Strokovne iuzhuvk Organizacijski vidiki varovanja informacijskih sistemov (i) Tomaž Poštuvan Povzetek Prispevek o organizacijskih vidikih varovanja informacijskih sistemov obravnava področje, ki je tudi pri nas vedno bolj pomembno. Vsaka organizacija ima premoženje, ki je lahko običajen denar ali pa so to naslovi strank oz. informacije o dogajanjih na trgu in borzi. Če so kakšni od teh podatkov nenadoma nedostopni ali ukradeni, lahko to povzroči neprijetnosti, izgubo denarja ali pa celo bankrot. Zato je podatke potrebno varovati. Abstract The paper discusses an area, which is of outmost importance to all the organizations. Every organization possesses assets that include money, customer adresses and marketing informations. If some or all of those assets are either unavailable for use or stolen, the organization might suffer inconvenience, toss of money or maybe even go out of business. Therefore, data must be secure. UVOD Vseprisptnost računalniških informacijskih sistemov v današnji družbi močno izpostavlja vprašanje njihove varnosti oziroma zaščite pred malomarnostjo ali nepooblaščenimi uporabniki. Omenjeni sistemi imajo veliko materialno in drugačno vrednost, zaradi česar obstaja tudi temu primerno tveganje izgub zaradi malomarnosti ali protizakonitih dejanj. Prav zaradi pomembnosti vprašanja je varovanje in zaščita podatkov danes posebna stroka, ki se na sistematičen način ukvarja s področjem vsestranske zaščite informacijskih sistemov. Takoj naj pojasnimo, da pod pojmom informacijski sistem mislimo na računalniški informacijski sistem oziroma informacijski sistem, katerega bistveni sestavni del je računalniška tehnologija. Velja poudariti, da je varovanje podatkov pomembno tudi iz splošno civilizacijskih razlogov in ne le zaradi materialne vrednosti, ki jo imajo informacijski sistemi oziroma shranjeni podatki. Danes je zasebnost uveljavljena civilizacijska vrednota, ki je v večini drŽav na ustrezen način tudi ustavno in zakonsko varovana. Zaradi tega je primerno varovanje podatkov, ki se nanašajo na posameznike, obveznost vseh lastnikov in uporabnikov informacijskih sistemov. Seveda pa je obveza varovanja materialne vrednosti informacijskih sistemov in podatkov del običajnega delokroga vodstva organizacije, ki je lastnik takega sistema. Varovanje podatkov oziroma njihova varnost ima več vidikov, od katerih tu omenjamo dva: tehnični in organizacijski. Tehnična stran obsega vse tehnične probleme zagotavljanja varnosti in načine njihovega reševanja, organizacijska pa zbirko metod, načel, na- potkov in podobno, ki zagotavlja, da se varovanje podatkov kot ena od nalog podjetja ali organizacije izvaja zanesljivo in učinkovito. V tem sestavku se ukvarjamo predvsem z drugo, organizacijsko stranjo zaščite podatkov, Čeprav bomo nekaj prostora namenili tudi tehničnim vprašanjem. 1. Problem varnosti informacijskih sistemov Problem z varnostjo informacijskih sistemov je zelo enostaven - to je problem ljudi. Rešitev problema je prav tako zelo enostavna - ljudje naj kontrolirajo ostale ljudi v računalniškem okolju. Misel "Računalniki ne kradejo, ljudje pa" stoji na trdni osnovi. Rden od ljudi, ki se ukvarjajo z varnostjo v enem večjih računalniških podjetij v ZDA je rekel, da še nikoli v svojih tridesetletnih izkušnjah nadzorovanja in preiskovanja računalniških goljufij ni naletel na primer, ko za prevaro niso bili odgovorni določeni ljudje [3, stran 3], Program varnosti podatkov mora veČino naporov usmerjati v nadzorovanje ljudi, če želi biti uspešen. Rden od kriterijev pomembnosti varnosti informacijskega sistema je tudi narava posla, s katerim se organizacija ukvarja. Zadnje čase, ko se organizacije vključujejo v informacijske tokove, se zavedajo nujnosti zaščite informacij. V nekaterih organizacijah sicer Še vedno mislijo, daje programska oprema strošek, ne p- SUoSki 50 Pnnner C A Stroški izgub Stroški kontrole 