exist unele probleme des ntlnite, i anume:

29

Securitatea sistemelor informatice utilizatorii nu-i schimb periodic parolele, iar dac o fac nu aduc modificri

importante n structura lor; utilizatorii i pstreaz parolele scrie pe suporturi lsate n vzul tuturor; utilizatorii folosesc nume asocieri nume-cuvinte cunoscute (nume de

persoane dragi) ceea ce le face extrem de vulnerabile. Dintre cuvintele utilizate n mod eronat de utilizatori drept parol amintim:

PASSWORD, PAROLA, SECRET, SMART, CLEVER, DUMMY, CRAZY, sau chiar GHICI. Deoarece parolele sunt nite chei de acces la valorile proprii, trebuie protejate cu

grij, i trebuie respectate cteva reguli de baz la alegerea lor: parolele trebuie schimbate cel puin odat la ase luni, iar pentru datele

deosebit de importante i mai des; parolele comune (utilizate de mai muli) trebuie schimbate imediat ce o

persoan prsete grupul sau i se retrage dreptul utilizrii ei; parolele se vor schimba imediat ce apare bnuiala cunoaterii ei de ctre

persane neautorizate sau dac din motive de for major secretul lor a trebuit dezvluit pentru redresarea unei stri anormale temporare;

parolele trebuie s fie memorate i nu scrise pe orice, cu excepia urmtoarelor cazuri:

o vor fi scrise pentru situaii de urgen; o fiecare parol scris va fi introdus ntr-un plic sigilat i marcat n

exterior cu scurte detalii privind calculatorul la care poate fi folosit i numele celor autorizai a le folosi;

o plicul respectiv are tratament asemntor averilor protejate sau al categoriilor de informaii accesate prin parol. Dup ruperea sigiliului, pe plic vor fi trecute data i numele celor care au fcut-o;

o plicurile cu parole se pstreaz de ctre responsabilul cu securitatea sistemului i seif.

dac parolele duplicat se pstreaz prin intermediul calculatorului, astfel de fiiere trebuie s fie protejate mpotriva accesului neautorizat i create copii de siguran. Accesul la acest fiier trebuie s fie nlesnit doar persoanelor autorizate, respectndu-se principiul "niciodat singur". Listele cu parole vor fi memorate sub form criptat;

parolele nu vor fi afiate niciodat pe echipamentele din configuraia sistemului, iar la introducerea lor nu trebuie s se afle persoane strine n preajm;

parolele, n cele mai multe cazuri, au cel puin opt caractere. Ele sunt caractere alfa numerice, folosite n ordine aleatoare, ceea ce ar nsemna cteva mii de cuvinte de opt sau mai puine caractere, care pot fi testate cu ajutorul calculatorului, n doar cteva minute, deci sunt suficient de vulnerabile pentru sprgtorii profesioniti;

pentru blocarea operaiunilor de ncercare repetat, de ordinul miilor, calculatoarele trebuie s permit un numr limitat de ncercri de introducere a parolelor, de obicei trei. Dac limita este depit de utilizator, intenia este raportat conductorului sistemului sau responsabilului cu securitatea. n acest timp trebuie s se blocheze terminalul de la care s-au efectuat prea multe ncercri nereuite. n cazul sistemelor speciale se recomand i blocarea slii sau a locului de unde s-a ncercat ptrunderea n sistem prin parole eronate repetate, pentru identificarea persoanei respective.

30

Cap. 3 - Controlul accesului n sistemele informatice odat ptruns n sistem, utilizatorului nu trebuie s i se permit s-i schimbe

identitatea cu care a deschis sesiunea i nici s nu poat ptrunde n partiiile alocate altor utilizatori;

dac un termina funcioneaz o perioad lung de timp, procesul de autentificare trebuie s aib loc la intervale regulate de timp pentru a se asigura c nu folosete altcineva sistemul. Dac terminalul rmne neutilizat dar deschis, el trebuie s se nchid automat dup un anumit interval de timp (10 minute);

la deschiderea unei noi sesiuni de lucru, utilizatorului trebuie s i se aduc la cunotin ultimul timp de accesare a sistemului cu parola respectiv, pentru a verifica dac altcineva a folosit-o ntre timp.

Pentru prentmpinarea unor aspecte vulnerabile din sistemul de protecie prin

parole, se recomand aplecarea la un sistem special sau la o dovad de recunoatere a utilizatorului. Acestea pot fi: o cheie de descuiere a consolei, o cartel magnetic cu microprocesor. Costul foarte ridicat, reduce utilizarea acestui sistem.

Accesului n sistem prin controlul poziiei geografice Autentificarea pe baz de localizare geografic este o metod de autentificare a

entitilor din spaiul cibernetic bazat pe localizarea geodezic (latitudine, longitudine i altitudine a unui loc geografic bine definit). Acest lucru va avea ca efect delimitarea poriunii din spaiu cibernetic de unde se declaneaz un anumit eveniment.

Aceast autentificare se face pe baza sistemului GPS i a unui senzor SSL (senzor al semnturii locale) aflat n posesia utilizatorului.

Caracteristicile principale ale autentificrii geodezice sunt: asigur o protecie continu mpotriva celor ru intenionai aflai la distan; semntura locaiei poate fi folosit ca un mijloc comun de autentificare; prin cunoaterea poziie unui utilizator, se poate identifica uor un intrus, dar se

pot oferi i probe c o persoan nu a fost n locaia respectiv n momentul svririi unei infraciuni. O asemenea protecie este recomandat site-urilor fixe. Ca dezavantaj al autentificrii geodezice se menioneaz:

refuzul serviciului (accesului la sistem) n cazul bruierii semnalului sau al furtului senzorului;

uurina n localizarea unei persoane n caz de rzboi informaional, de aici rezult c accesul la datele geodezice trebuie s fie restricionat.

