2.

Elaborarea politicii de securitate

n mod esenial, asigurarea securitii unui sistem presupune un ansamblu de

msuri tehnice i non-tehnice. Rolul specialitilor n securitate este s ajute organizaiile
s decid ce sume i timp s cheltuiasc n acest scop. n funcie de aceti parametrii,
specialitii trebuie s stabileasc politica de securitate, reglementrile i procedurile
practice. n final, specialitii trebuie s stabileasc auditul sistemului, astfel nct s
asigure controalele potrivite politicii i reglementrilor elaborate. Securitatea, practic,
este mai mult o problem de management i administrare, dect una pur tehnic.
n procesul de planificare a securitii unui sistem, se pot evidenia ase etape mai
importante:

1. planificarea cerinelor de securitate;

2. evidenierea riscurilor;
3. analiza raportului cost-beneficii;
4. crearea unor politici care s reflecte cerinele;
5. implementarea i testarea;
6. auditul i rspunsul la incidente.

- Planificarea cerinelor de securitate

n planificarea cerinelor de securitate pentru un sistem, trebuie avute n vedere
urmtoarele categorii de protecii:

Confidenialitatea - protejarea informaiei mpotriva citirii sau copierii de

ctre utilizatorii care nu au o autorizare explicit. Protecia se poate face
global, la nivel fiier, sau separat, pe anumite piese de informaie.
Integritatea datelor - protejarea informaiei (inclusiv programe) mpotriva
tergerii sau modificrii fcute fr permisiunea proprietarului acesteia;
Disponibilitatea protejeaz un serviciu astfel nct acesta s fie disponibil
permanent i s nu poat fi inactivat fr autorizaie din partea
administratorului;
Controlul accesului regleaz accesul la sistem. mpiedic utilizatorii (sau
programe) neautorizai s accead n sistem, periclitnd integritatea resurselor
i confidenialitatea informaiilor;
Auditul chiar i utilizatorii autorizai pot face aciuni eronate sau ruvoitoare
care afecteaz sistemul. n astfel de cazuri administratorul trebuie s determine
ce s-a ntmplat i care sunt daunele rezultate. Pentru acest scop, trebuie s
existe nregistrri ale activitii sistemului, care s identifice n egal msur
utilizatorii i aciunile ntreprinse.

Fiecare organizaie atribuie importan diferit acestor aspecte, n funcie de

cerinele i obiectivele de securitate avute:

mediul bancar - integritatea i auditul sunt cele mai importante, pe plan

imediat inferior fiind confidenialitatea i disponibilitatea;

1
 domeniul militar, diplomatic sau guvernamental - confidenialitatea este pe
prim plan, iar disponibilitatea mai la urm;
mediu universitar integritatea i disponibilitatea sunt cele mai importante.

- Evidenierea riscurilor
Aceast etap este una dintre cele mai importante din procesul de stabilire a
politicii de securitate; abia dup determinarea riscurilor existente se pot planifica politici
i tehnici adecvate de protecie.
Pentru o organizaie, pasul preliminar n proiectarea arhitecturii securitii l
reprezint analiza riscurilor. Exist multiple metode de a executa aceast analiz. Cele
mai frecvent utilizate sunt urmtoarele:

MARION este o metodologie folosit de comunitile de afaceri i financiare. A fost

dezvoltat de un consoriu de profesioniti n asigurri, management IT i consultan
n probleme de securitate. Conine urmtoarele subseturi:

MARION AP pentru analiza riscurilor la calculatoare separate;

MARION RSX analiza riscurilor unei mari reele de calculatoare;
MARION PMS sisteme de afaceri mici;
MARION H managementul resurselor umane.

De exemplu, MARION AP este disponibil pe PC-uri i platforme Apple i este

vndut n Frana de PSI i n Anglia de Coopers & Lybrand. Metoda este compus
din 6 pai:

1. Analiza riscurilor maximale cerina este de a evalua care sunt riscurile

poteniale i care sunt costurile maximale. Acest pas folosete o abordare
formal pentru a obine o estimare a costurilor;
2. Expresia riscurilor maxime admisibile calculeaz volumul pierderilor
maxime pe care compania le poate tolera fr a fi n primejdie;
3. Analiza cantitativ a msurilor de securitate evalueaz starea de securitate a
organizaiei, urmrind fiecare factor de securitate. Acetia sunt determinai
printr-o investigaie naional privitoare la dezastrele pe calculatoare,
4. Evaluarea constrngerilor presupune identificarea diferitelor constrngeri
care vor mpiedica implementarea unor msuri; constrngerile pot fi financiare
sau structurale, de aceea cerinele acestui pas sunt de a gsi o balan optim a
raportului prevenire/protecie;
5. Alegerea msurilor de securitate (simulare, optimizare) presupune alegerea
msurilor de securitate care urmeaz a fi implementate n intenia reducerii
riscurilor maxime i descreterii costurilor medii ale dezastrelor. Acest pas
determin costurile msurilor, prioritatea lor i gradul de mbuntire sperat;
de asemenea, permite simularea ipotezelor financiare;
6. Pre-proiectul pe baza rezultatelor pasului 5, se face analiza n vederea
determinrii acelei politici de securitate care este cea mai oportun. Se
construiete un pre-proiect care definete prioritile, planificarea, bugetul,
responsabilitile, structura i asigurrile necesare.

CRAMM reprezint o metodologie orientat mai mult pe riscuri i nu pe costuri; a

fost definit de grupul Gildersleeves care este responsabil de avizri n domeniul
2
 proteciei datelor n cadrul guvernului britanic. A fost dezvoltat pentru guvernul
britanic, n 1985. Dispune de instrumente suport automate i este folosit n Anglia
pentru sisteme care prelucreaz date nesecrete, dar senzitive. Are 3 pai:

1. Identificarea iniial a bunurilor (fizice i logice) i asignarea de valori

obinute pentru 4 posibile impacturi:

dezvluiri;

modificri;

indisponibiliti;

distrugeri.

2. Analiza dependenelor, a vulnerabilitilor i a ameninrilor (22 de ameninri

posibile);
3. n final, se decide care sunt cele mai adecvate contramsuri.

n SUA, NIST (National Institute of Standards and Technology) i NCSC (National

Computer Security Center Centrul de Securitate Calculatoare al DoD) au stabilit n
cooperare un laborator de cercetare n managementul riscului. Obiectivul principal a
fost de a se dezvolta cercetarea n domeniul metodologiilor i tehnicilor de
management al riscului, evideniind existena a peste 20 de pachete soft n domeniu
(inclusiv CRAMM).

n general, putem aprecia c analiza riscurilor comport urmtoarele trei etape:

Identificarea bunurilor, adic a elementelor care trebuie s fac obiectul

proteciei:

bunuri fizice: calculatoare, date, arhive, anuale, cri, listing-uri, pachete

software de firm, echipamente i linii de comunicaii, nregistrri de
personal, nregistrri de audit etc;

bunuri virtuale: date de sntate ale personalului, elemente private ale
utilizatorilor, imagine public, relaii cu clieni i distribuitori, informaii
de configurare etc.

Identificarea ameninrilor referitoare la aceste bunuri inventariate: incendii,

inundaii, distrugeri sau pierderi de supori magnetici, bug-uri n software,
pierderi de parole i chei de acces, accesul unor hackeri n sistem, virui,
pierderea unor utiliti (telefon, ap, electricitate) etc;
Cuantificarea ameninrilor operaie dificil, posibil de fcut, de exemplu,
de ctre o companie de asigurri. Trebuie avut n vedere, pentru fiecare
ameninare, cu ce frecven poate apare n urmtoarea perioad (un an, de
exemplu) i pierderile n bani pe care le produce.

- Analiza raportului cost-beneficii

Trebuie asociat fiecrui risc identificat un cost n cazul producerii i un cost al
msurilor pentru prevenirea sa.

3
 Costul producerii este foarte greu de apreciat. El trebuie s ia n eviden nu
numai costul nlocuirii, reparrii, pierderii, ci i pe cel legat de ntreruperea
lucrului, reputaia companiei, costurile la clieni.
Costul prevenirii trebuie s evalueze n bani cheltuielile necesare pentru
contracararea fiecrei ameninri. Desigur c o securitate foarte ridicat implic i
costuri de prevenire nalte. Stabilirea limitei de bani care merit a fi cheltuit
pentru fiecare ameninare reprezint o problem specific fiecrei companii.

S lum, spre exemplu, calculul cost-beneficii pentru o ameninare posibil:

pierderea parolei de acces a unui utilizator. S presupunem c, n acest caz, s-ar permite
accesul unui intrus la informaii confideniale n valoare de 1.000.000 USD. Dac exist,
de exemplu, 50 de salariai n companie care acceseaz sistemul, probabilitatea ca unul
dintre ei s piard accidental parola este de aproximativ 2%. Deci, probabilitatea ca cel
puin un salariat s piard parola n decursul unui an este:

50
2
1 1 .0 = 63,6 %
100

Ca urmare, pierderea ateptat este:

1.000.000 0.636 = 636.000 USD

Dac costul de cumprare a unei cartele cu o parol de unic folosin (de tip
one time) este de 75 USD pentru fiecare utilizator, plus 20.000 USD software-ul, iar
sistemul se consider bun 5 ani, costul prevenirii devine:

50 75 + 20.000
= 4.750 USD pe an
5

Deci, msura cu cartele de unic folosin este absolut necesar n acest caz.