4- Stroški 24 5 10 25 Slika 1. Stroški izgub proti stroškom kontrole i m if n kiI NFOR M ATIKA 50 ponazarjajo razmerje med izgubami zaradi vdorov in stroški za protiukrepe. Primer A kaže, da so stroški izgub precej manjši, kot pa bi znašali stroški kontrole aktivnosti. V tem primeru, tudi če smo se pri oceni izgub zmotili za 50 %, bomo še vedno raje utrpeli izgubo, ker so stroški kontrole previsoki. Primer il je nasprotje primera A. Tudi v tem primeru pa velja, da če smo se lahko zmotili za 50 %, je odločitev še vedno nedvoumna. Zadnji primer odgovorne sili v zadrego, saj se stroški izgub in kontrole med seboj prekrivajo. Ce so stroški izgub previsoko in stroški kontrole prenizko ocenjeni, potem bi bila kontrola ekonomsko upravičena, v obratnem primeru pa ne. Ti trije primeri kažejo, da se morajo stroški izračunati v dveh korakih. V prvem koraku naj bo izračun bolj površen (dovolj dober za primera A in H), če pa pride do primera C, naj se v drugem koraku natančnost poveča. Edini pogoj za izračun na tem nivoju pa je, da je natančnost pri obeh izračunih enaka, ne da se stroški kontrole izračunajo do zadnjega tolarja, stroški izgub pa ostanejo v milijonih. 2.4 Stroški izgub in protiukrepi Tehnologijo izračuna potencialnih izgub zaradi varnosti že stoletja uporabljajo zavarovalnice. Spremenljivki računa sta frekvenca pojavljanja izgube in enkratna izguba (izguba ob enem vdoru). Rezultat bo pričakovana letna izguba in se izračuna kot: Pričakovani} letna izguba = = frekvenca pojavljanja x enkratna izguba Kako si s to formulo lahko pomagamo? Denimo, da smo banka, ki posluje s kreditnimi karticami. Ena od možnih izgub je nesolventnost stranke - stranka kartico uporabi za nakup, vendar nima pokritja. Izgube lahko nastanejo tudi zaradi ponarejenih ali ukradenih kartic. Izračuna se po /gornji formuli, za vrednosti spremenljivk pa se uporabijo podatki o prejšnjih, recimo ukradenih karticah. Povprečna izguba pri teh karticah je bila 10.000 SIT in če predvidevamo, da se bo to /godilo 5000-krat letno, je pričakovana letna izguba 50 milijonov SIT. Izračun pričakovane letne izgube je orodje, s katerim si lahko pomagamo pri oceni stroškov za varnost in ekonomičnost nakupa. Po drugi strani pa je zelo težko pravilno oceniti izgube, ki nastanejo zaradi kraje raču nalniških programov in podatkov. Vrednost programa se ponavadi grobo izračuna kot 30$ - 50$ na programsko vrstico izvorne kode, vrednost podatkov pa bodisi kot strošek za nadomestitev ukradenih podatkov (npr.ponovno vnašanje Imen in priimkov strank) bodisi kot vrednost izgube posla, če je Škoda na podatkih nepopravljiva. V drugem primeru je vrednost izgubljenih podatkov seveda precej višja. 1996 - števiika2 - letnik IV STROKOVNE! HAZINIAVK Za zmanjšanje frekvence pojavljanja izgube obstajata dve metodi: (1) zmanjšanje priložnosti izgube z omejevanjem dostopa do podatkov ljudem, ki jih ne potrebujejo in (2) zmanjšanje verjetnosti izgube, denimo s preverjanjem vnosa ključev - s tem se verjetnost izgube zmanjša na kakovost programa za preverjanje ključa. Tudi enkratna izguba se lahko zmanjša in to bodisi z zavarovanjem, ki izgubo v celoti pokrije, bodisi z decentralizacijo, na primer razdelitvijo računalniškega centra na dve enoti, tako da katastrofa v eni enoti ne vpliva na delo v drugi. Stroški preventivnih in kurativnih protiukrepov morajo biti v sorazmerju s stroški izgub. To so stroški za njihov razvoj ter sami operativni stroški. Prvi so enkratni (zato jih je tudi lažje izračunati), medtem ko je treba na druge računati vsakič sproti in so odvisni tudi od števila poskusov vdora. V tem poglavju sem opisal proces ocene izgub v primerjavi z verjetnostjo vdora v sistem in posledic kontrole aktivnosti, ki izgube zmanjšujejo. Proces se lahko ponavlja toliko časa, da se dobi optimalna mešanica in so kontrole najučinkovitejše. Podrobneje je postopek ugotavljanja velikosti problema