IE – Securitatea informaţiilor

Mediul de securitate avut în vedere include:

- Schimbări legislative, insecuritate economică şi/sau social

- Localizarea sediului companiei în zone isolate sau cu risc infracţional
- Probleme în asigurarea utilităţilor (energie, apă etc.)
- Pierderi de resurse umane
- Atacuri informatice
- Nerespectarea normelor interne de securitate
- Acţiuni imorale sau ilegale ale concurenţei
- Pierderi accidentale de informaţii
- Furtul de informaţii (infiltrare, recrutare, exploatare vulnerabilităţi, corupere)
- Acţiuni de răzbunare ale actualilor sau foştilor angajaţi
- Tensiuni interne care duc la neglijenţă
- Necunoaşterea naturii, importanţei informaţiilor, în special a celor clasificate

Acte normative care reglementează protecţia informaţiilor clasificate:

- Legea 182/2002 pentru protecţia informaţiilor clasificate

- Hotărârea de Guvern (HG) nr.585/2002 – Standarde naţionale de protecţie a informaţiilor
clasificate în România
- HG 781/2002 privind protecţia informaţiilor secrete de serviciu
- HG 1349/2002 privind colectarea, transportul, distribuirea şi protecţia pe teritoriul României a
corespondenţei clasificate
- O.U.G. 153/2002 – Oficiul Registrului Naţional al Informaţiilor Secrete de Stat

Managementul securităţii organizaţiei:

- Securitatea fizică
- Securitatea personalului
- Securitatea informaţiilor
- Securitatea sistemelor informatice şi de comunicaţii
- Securitatea industrial
- Sănătatea şi securitatea muncii
- Apărarea împotriva incendiilor şi protecţia mediului
- Managementul situaţiilor special şi de urgenţă
- Instruirea, pregătirea şi dezvoltarea de securitate a personalului
- Activităţi de competitive intelligence şi counter competitive intelligence

Riscuri de securitate generate de factorul uman:

- Deficienţe de instruire
- Conversaţii publice
- Furtul de informaţii
Soluţii:

- Identificarea vulnerabilităţilor
- Stabilirea de limitări de acces la informaţii
- Monitorizarea electronica
- Limitarea conflictelor interne
- Cunoaşterea stării generale a angajaţilor (financiară, juridică, ideologică, de sănătate etc.)
- Identificarea timpurie

Semnale de identificare timpurie a potenţialului de risc al unui angajat:

- Performanţă scăzută
- Stress financiar crescut
- Exprimare publică a nemulţumirilor faţă de organizaţie
- Declanşarea unor conflicte
- Situaţie financiară nejustificată
- Orar de lucru neobişnuit
- Cereri frecvente pentru zile libere sau modificarea orarului
- Călătorii frecvente

Cea mai bună măsură de protecţie – construirea unei relaţii de încredere între angajaţi şi companie!

Managementul continuităţii afacerii

Aprilie 2012 - ISO22301 – Standardul de management pentru continuitatea afacerilor (spaţiul public şi
cel privat)

Asigurarea securităţii informaţiilor presupune:

- Asigurarea confidenţialităţii (acces pe categorii de persoane)

- Asigurarea integrităţii (acurateţe şi completitudine)
- Asigurarea disponibilităţii

Etape ale analizei securităţii:

1. Stabilirea strategiei
- Compartimentarea comunicaţiilor, reţelei, serviciilor şi aplicaţiilor folosite
- Apărarea pe nivele
- Maniera de răspuns la incidente
- Alocarea resurselor pentru securizare
2. Stabilirea politicilor de securitate
Politici formale: Monitor, Graham-Denning, Sutherland, Bell-La Padula, Biba, Clark-Wilson, Latice,
Zidul Chinezesc (detalii: https://ipspecialist.net/fundamental-concepts-of-security-models-how-
they-work/ ) Concepte fundamentale ale modelelor de securitate

Un model de securitate într-un sistem informațional reprezintă setul de proceduri pentru evaluarea
și autentificarea politicilor de securitate, în scopul mapării obiectivelor intelectuale ale politicii la un
sistem informațional, specificând structuri de date explicite și tehnici necesare implementării
politicii de securitate. Un model de securitate este de obicei reprezentat în matematică și idei
analitice, care sunt mapate la specificațiile sistemului și apoi dezvoltate de programatori prin cod de
programare. Au fost dezvoltate mai multe modele de securitate pentru a aplica politicile de
securitate. Următoarea secțiune oferă concepte fundamentale ale modelelor de securitate care
trebuie să fie familiarizate cu acesta ca candidat CISSP.