Trebuie fcut distincie ntre noiunea de risc i cea de incertitudine. n timp ce

incertitudinea poate fi prezent doar n cazul unei decizii unice i irepetabile, riscul
presupune doar un set de condiii derivate din experiena trecut, care rmn valabile i n
viitor.
n cazul riscului, exist o distribuie a probabilitii acestuia n funcie de daunele
produse. Putem vorbi de pierdere probabil maxim (adic cea cu probabilitatea cea mai
mare) i pierdere posibil maxim (adic cea care produce pagubele cele mai mari). n
funcie de politica de risc abordat, se poate merge fie pe linia unor msuri mpotriva
pierderilor probabile maxime, ceea ce duce la o evaluare total a costurilor tuturor
riscurilor, fie pe una mai raional mpotriva pierderilor posibile maxime.
Desigur c evaluarea riscurilor pentru o companie trebuie s fie un obiectiv
general de conducere, evaluarea fiind folosit apoi pe nivelurile inferioare de decizie.
Coordonarea cerinelor de securitate i impulsul iniial se face la nivelul superior de
conducere, n termenii unor principii i standarde cu valabilitate de lung durat:
a) Activitatea la nivel managerial nalt trebuie s conduc la elaborarea unor directive
aplicabile ntr-un mare numr de sectoare, la elaborarea unor standarde de lung
durat, care trebuie folosite la nivelurile inferioare ca suport de decizie. Politica de
securitate elaborat la acest nivel trebuie s conin:

4
 parametrul folosit ca baz pentru abordarea riscurilor (pierdere posibil maxim,
pierdere probabil maxim etc.);
parametrul folosit pentru clasificarea riscurilor n reduse, medii i nalte;
stabilirea unui prag de risc acceptabil;
metodologia de apreciere a costurilor msurilor de securitate;
criterii de determinare a securitii optime (cost minim, siguran total etc.);
fonduri;
delegrile de competene.

b) Activitatea n procesul de decizie se execut n nivelurile subordonate conducerii i

const n selecia msurilor de securitate adecvate. Ea poate fi divizat n mai multe
subprocese:

analiza riscului (analiza slbiciunilor, evenimente care produc pierderi, politica

de risc, lista riscurilor);
determinarea efectiv a msurilor de securitate (catalogul criteriilor de securitate,
analiza beneficiilor, lista msurilor, descrierea produsului de securitate);
generarea unui portofoliu de msuri i riscuri;
calculul eficienei fiecrei msuri din portofoliu;
evaluarea riscurilor reziduale (sunt tolerabile?); dac nu, se reia procesul de la
nceput.

1. n prima faz se face evidenierea ameninrilor asupra sistemului.

2. Pasul al doilea cost n evaluarea efectelor (E) pentru fiecare msur
individual (Mi). O msur a efectului acesteia este riscul rezidual (RR):

E ( M i ) = R RR( M i )

unde R este riscul iniial. Att efectele ct i riscurile se pot evalua n bani sau
n timp necesar refacerii datelor afectate. O msur este eficient dac riscul
rezidual RR, dup implementarea msurii Mi, este mai mic ca R.
3. Pasul trei const n evaluarea portofoliilor (combinaii de msuri). n general,
sunt preferabile portofoliile cu un efect superior sumei efectelor individuale:

E ( M i ) + E ( M j ) < E ( M ij )

4. n pasul patru se evalueaz costurile msurilor individuale i ale portofoliilor

(C). O msur este acceptabil dac eficiena ei (e) respect condiia:

e( M i ) = E ( M i ) C ( M i ) = R RR ( M i ) C ( M i )

Se prefer acele portofolii de msuri pentru care:

C ( M i ) + C ( M j ) > C ( M ij )

5
- Stabilirea politicii de securitate
Politica ajut la definirea a ceea ce este important i specific ce pai trebuie
parcuri pentru salvarea bunurilor supuse pericolului ameninrilor. Politica poate fi
formulat n mai multe feluri:

ca o politic general de securitate valabil pentru toate subdomeniile;

definind politici separate pentru diferite bunuri protejate (e-mail, date
personale, date de contabilitate etc.);
avnd definit o politic general compact, completat cu standarde i
recomandri (reglementri) de aplicare pentru diverse subdomenii.