varnosti opisan v [3J. 3. Kako napraviti sistem varen? Program za varnost informacijskega sistema naj bo, če je le mogoče, zaključen del širšega sistema, ki varuje celotno organizacijo. Nima namreč smisla zapravljati velike vsote denarja za zaščito enega dela, če je na dru-^i strani organizacije do informacij možno priti brez posebnega napora, ker v nekem oddelku zaščite sploh nimajo. Mnogo vodilnih oseb trpi za ti. "bankirskim sindromom". Ko bankir odpre novo banko, zgradi v kleti trezor, zaščiten z debelim jeklenim zidom, vhod vanj je možen samo na en način, pa še za to je treba poznati več kombinacij varnostnih kod. Ta trezor pa pomeni le 0,5 % celotnega premoŽenja, 99.5 % pa je v računalniku, do katerega je možen dostop prek terminalov. Kriminalci ta sindrom poznajo in si rečejo: "Zakaj bi tvegal življenje za drobiž iz trezorja, če lahko to precej lažje naredim ,s pritiskom na nekaj tipk". Varovanje organizacije se mora vedno začeti na vrhu, nato pa se polagoma spuščati do posameznih enot. Varovanje računalniških virov sicer jamči za več kot povprečno zaščito, vendar naj bi to vseeno ne bi! edini vir, vreden pozornosti. 3.1 Strategija vodenja in ključni faktorji uspeha Prvi korak k programu varnosti je izjava vodstva o nameri in potrebi. Nato je dobro, če vprašamo o njihovih vidikih tudi zaposlene, kajti program ne bo dosti pomagal, če zaposleni sprejemajo varnost kot nebodi- gatreba in vsakič ko pride do posla, ki ga je treba napraviti hitro, pozabijo na varnost. Šele takrat, ko so morebitni spori z zaposlenimi rešeni, pride trenutek za izdelavo strategije. Strategija seveda ne more biti enaka za vse organizacije; razlikuje se glede na dejavnost, s katero se organizacija ukvarja, želje vodstva in nenazadnje tudi na zakone, ki se nanašajo na varnost. Predlagana strategija varnosti ne sme ščititi samo računalniških virov, ampak celotno organizacijo (varnostni ukrepi v trezor ju so še vedno nujni). Kriteriji, s pomočjo katerih vodstvo lahko oceni pravilnost strategije, se imenujejo ključni faktorji uspeha (Critičal Success Factors), Ključni faktorji uspeha za program računalniške varnosti organizacije se morajo osredotočiti na naslednja štiri področja: ■ Uporabnost sistema glede na velikost in porazdeljenost sistema viri vključujejo strojno in programsko opremo, podatke in dokumentacijo, komunikacije, okolje in vzdrževanje, izguba podatkov napravi sistem v celoti neuporaben, medtem ko pri izgubi komunikacij sistem še vedno deluje, le oddaljeni računalniki ostanejo mrtvi. ■ Celovitost sistema. Izraz "celovitost sistema" se najpogosteje uporablja za podatke, na katerih sistem deluje. Zmanjšanje celovitosti ima lahko različne posledice, od napačne akcije zaradi nepravilnih podatkov pa celo do zaustavitve delovanja. a Zaupanje v sistem. Izguba zaupanja je najresnejša posledica nezanesljivega sistema. Do tega pride zaradi naključne ali namerne prekinitve delovanja ali zaradi nepooblaščenega dostopa. Te vrste izgub so ponavadi obravnavane prioritetno,saj rešitev tega problema večkrat reši tudi kakšnega od ostalih. Ključni faktorji uspeha za računalniško varnost morajo imeti štiri osnovne značilnosti. Prvič, uresničevati morajo resnični namen vodstva organizacije. Če vodstvo v faktorje ne verjame, potem ne bo niti podprlo namestitve programa niti ga ne bo zanimalo, če je bil dosežen kakšen uspeh. Drugič, biti morajo dokumentirani, sicer podrejeni ne bodo imeli od njih nobene koristi pri namestitvi. Tretjič, biti morajo merljivi. Če pomena faktorjev ne moremo izmeriti, potem so neuporabni. In četrtič, kriteriji morajo biti dosegljivi. Na pri mer, faktor, ki pravi, da nikakor ne sme priti do vdora v sistem, je nedosegljiv. Naloga vodstva, ko so ključni faktorji uspeha podani, je, da jih preuči in napravi plan, ki je ponavadi sestavljen iz petih točk: 1. Postavitev odgovorne osebe za varnost. Namen postavitve odgovorne osebe je v tem, da postane odgovoren za varnost posameznik. Veliko organizacij je poskušalo s skupino ljudi, pa se ni obneslo. Naloge odgovorne osebe so : definiranje ključnih 199G številka 2 - letnik IV uporni*!»