Modelul Bell-LaPadula

Modelul Bell-LaPadula funcționează cu un sistem de securitate pe mai multe niveluri. În acest

sistem, un utilizator îl folosește cu aprobări diferite și apoi procesează datele la diferite niveluri de
clasificare. Modelul Bell-LaPadula a fost primul model matematic și a fost dezvoltat în anii 1970
pentru a împiedica accesul informațiilor secrete într-un mod neautorizat.

Trei reguli principale sunt utilizate și aplicate în modelul Bell-LaPadula:

Regula simplă de securitate

Se afirmă că un subiect la un anumit nivel de securitate nu poate citi date care se află la un nivel de
securitate mai înalt.

* -regula proprietatea (proprietatea stea)

Se afirmă că un subiect la un anumit nivel de securitate nu poate scrie informații la un nivel de

securitate inferior.

Regula puternică a proprietății stea

Se afirmă că un subiect care are capacități de citire și scriere poate îndeplini ambele funcții la același
nivel de securitate; nimic mai sus și nimic mai jos.

Deci, pentru ca un subiect să poată citi și scrie un obiect, aprobarea subiectului și clasificarea
obiectului trebuie să fie egale.
Modelul Biba

Modelul Biba este un model de securitate care abordează integritatea datelor dintr-un sistem. Nu
este preocupat de nivelurile de securitate și confidențialitate. Modelul Biba folosește niveluri de
integritate pentru a împiedica fluxul datelor la orice nivel de integritate la un nivel de integritate mai
ridicat.

Biba are trei reguli principale pentru a oferi acest tip de protecție:

Axioma integrității * (stea)

Subiectul nu poate scrie date unui obiect la un nivel de integritate mai ridicat.

Axioma integrității simple

Subiectul nu poate citi date de la un nivel inferior de integritate.

Proprietatea de invocare

Subiectul nu poate invoca serviciul la o integritate superioară.

Aflați mai multe despre aceste modele în cursul nostru de certificare al CISSP aici.

Modelul Clark-Wilson

Modelul Clark-Wilson a fost dezvoltat după Biba și are diferite metode de protejare a integrității
informațiilor.

Acest model folosește următoarele elemente:

Utilizatori: agenți activi

Proceduri de transformare (TP): Operații abstracte programate, cum ar fi citirea, scrierea și

modificarea

Elemente de date restricționate (CDI): Poate fi manipulat numai de către TP-uri

Elemente de date fără restricții (UDI): pot fi manipulate de utilizatori prin operații de citire și scriere
primitive
Proceduri de verificare a integrității (IVP): Verificați consistența CDI-urilor cu realitatea externă.

Model de non-interferență

Modelul de non-interferență asigură faptul că datele din diferite domenii de securitate nu

interferează între ele. Prin implementarea acestui model, organizația poate fi sigură că nu are loc
comunicarea sub acoperire, deoarece informațiile nu pot trece granițele de securitate. Fiecare
încercare de acces la date este independentă și nu are nicio conexiune cu nicio altă încercare de
acces la date. Un canal ascuns este o comunicare care încalcă politica care este ascunsă
deținătorului sau utilizatorilor unui sistem de date.

Brewer și modelul Nash

Modelele Brewer și Nash sunt, de asemenea, cunoscute sub numele de modelul Chinese Wall. Se
afirmă că un subiect poate scrie unui obiect dacă și numai dacă subiectul nu poate citi un alt obiect
care se află într-un alt set de date. A fost creat pentru a oferi controale de acces care se pot schimba
dinamic în funcție de acțiunile anterioare ale unui utilizator. Scopul principal al acestui model este
protejarea împotriva conflictelor de interese prin încercările de acces ale utilizatorilor.

Modelul Graham-Denning

Modelul Graham-Denning se bazează pe trei părți: obiecte, subiecte și reguli. Oferă o abordare mai
granulară pentru interacțiunea dintre subiecți și obiecte.

Există opt reguli:

Regula 1: Transferul accesului

Regula 2: Acordarea accesului

Regula 3: Ștergeți accesul

Regula 4: Citiți obiectul

Regula 5: Creați un obiect

Regula 6: Distruge obiectul

Regula 7: Creați subiect

Regula 8: Distruge subiectul

Modelul Harrison-Ruzzo-Ullman

Modelul Harrison-Ruzzo-Ullman (HRU) mapează subiecte, obiecte și drepturi de acces la o matrice

de acces. Este considerat ca o variantă a modelului Graham-Denning.
HRU are șase operații primitive:

Creează obiect

Creează subiect

Distruge subiectul

Distruge obiectul

Intră direct în matricea de acces

Șterge direct din matricea de acces

În plus, operațiunile HRU diferă de Graham-Denning, deoarece consideră subiectul ca obiect.