Politica general joac rolul major. Ea stabilete n mod clar ce se protejeaz i

de ce. n primul rnd, ea statuteaz responsabilitile n ceea ce privete protecia. n al
doilea rnd, ea furnizeaz suportul pe baza cruia se vor rezolva i interpreta toate
conflictele care apar. Politica trebuie s fie general, s se schimbe puin n timp i s nu
fac referiri concrete la ameninri, entiti sau nume de utilizatori.
Standardele au rolul de a consfini practici de securitate ncununate de succes
ntr-o anumit organizaie. n general, folosesc cuvntul trebuie. Ele se pot referi, de
exemplu, la perioada de valabilitate a unei copii de salvare (backup), la modul de testare
a unei surse etc.
Recomandrile reprezint elemente ale politicii de securitate care folosesc
sintagma ar trebui. Rolul lor este de a interpreta standardele pentru anumite contexte
particulare de aplicare. Spre deosebire de standarde, recomandrile pot fi violate, n
anume circumstane.
Idei de baz care trebuie avute n vedere:

Stabilirea unui proprietar pentru fiecare echipament sau informaie care

urmeaz a fi protejate. Aceast persoan rspunde de copierea, distrugerea,
salvarea i celelalte aspecte ale proteciei acelei entiti;
Stabilirea unor reguli pozitive - utilizatorii rspunznd mai bine unor cerine
pozitive dect unor liste lungi de interdicii, care conin invariabil sintagma
este interzis ...;
Luarea n considerare a specificului uman omul, atunci cnd lucreaz, poate
grei, uita sau nelege greit. Politica de securitate nu trebuie s sugereze c
oamenii vor fi azvrlii afar dac vor grei. De asemenea, politica de
securitate trebuie s in cont i de confidenialitatea datelor i informaiilor
personale ale oamenilor din instituie: e-mail, evaluri profesionale,
caracterizri, date medicale;
Accentuarea factorului educaional presupune ca utilizatorii s fie antrenai
i formai periodic cu cunotine legate de cerinele de securitate;
Acordarea unei autoriti adecvate celor care rspund de securitate. Aceste
persoane nu trebuie s aib doar responsabiliti, ci i autoritate privind
impunerea regulilor i pedepsirea vinovailor. Altfel, aceste persoane sunt doar
api ispitori n cazul unor evenimente de securitate. De exemplu, dac un
administrator constat o tentativ a unui utilizator de a copia fiierul de parole,
trebuie s poat aciona imediat prin invalidarea contului folosit de acel
utilizator i prin anunarea efului acestuia;
Alegerea corect a conceptului de baz:
6

orice lucru care nu este explicit interzis este permis;

orice lucru care nu este explicit permis este interzis;
Deoarece elaborarea unei politici presupune o activitate lung i competent, se
recomand ca ntr-o prim etap s se realizeze urmtoarele aciuni:

S se decid ct de important este securitatea informatic pentru instituia

respectiv. Dac pierderile eventuale sunt considerate a fi mari trebuie acionat
de urgen;
S se implice i educe personalul instituiei, atenionndu-l asupra riscurilor
privind breele de securitate, indicndu-i-se anumite practici nerecomandate,
spunndu-i-se s apeleze la personalul cu securitatea ori de cte ori se bnuiesc
anumite nereguli;
S se realizeze un plan pentru salvrile periodice ale fiierelor de pe sistemele
de calcul i s se stabileasc modul de pstrare sigur a acestor supori;
S se menin n permanen o stare de continu suspiciune i vigilen.
Trebuie analizate toate incidentele care sunt raportate de personal i
eventualele ncercri de penetrare prin reea.

- Implementarea i testarea
Examinarea unei reele poate viza urmtoarele procese:

reeaua funcioneaz conform politicii de securitate stabilit;

descoperirea punctelor poteniale de slbiciune;
verificarea jurnalelor dup rularea unor probe de execuie.

Programe pentru testarea securitii:

COPS ( Computer Oracle and Password System );

Programe pentru spart parole:

Crack;

PASSWD+;

NPASSWD.
SATAN ( Security Analysis Tool for Auditing Networks );
ISS;

- Auditul i rspunsul la incidente

Pentru a urmri eventual, n justiie, orice abuz relativ la sistem, trebuie cunoscut cum
se poate colecta i pstra evidena incidentelor de securitate. n continuare prezentm
cteva msuri i mecanisme pentru a pzi sistemul, precum i ce este de fcut dac se
constat accese ilegale, trecute sau n curs de derulare.