! NFORM JVTIKA Strokovne hazpravr faktorjev uspeha, zagotovitev, da ima vsak oddelek nekoga, ki je odgovoren za varnost, analiza in predlog aktivnosti ter potrebnega denarja za naslednje leto in zagotovitev usposabljanja novih zaposlenih. 2. Izbira skupine, ki se bo ukvarjala z varnostjo. Ker je računalniška obdelava podatkov prisotna v celotni organizaciji, bi bilo nerealno pričakovati od ene same osebe, da lahko primerno planira, namešča in nadzoruje potrebe po varnosti na vseh področjih organizacije. Zato se ponavadi določi skupina uporabnikov (liho ševilo), ki skrbijo za celotno organizacijo. 3. Določitev kriterijev za oceno programa varnosti. Kriteriji za ocenjevanje so nujni zato, da se lahko preveri, če je informacijski sistem tako varen, kot je potrebno. Kvaliteta programa je odgovornost tistih, ki so program namestili. 4. Zagotovitev denarja za podporo prvih treh aktivnosti. Mnogi programi za varnost trpijo pomanjkanje sredstev. Vodstvo ponavadi sicer stoji za programom, pri denarju pa se vse skupaj ustavi. V varnosti pa velja : "Dobiš tisto, kar plačaš." Računalniška varnost mora opravičiti svoj obstoj, ko se to enkrat zgodi, pa se morajo zanjo najti tudi denarna sredstva. 5. Osebna angažiranost v programu. Vodstvo organizacije mora ne samo verjeti v program varnosti, ampak biti vanj tudi osebno vključeno. Če vodilna oseba pride na sestanek o varnosti, prikazuje rezultate delničarjem itd, potem vsi vedo, da je varnost za organizacijo pomembna in se navadno tako tudi obnašajo. Cas je za vodilno osebo najpomembnejši vir in mora bili smotrno porabljen, toda ena ura mesečno je nekakšen minimum, ki lahko zaposlene prepriča, da je varnost pomembna. 3.2 Ustvarjanje motiviranosti med delavci. Nelogično in neupravičeno bi bilo pričakovati, da bodo zaposleni avtomatično pomagali pri vzpostavitvi sistema varnosti, takoj ko se bo vodstvo za to odločilo. Motiviranost pa se s skrbno načrtovanim planom lahko ustvari in s tem doseže namen. Ustvarjanje motiviranosti vsebuje princip spremembe vedenja, pomeni, da bo učenec sposoben napraviti neko novo dejanje. Ljudje imajo do varnosti različne poglede. Nekateri so skrbni in želijo varovati premoženje delodajalcev, medtem ko drugi mislijo češ, saj so bogati in ne bodo pogrešali nekaj ukradenega premoženja. Znanstveniki so se ukvarjali s spremembo vedenja precej Časa, da so prišli do ugotovitve, da velja naslednja formula [3, stran 92]: Sprememba vedenja = = sprememba posameznika + sprememba okolja Formula kaže, da je vedenje posameznika odvisno od njegovega odnosa in od vpliva okolja, v katerem se nahaja. Ustvarjanje motiviranosti je sprememba vedenja. Dosežemo jo lahko tako, da spremenimo posameznika, okolje ali celo oboje. Psihologi trdijo, da je precej lažje spremeniti okolje kot posameznika. Temu pravijo "mafijski sindrom ", kjer človeka okolje (množica drugih ljudi, ki delajo isto) naravnost sili k temu, da napravi kriminalno dejanje. Torej bomo najprej poskušali spremeniti okolje tako, da bo naklonjeno varnosti (povabilo delavca na tečaj, kosilo z direktorjem - naj se delavec počuti pomembnega ), nato pa še posameznika. Naštel bom pet principov sprememb vedenja, ki lahko ustvarijo motiviranost ljudi za varnost in jih obravnavajo kot aktivne subjekte : 1. Delegiranje odgovornosti navzdol. Delegiranje odgovornosti navzdol ima dva cilja - obogatitev dela podrejenih, da se čutijo pomembnejše in več prostega časa vodstva, ki se lahko posveti drugim stvarem. Metode, ki se jih moramo držati pri delegiranju odgovornosti, so določitev nalog {vse naloge morajo biti neodvisne, da jih lahko opravi en sam človek), vedeti je treba, katera znanja so potrebna za izvršitev naloge {naloga ne sme biti dana človeku glede na položaj v organizaciji) ter kateri človek še ima dovolj znanja za izpolnjevanje nalog varnosti. 