- Politici specifice: internet, e-mail, semnături electronice, criptare, management parole etc.
- Gestiunea securităţii fizice (echipamente, incinte, protecţie fizică) şi securităţii logice (drepturi
de acces şi drepturi la servicii)
IE Curs 12 - Culegerea de informatii “gri"si “negre" (informatiile care nu ar trebui divulgate)
(Sursa: Kevin Mitnick si William Simon, Arta de a stoarce informatii, Editura Teora, 2005)

Securitatea nu este un produs, ci un proces, si nu este o problema de tehnologi, ci una umana si

de management. Oamenii sunt veriga cea mai slaba a securitatii oricarui sistem/oricarei organizatii.
Desi se spune ca daca aveti calculatorul inchis, scos din functiune este sigur, de fapt nu este asa:
un adversar poate discuta cu cineva, poate folosi identitatea altei persoane si ii poate cere acelui
cineva sa intre in birou si sa il deschida - este o actiune de inginerie sociala (inselarea oamenilor
prin actiuni de manipulare a increderii).

Metode de atac

1) Intrebare directa, utilizand jargonul companiei si mizand pe inselarea vigilentei angajatului

atacat si pe dorinta umana de a ajuta pe cineva din aceeasi breasla

2) “Praf in ochi”- utilizarea unor siretlicuri - verific reteaua si as vrea sa stiu ce legaturi sa
restabilesc, mi s-a virusat calculatorul si trebuie sa verific rapid un client, realizez o
documentare pentru un articol/o carte, am o zi proasta/programare la medic/un eveniment
nefericit in familie si trebuie sa verific rapid o situatie fara a avea timp sa trec pe la birou, etc.

3) Construirea unei relatii de incredere, prin apeluri repetate inofensive

4) “Permite-mi sa te ajut”- caderea retelei, resetarea retelei, updatarea sistemului, incarcarea

unor protectii suplimentare etc.

5) Favoare ca raspuns la o favoare initiala nesolicitata, dar acceptata de anagajat

6) Crearea unei situatii de presiune pentru a scurtcircuita procedurile de securitate

7) Siretlic de securitate de tip “drops”(invelis tare, miez lichid) - se folosesc cateva informatii de
suprafata, mai usor de obtinut, pentru a intra in sistem direct la un nivel superior si a ocoli
astfel procedurile de securitate

8) Securitatea “de carciuma” (plecand de la vremurile prohibitiei din SUA si accesul in carciumi
neoficiale, cunoscute doar de un anumit grup)- bazata pe cunoasterea locului in care se afla
informatia dorita si utilizarea numelui unei persoane sau a unor expresii specifice pentru a
capata acces

9) Securitate prin obscuritate (varianta celei de carciuma) - se bazeaza pe protectie prin

protejarea detaliilor legate de functionarea sistemului si ipoteza falsa ca cineva din exteriorul
grupului nu are cum sa cunoasca aceste detalii, iar daca le cunoaste inseamna ca poate avea
acces la informatii, pentru ca este “de-al casei”

10) Exploatarea sentimentelor de compasiune (de exemplu fata de un proaspat angajat

nepriceput, care cere ajutor), vina (nu va mai fi problema mea daca nu reusesc sa termin la
timp raportul) si intimidare (mi-a cerut-o seful)

11) Inselatoria inversa - truc prin care persoana atacata ajunge sa ii ceara ajutorul chiar
atacatorului

12) Cautarea prin gunoaie

Solutii

1) programe de constientizare si instruire

2) testari "incognito"ale vigilentei angajatilor

3) programe de actualizare permanenta a cunostintelor privind diferitele tipuri de atacuri

4) recompensarea angajatilor "vigilenti"

5) sanctionarea incalcarilor repetate ale procedurilor de securitate

Politici de securitate a informatiei - etape

1) Stabilirea informatiilor care trebuie protejate

2) Identificarea amenintarilor posibile

3) Estimarea pagubelor in fiecare caz de amenintare

4) Explicarea importantei politicilor de securitate - care trebuie sa fie respectate, nu vazute ca o

povara si evitate

5) Efectuarea de teste frecvente de penetrare pentru detectarea punctelor vulnerabile

6) Stabilirea de proceduri de verificare pentru diferite categorii de persoane - de incredere,

respectiv neverificate anterior

7) Verificarea permanenta a statutului unor persoane anterior de incredere - mai sunt angajati sau
nu, pe ce pozitie, au sau nu nevoie de informatia in cauza etc.

8) Proceduri de gestionare a apelurilor telefonice (pentru ca acestea cer de regula date imediate)

9) Codificarea pe categorii a legitimatiilor de acces

10) Proceduri privind accesul la distanta

11) Proceduri pentru identificarea si raportarea de apeluri suspecte, contacte personale suspecte,
neconcordante descoperite, etc.

12) Limitarea dezvaluirii de informatii prin mesajele automate

13) Politici pentru lucrul la domiciliu