Capitolul 2.

Standarde de securitate
2.1. Standardele ISO i IEC
ISO este Organizaia Internaional de Standardizare. Aceasta a fost nfiinat in 1947 i este sit at n !ene"a# El"eia. Sco$ l s dez"olta standarde i a facilita co%er l internaional. IEC este Co%isia Electrote&nic Internaional. Aceasta a fost nfiinat n 19'( i are# de ase%enea# sedi l la !ene"a. Sco$ l s standarde $entr toate ti$ rile de electro)te&nologii. *rin acti"itatea s sin t de +inister l Co% nicaiilor si ,e&nologiei Infor%aiei de ado$tare la ni"el naional a standardelor e ro$ene i internaionale rec nosc te# standard l ISO-IEC 17799.2''/ 0 1Cod l de $ractic $entr +anage%ent l Sec ritii Infor%aiei2 i standard l ISO-IEC 27''1.2''/ 3e4. 5S 7799)2.2''26 0 1S$ecificaii ale +anage%ent l i $entr Sec ritatea Infor%aiei2 a fost ado$tate i n 7o%8nia de ctre Asociaia de Standardizare din 7o%8nia. Standard l ISO-IEC 17799 0 9Cod l de *ractic $entr +anage%ent l Sec ritii Infor%aiei2# sta:ilete liniile i $rinci$iile generale $entr organizaii $entr a iniia# i%$le%enta# %enine i %: ntii %anage%ent l sec ritii infor%aiei. este de a dez"olta este de a

2.2. Standardul BS 7799 (UE 17799)[11]

Standard l ISO-IEC 17799 conine cele %ai : ne $ractici de control n r%atoarele do%enii ale %anage%ent l i sec ritii infor%aiei. )$olitica de sec ritate; )organizarea sec ritii infor%aiei; )%anage%ent; )sec ritatea fizic i a %edi l i ncon< rtor; )%anage%ent l co% nicaiilor i al o$eraiilor; 1

)control l acces l i; )ac&iziionarea siste%elor infor%aionale# dez"oltarea si %entenana lor. 5S 7799 este alct it din do $ri. BS7799 Partea I-a. ) 9Code of *ractice2 i en %r n set de $ractici de care se $oate ine cont i care $ot fi i%$le%entate n di"erse sit aii. Acest cod a fost ado$tat i de ctre ISO de"enind ISO 17799. BS7799 Partea a II-a. ) 9S$ecification for Infor%ation Sec rit= +anage%ent S=ste%s2 i a fost dez"oltat $entr co%$aniile din +area 5ritanie care dorea s se $regteasc $entr certificare n confor%itate c 5S7799. At nci c8nd se "or:ete des$re certificare-confor%itate 5S# se are n "edere *artea a do a a Standard l i i n ISO 17799. Certificat l este eli:erat de 5SI sa de ctre n e"al ator calificat i acreditat 5S7799. >a fiecare ? ani organizaia tre: ie re)certificat. 5S7799. 2''' este organizat n 1' seci ni care aco$er do%enii. -Politica de Securitate) orice organizaie tre: ie s ai: n doc %ent care s defineasc i s e4$lice sec ritatea infor%aional. -Securitatea organizaional) definete $rinci$iile care sta %anage%ent l i sec ritii n orice organizaie. -Securitatea personalului) descrie cerinele legate de recr tarea i instr irea anga<ailor# %anage%ent l incidentelor din siste%. -Securitatea fizic i a mediului de lucru ) s nt a" te n "edere controalele generale i%$le%entate n cadr l organizaiei. -Managementul operaional i al comunicaiilor ) aco$er $roced rile doc %entate c $ri"ire la o$erarea la calc lator i co% nicarea infor%aiilor. -Controlul accesului) $rinci$iile care g "erneaz acces l sec rizat la infor%aii. -Dez oltarea i !ntreinerea sistemelor ) cerinele legate de sec ritate tre: ie a" te n "edere n fiecare eta$ a cicl l i de "ia al n i siste%. la :aza r%toarele

-Planificarea continuitii afacerii) analiza de i%$act# $roced ri de refacere# testare -Conformitatea) sec ritatea infor%aional tre: ie s fie confor% c orice $re"edere legal a$lica:il. *entr a fi n confor%itate c 5S7799 *art 2# o organizaie tre: ie s ai: i%$le%entat i doc %entat $ro$ri l siste% de %anage%ent al sec ritii infor%aionale n confor%itate c o:iecti"ele de control sti$ late n Cla za 4 a standard l i 5S. Certificarea 5S este cea care ofer $ro:e i asig rri c o organizaie a atins o:iecti"ele control l i sti$ late n standard. Aceasta $res $ ne realizarea n i a dit de ctre n e"al ator inde$endent care "a "erifica i%$le%entarea controalelor sti$ late n Standard. *roces l $rin care se $oate o:ine confor%itatea c acest standard este si%ilar c o:inerea certificrii ISO 9'''. Eta$ele o:inerii acestei certificri $ot fi sintetizate astfel. )Organizaia decide s i%$le%enteze $re"ederile 5S7799. Odat l at aceast decizie# cond cerea tre: ie s dese%neze o ec&i$ care s ela:oreze *olitica de Sec ritate a organizaiei. Acest doc %ent tre: ie re"iz it# a$ro:at i ad s la c notina t t ror anga<ailor. )Organizaia tre: ie s decid a$oi care co%$onent organizaional "a fi s $ s certificrii 5S 3Sco$ l certificrii6. Acest sco$ tre: ie doc %entat# rez lt8nd IS+S Sco$e @oc %ent 3Sco$ l Siste% l i de +anage%ent al Sec ritii Infor%aionale6. An cadr l acest i Sco$ tre: ie identificate acti"ele organizaiei 3i "aloarea asociat acestora6 care tre: ie $rote<ate 3In"entar l acti"elor6. *entr acest in"entar se "a realiza Analiza de 7isc. a%eninrile# " lnera:ilitile i i%$act l as $ra acti"elor ce tre: iesc $rote<ate. An :aza rez ltat l i acestei analize se identific risc l acce$ta:il. Se doc %enteaz controalele care "or fi i%$le%entate $entr a %enine risc rile n li%ite acce$ta:ile. Acestea "or fi $rel ate din 5S7799 sa control considerat rele"ant tre: ie s se adreseze n i risc. din alte doc %ente rec nosc te ca fiind 9cele %ai : ne $ractici2 ale do%eni l i. Biecare