31

4. Criptografia

4.1. Definiii i noiuni de baz Scopul criptografiei este de a proteja informaiile transmise fr s poat fi citite

i nelese dect de ctre persoanele crora le sunt adresate. Teoretic, persoanele neautorizate le pot citi, ns practic, citirea unei comunicaii criptate este doar o problem de timp egal cu timpul aferent necesar persoanei neautorizate de a decripta mesajul citit.

Algoritmul criptografic este o procedur pas-cu-pas utilizat pentru cifrarea unui text clar i descifrarea textelor cifrate.

Cheia sau variabila de criptare este o informaie sau o secven prin care se controleaz cifrarea i descifrarea mesajului.

Cifrarea este o transformare criptografic a unor caractere sau bii. Criptograma sau textul cifrat reprezint un mesaj neinteligibil Cifrul bloc se obine prin separarea textului iniial n blocuri de cte n caractere

fiecare (bii) i aplicarea unui algoritm i a unei chei identice, k, pentru fiecare bloc. Codurile sunt o transformare care opereaz la nivelul cuvintelor sau frazelor. Criptanaliza este actul obinerii textului clar sau a cheii din textul cifrat, care

este folosit pentru obinerea informaiilor necesare acestui scop. Criptarea nseamn realizarea formei neinteligibile a unui mesaj pentru a nu fi

utilizat de persoanele neautorizate s-l acceseze. Criptarea end-to-end n acest caz informaiile criptate sunt transmise din

punctul de origine la destinaia final. Cheie simetric att expeditorul ct i destinatarul folosesc aceeai cheie de

criptare. Cheie asimetric expeditorul i destinatarul folosesc chei de criptare diferite. Criptarea nlnuit mesajul circul prin mai multe noduri ntre expeditor i

destinatar. Un nod intermediar primete mesajul, l decripteaz cu aceeai cheie cu care a fost cripta, l recripteaz cu o alt cheie i l trimite la urmtorul nod unde procesul se repet pn cnd mesajul ajunge la destinatar.

Criptografia este arta i tiina ascunderii semnificaiei unei comunicri mpotriva unor interceptri neautorizate. Cuvntul vine din limba greac, care nseamn criere ascuns: kryptos graphein.

Criptologia reunete criptografia i criptanaliza. Decriptarea este procesul prin care un text cifrat este transformat ntr-un mesaj

inteligibil. Sistemul de criptare este un set de transformri din spaiul mesajului clar la cel

al textului cifrat. Steganografia este o form de comunicare secret prin care se ncearc

ascunderea mesajului secret ntr-o imagine digital. Textul clar este forma inteligibil de prezentare a unui mesaj, astfel nct el s

fie accesibil oricui.

32

Cap. 4 - Criptografia 4.1.1. Tehnici utilizate n criptografie

n prezent exist dou tipuri principale de tehnici utilizate n criptografie, i anume:

criptografia prin cheie simetrice (chei secrete sau chei private) i, criptografia prin chei asimetrice (chei publice).

n cazul cheii simetrice, att expeditorul ct i destinatarul mesajului folosesc o

cheie comun secret. n cazul cheii asimetrice, expeditorul i destinatarul folosesc n comun o cheie public i, individual, cte o cheie privat.

4.1.1.1. Substituia Cea mai simpl metod de criptare, prin substituie, este cunoscut n zilele

noastre sub denumirea de cifrul lui Cezar, dup numele mpratului roman care a inventat-o. n acest cifru, caracterele mesajului i numrul de repetiii ale cheii sunt nsumate laolalt, modulo 26. n adunarea modulo 26, literelor alfabetului latin, de la A la Z, li se dau valori de la 0 la 25 (vezi tabelul 4.1). Pentru cheie trebuie s se ofere doi parametri:

D numrul literelor ce se repet, reprezentnd chei; K cu rol de cheie.

Tabelul 4.1

Corespondena litere-numere Litera A B C D E F G H I J K L M N O P Q R S T U V W X Y ZNumr 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25

Pentru a nelege modul de funcionare, s presupunem c D=3 i K = BEC, iar mesajul secret este "PAROLA MEA". Atribuind valori numerice mesajului, din tabelul valorii literelor, avem:

P A R O L A M E A 15 0 17 14 11 0 12 4 0 Valorile numerice ale cheii sunt: B E C = 1 4 2 Dup aceste corespondene, cheia criptat 142 se adaug literelor mesajului,

astfel: Cheia reperat 1 4 2 1 4 2 1 4 2 Mesajul 15 0 17 14 11 0 12 4 0 Echivalentul numeric al textului criptat 16 4 19 15 15 2 13 8 2

Textul criptat Q E T P P C N I C Convertirea numerelor n literele aferente alfabetului conduce la textul criptat,

aa cum se vede mai sus: "QETPPC NIC" n cazul cifrului lui Cezar, D = 1 i cheia este D (3), adic fiecare liter este

nlocuit de a treia liter de dup ea din alfabet literele sunt deplasate la dreapta cu trei poziii, (A cu D, B cu E .a.m.d.). Criptnd mesajul dat n exemplul anterior cu cifrul lui Cezar, obinem:

33

Securitatea sistemelor informatice Cheia reperat 3 3 3 3 3 3 3 3 3 Mesajul 15 0 17 14 11 0 12 4 0 Echivalentul numeric al textului criptat 18 3 20 17 14 3 15 7 3

Textul criptat S D U