2. Odgovornost posameznika za varnost. Lastništvo varnosti je ena ključnih lastnosti Spremembe vedenja posameznika. Taka odgovornost pomeni, da bodo zaposleni imeli važno vlogo pri določanju, kakšne vrste varnost je potrebna in seveda tudi pri sami namestitvi. Vodstvo se bo sicer Še vedno odločilo, kaj je potrebno, zaposleni pa bodo predlagali, kako se bo to tudi dejansko uporabljalo. Ponavadi se sestavijo skupine nekaj ljudi, ki skupaj najdejo rešitev določenega problema in jo predstavijo vodstvu. Le-to si mora vzeti vsaj eno uro tedensko na člana take skupine, sicer pa je odgovornost v celoti na strani skupine. 3. Osebna podpora rezultatov dela. Ena od težav pri varnosti je, da se nikoli ne ve, ali je bilo kaj narejenega. Recimo, nekdo, ki veliko časa vloži v izboljšave varnosti, je kritiziran, ker porabi preveč procesorskega časa, ne dobi pa nobene podpore svojemu delu s strani vodstva. Za spremembo vedenja pa je zelo pomembno, da posameznik sam ve, da dela nekaj koristnega - v to pa ga mora prepričati nadrejeni s spodbujanjem in svojo podporo rezultatom. 4. Sistem nagrajevanja. Ljudje naj bodo nagrajeni, Če delajo tisto, kar vodstvo želi. Če je večja varnost v interesu organizacije, potem naj bodo ljudje, ki se /. njo ukvarjajo in dosegajo rezultate, primerno nagrajeni. Nagrado niso nujno denarne, saj je dovolj 1»itf ji ml hI FOR M ATIKA 1996-Številka2-letnik IV St roko VN t; razwuvk nagrad, ki delavcu pokažejo, da je naredil nekaj koristnega za organizacijo, npr. pohvala pred ostalimi delavci, nagradno udeleževanje seminarjev, napredovanje v službi... 5. Osebni nadzor vodstva. Prevečkrat so naloge dane delavcem na način, ki pomeni bodisi, da bodo "splavali" (napravili nalogo) ali pa "utonili". Na žalost pa to ni pravi način, ki bi povečeval motiviranost, saj je stainn prisoten strah, kaj pa če naloge nebom naredil. Zaposlenega je treba najprej naučiti, kaj naloga sploh zahteva in se prepričati, da ima dovolj znanja za njeno rešitev. Tudi potem je treba vsaj na toliko in toliko časa pogledati, kako mu gre od rok in mu morebiti pomagati. Za to je ponavadi odgovoren vodja varnosti. (se nadaljuje) Literatura : [1] M.A.L. Fair: Security for Computer Systems, Hotspur Press, 1974 [2] Jan Hruška : Computer Security Solutions, Blackwell Scientific Publications, 1990 [3] William E. Perry : Management Strategies for Computer Security, Butterworth Publishers, 1985 [4] 0. IV. Dawes : Security for Computer Networks, John Wiley & Sons, 1984 [5] Paul J. Fortier : Handbook of LAN Technology, McGraw-Hill, 1992 [6] Mario Ko/va : Šifriranje - kriptoalgoritmi, CIFRA ri.o.o., 1994 [7] Roger M. Needham : Denial of service . Communications ol tue ACM, November 1994 ♦ ictihiž Poštuvan je diplomiral letu 7993, trenutno pa je zaposlen kot mladi raziskovalec na Fakulteti za računalništvo in informatiko. Njegovo delovno področje so prevajalniki (v tem okviru tudi pripravlja masistrsko delo), sicer pa seje precej ukvarjal tudi z varnostjo oz. zaupnostjo rmdarkov v računalniških sistemih. ♦ Vabilo avtorjem uredniški odbor revije Uporabna informatika načrtuje razširitev obsega revije oziroma večjo pogostost izhajanja. Rezultati ankete med bralci revije so pokazali, da si želijo med drugim prispevke z naslednjih področij: ocena orodij in različnih rešitev, predstavitve primerov iz prakse, predstavitev rešenih informacijskih problemov, pregled stanja na nekaterih področjih v Sloveniji. S tem vabilom se posebej obračamo na informatike v praksi, da s članki v naši reviji predstavijo svoje ugotovitve in izkušnje. Navodila za prispevke objavljamo na zadnji strani revije. Prispevke bomo začenši z letošnjim letnikom tudi honorirali. 1996 ilevilka 2 - lelniK IV u/ipnifir ml N FOR M ATI KA