@ $ co%$letarea acestor eta$e se trece la i%$le%entarea controalelor a$oi se realizeaz analiza :reelor $entr a identifica controalele care n a fost i%$le%entate n totalitate sa $entr care tilizatorii necesit instr ire. Se i%$le%enteaz aci nile corecti"e $rin care se re%ediaz sit aiile identificate anterior. ,oat doc %entaia se $ ne la dis$oziia nei fir%e-e"al ator care este acreditat s ofere certificare n :aza 5S7799. A ditorii fir%ei "or efect a o "erificare for%al $rin care certific e4istena fizic a controalelor doc %entate. @ac sit aia fa$tic este confor% c certificat l de confor%itate. Standard l ISO-IEC 27''1.2''/ 3fost l 5S 7799)2.2''26 este n standard care sta:ileste cerintele $entr care afecteaz de o:icei infor%aia. Siste% l de +anage%ent al Sec ritii Infor%aiei ISO-IEC 27''1.2''/# re$rezint o a:ordare siste%atic a %anage%ent l i infor%aiei astfel nc8t aceasta sa fie in sig ran. Acest l cr i%$lic anga<aii# $rocesele i siste%ele I,. n Siste% de +anage%ent al Sec ritatii Infor%aiei. A< t la identificarea# %anage%ent l si %ini%izarea a%eninrilor doc %entaia se eli:ereaz

2.3. Standardul ISO IEC 27

2[1!]

C8nd acest standard a fost oficial $ :licat $e 1/ i nie 2''/# a fost c nosc t s : n %ele de ISO-IEC 17799 2''/. >a 1 i lie 2''7# n %ele oficial a fost sc&i%:at la ISO-IEC 27''2 2''/. Standard l ISO 27''2 ine n %ai de infor%aie. @eoarece infor%aiile $ot e4ista n % lte for%e# standard l ISO 27''2 are o foarte larga a:ordare. An conte4t l $rezent l i standard# ter%en l de infor%aie incl de cel $ in r%toarele. -Soft"are# -$iiere de date# -Documente pe %&rtie # -Materiale tiprite#

-'ote scrise de m&na# -$otografii# -(nregistrri ideo# -(nregistrri audio# -Comunicaii# -Con ersaii# -Mesa)e* Biecare seci ne a standard l i ISO-IEC 27''2 2''/ a fost str ct rat n acelai %od. Biecare seci ne folosete aceleai $atr categorii. -o+iecti e# -control# -implementare# -alte informaii* Biecare seci ne nce$e c n l sa %ai % lte o:iecti"e. Aceasta este r%ata de o disc ie a acestor controale care ar tre: i s fie folosite $entr a atinge aceste o:iecti"e. Aceste disc ii des$re controale s nt r%ate i%ediat de detalii de i%$le%entare care e4$lic %od l n care controalele $ot fi $ se n a$licare. An %a<oritatea caz rilor# de ase%enea# fiecare seci ne se nc&eie c alte infor%aii s $li%entare. An concl zie# standardele de sec ritate s nt standarde %anageriale $entr $rote<area acti"elor infor%aionale ale organizaiilor. A"8nd n "edere c at8t confor%itatea c8t i certificarea s nt $rocese contin e i costisitoare# organizaiile tre: ie s)i analizeze foarte :ine :eneficiile rez ltate n r%a n i astfel de $roces. C certificarea realizat de ctre e"al ator este cea cons %atoare de res rse financiare ci i%$le%entarea controalelor care s cond c la confor%itatea c $re"ederile standard l i. Odat certificat o organizaie n se $oate considera sig r. *oate ns do"edi n faa terilor c are i%$le%entate controalele necesare s)i di%in eze risc rile legate de tilizarea I,DC n afacere. *entr n a ditor# confor%itatea

sa certificarea 5S $e care o deine o organizaie re$rezint n $ nct de $lecare n $lanificarea %isi nii sale. @ar n i o garanie a sec ritii siste% l i. Sco$ l oricr i a dit# deci i cel al $lan l i de sec ritate# l re$rezint identificarea risc rilor co%$onentei a ditate i asig rarea c risc l rezid al este acce$ta:il $entr cel care a cer t s fie a ditat.