1) Mijloace de supraveghere a sistemului:

a) Comenzi:
afiarea numelui utilizatorului, portului i timpul de acces;
identificarea procesului, portului, timpul i durata utilizrii i numele fiierului
executabil folosit.
b) Evidena proceselor;
c) Fiiere jurnal:
7
 intrri n sistem;
copie a tuturor mesajelor transmise la consol.
2) Descoperirea acceselor neautorizate n sistem:
a) Incidente n curs:
penetrri locale;
penetrri prin INTERNET;
deconectarea intruilor.
b) Incidente deja consumate:
data de schimbare a inod-ului (reprezentarea interna a unui fisier);
cine a fost conectat.
c) Refacerea sistemului dup incident:
cutarea conturilor nou create;
schimbarea parolelor la conturile existente;
analiza ntregului sistem de fiiere (checklist);
verificarea programelor executabile;
verificarea accesului la directoare i fiiere;
verificarea drepturilor utilizatorului;
verificarea fiierelor de iniializare;
verificarea existenei directoarelor i fiierelor ascunse;
verificarea existenei viruilor;
d) Atacuri distructive majore:
reformatarea discului;
saturarea:

cu procese;

discului;

spaiu pe disc ascuns.
tergerea unor fiiere critice;
ntreruperea tensiunii de alimentare;
tierea cablurilor.
3) Urmrirea legal a incidentelor de securitate

Dac se decide s se aduc acuzaii unui intrus trebuie fcute anumite lucruri:

nlocuirea mesajelor de bun venit, la conectarea n sistem, cu mesaje de

atenionare privind accesul neautorizat;
Introducerea de mesaje de proprietate i de copyright (proprietate intelectual)
la toate programele sau fiierele de date ce ne aparin;
Notificarea utilizatorilor asupra a ceea ce pot sau ce le este interzis s fac;
Anunarea utilizatorilor asupra aciunilor lor ce urmeaz a fi monitorizate din
motive de securitate;
Pstrarea ntr-un loc sigur a copiilor de siguran ale sistemului i stabilirea
unei politici corecte de salvare periodic;
Stabilirea n scris a autorizarilor ce le are fiecare utilizator n folosirea
sistemului i stabilirea clar a resurselor pe care le poate accesa. Acetia s
cunoasc i s neleag limitele ntre care pot lucra pe sistem;
Cnd apar probleme de securitate care pot antrena o urmrire legal a
incidentelor este interzis personalului s fac propriile investigaii. Acestea
vor fi fcute de organele abilitate cu sprijinul administratorilor sistemului;

8
 Utilizatorii trebuie s semneze un angajament scris cu privire la
responsabilitile lor referitoare la informaiile confideniale, folosirea
calculatorului i a reelei;
Elaborarea unui plan de aciune n caz de incidente de securitate, consultnd
avocatul instituiei.

Principalele obiective ale administratorului de securitate

supravegherea i protejarea parolelor pentru ceilali utilizatori:

alegerea corect a parolelor;

schimbarea parolelor ( la apariia incidentelor, expirare );

utilizarea corect a parolelor;

protejarea criptografic a parolelor;

gestionarea parolelor;
administrarea accesului la fiiere i directoare;
administrarea cheilor i sistemelor de criptare;
supravegherea permisiunilor de acces i apartenena fiecrui fiier;
supravegherea comunicaiilor interne i externe ale sistemului;
detectarea atacurilor la securitatea sistemului;
efectarea unui control perfect asupra activitii sistemului;
trasarea n orice moment a urmei evenimentelor ce s-au petrecut anterior n
sistem.

Principalele obiective ale administratorului de reea

1. Controlul proceselor:
oprirea, iniializarea sistemului;
trimiterea de semnale ctre orice proces;
schimbarea unor valori limit:

mrime fiier;

dimensiune segment de date;

etc.
2. Controlul perifericelor:
citirea i modificarea oricrei locaii de memorie;
instalarea unor noi periferice;
accesul la orice periferic;
setarea datei i orei.
3. Controlul reelei:
rularea serviciilor reea la porturile sigure;
reconfigurarea reelei;
examinarea pachetelor care circul pe reea.
4. Controlul sistemului de fiiere:
citirea, modificarea sau tergerea oricrui fiier sau program;
schimbarea etichetei discurilor;
execuia oricrui program;
montarea i demontarea sistemului de fiiere.